Más que una Plataforma Cumplimiento NIS2 en España y Portugal
¿Está preparado el tejido empresarial para la NIS2 en España y Portugal?
Si su organización opera en Portugal, la NIS2 ya no es una directiva por transponer: es el Decreto-Lei n.º 125/2025, en vigor desde el 3 de abril de 2026, con el Regulamento n.º 756/2026 del CNCS ya publicado, que operacionaliza el régimen jurídico de ciberseguridad en Portugal.
En España, la ley nacional avanza en paralelo. Le ayudamos a cumplir en ambas jurisdicciones antes de que el retraso se convierta en sanción o en la imposibilidad de acreditar su homologación ante un cliente o proveedor.
¿Qué es la NIS2 y a quién obliga?
La Directiva (UE) 2022/2555, conocida como NIS2, es la norma europea que eleva el nivel de exigencia en ciberseguridad para las organizaciones consideradas esenciales o importantes. Sustituye a la anterior Directiva NIS de 2016 y amplía de forma sustancial tanto los sectores afectados como las obligaciones concretas.
La NIS2 en España y en el resto de Estados miembros introduce cuatro cambios de fondo respecto al marco anterior: obliga a designar formalmente responsables de ciberseguridad, fija plazos estrictos de notificación de incidentes, extiende las exigencias a toda la cadena de suministro y —el cambio más relevante— traslada la responsabilidad al consejo de administración, que responde personalmente del incumplimiento.
El criterio general de aplicación combina sector y tamaño: entidades de los Anexos I y II con más de 50 empleados o más de 10 millones de euros de facturación. En Portugal, además, una empresa puede quedar incluida con independencia de su tamaño si es la única proveedora de un servicio esencial.
Empresas a las que les aplica la NIS2
Lo que las empresas realmente necesitan saber es si la normativa les afecta, qué les falta y cuánto tiempo les queda. Y ese es precisamente el problema: la norma ha entrado en vigor más rápido de lo que su organización ha podido adaptarse.
¿Reconoce alguna de estas situaciones?
Encargo sin recursos
e han encargado «ver el tema de la NIS2» sin presupuesto, sin equipo dedicado y sin saber por dónde empezar.
Dos jurisdicciones a distinta velocidad
Tiene operación en Portugal y/o en España, y cada jurisdicción avanza a un ritmo distinto: el Decreto-Lei n.º 125/2025 ya sanciona; la norma española sigue en tramitación, pero no exime de prepararse.
Clasificación incierta
Contamos con dilatada experiencia implantando y/o gestionando la línea ética de empresas de diferentes tamaños y sectores de España y de Latam.
Sin responsables designados
Nadie ha sido designado formalmente como Responsable de Ciberseguridad ni como Punto de Contacto Permanente ante el CNCS, y el reloj de los 20 días hábiles ya corre.
Sin protocolo de notificación
Si mañana hubiera un incidente, no tiene claro quién notifica, a quién, en qué formato y en qué plazo (24 horas, 72 horas, un mes).
Responsabilidad no asumida por el consejo
Sabe que el consejo de administración es ahora responsable personalmente, pero la ciberseguridad se sigue tratando como «cosa de IT».
“El mayor riesgo de la NIS2 no es la multa. Es descubrir, en medio de un incidente, que nadie sabía qué debía hacer y en qué tiempos.”
Dos jurisdicciones, un mismo marco europeo
La Directiva (UE) 2022/2555 obliga a los Estados miembros a elevar el nivel de ciberseguridad de las entidades esenciales e importantes. Portugal y España la trasponen con calendarios distintos, pero el fondo —y la exposición— es el mismo.
Portugal: la norma ya está operativa
- Decreto-Lei n.º 125/2025, de 4 de diciembre: en vigor desde el 3 de abril de 2026, establece el nuevo Regime Jurídico da Cibersegurança.
- Regulamento n.º 756/2026, de 22 de junio (CNCS): desarrolla la plataforma MyCiber, las comunicaciones obligatorias y las medidas técnicas mínimas del Anexo III (39, 75 o 91 medidas según el nivel de riesgo).
- Clasificación en tres niveles: entidades esenciales, entidades importantes y entidades públicas relevantes.
- Plazo de 20 días hábiles: desde la entrada en vigor para comunicar al CNCS el Responsable de Ciberseguridad y el Punto de Contacto Permanente.
- Régimen sancionador: hasta 10 M€ o 2 % de la facturación mundial (esenciales); hasta 7 M€ o 1,4 % (importantes); coimas personales para administradores.
España: la NIS2 como requisito de homologación
El cumplimiento de la NIS2 en España se está convirtiendo en un requisito clave para la homologación de proveedores críticos, incluso antes de que exista obligación legal directa.
- La trasposición nacional: avanza en paralelo a nivel legislativo, bajo el paraguas de la misma Directiva (UE) 2022/2555.
- El retraso en la aprobación formal: no elimina la exposición: la autoridad de supervisión podrá actuar con efecto desde la fecha de referencia europea.
- Las empresas que ya operan en Portugal: o que dependen de cadenas de suministro portuguesas o europeas, están recibiendo exigencias contractuales de cumplimiento antes de que la norma española les sea aplicable.
En Acatia trabajamos con ambos calendarios en paralelo: adaptamos el diagnóstico y el plan de acción a la jurisdicción de cada entidad del grupo, evitando duplicar esfuerzos y anticipando lo que la norma española reproducirá de la portuguesa.
Obligaciones concretas: qué exige la NIS2
Más allá del marco general, la NIS2 impone obligaciones operativas concretas que deben estar implementadas y documentadas:
Responsabilidad del órgano de dirección
Nuestro servicio de cumplimiento NIS2
La Directiva (UE) 2022/2555 obliga a los Estados miembros a elevar el nivel de ciberseguridad de las entidades esenciales e importantes. Portugal y España la trasponen con calendarios distintos, pero el fondo —y la exposición— es el mismo.
¿Por qué elegir Acatia para tu cumplimiento NIS2?
Operación real en España y Portugal
Conocemos el Decreto-Lei n.º 125/2025 de primera mano.
➜Leer másCerrar
Trabajamos sobre el terreno con el Decreto-Lei n.º 125/2025 y el Regulamento n.º 756/2026 del CNCS, no desde la teoría. Sabemos qué pide realmente la autoridad portuguesa y qué reproducirá la norma española.
Un solo interlocutor para todo el grupo
Aunque tenga entidades en varias jurisdicciones.
➜Leer másCerrar
Gestionamos calendarios de cumplimiento distintos desde un único expediente, evitando duplicar esfuerzos entre matriz y filiales y manteniendo un criterio homogéneo para todo el grupo.
Equipo multidisciplinar
Compliance, ciberseguridad y legal en el mismo expediente.
➜Leer másCerrar
Sin traspasos de información entre proveedores distintos. Las tres disciplinas que exige la NIS2 trabajan de forma coordinada sobre un único proyecto, evitando vacíos y contradicciones entre criterios.
Metodología ya probada
Integramos la NIS2 en su ISO 27001 o ENS actual.
➜Leer másCerrar
Metodología contrastada en ISO 27001, ISO 22301, ISO 27701, Esquema Nacional de Seguridad y RGPD. La NIS2 no se implementa de forma aislada: el objetivo es integrarla en lo ya construido y aprovechar cada control existente.
Acompañamiento hasta la implementación
No solo hasta la entrega del informe.
➜Leer másCerrar
El diagnóstico es el punto de partida, no el entregable final. Acompañamos el despliegue de las medidas técnicas y organizativas hasta que existe evidencia documental que acredita el cumplimiento ante una inspección.
¿Le suena su empresa en alguno de estos casos?
El plazo no lo marcamos nosotros. Lo marca el CNCS.
Lo que está en juego en el caso portugués: hasta 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales (7 millones o el 1,4 % para importantes), coimas personales de hasta 125.000 € para directivos e inhabilitación temporal para ejercer cargos de gestión. El régimen sancionador ya se aplica.
Cuanto antes tenga claro su nivel de exposición, antes podrá tomar decisiones con información real en lugar de suposiciones. Reserve una reunión de 30 minutos con nuestro equipo especializado en NIS2 en España y Portugal.
Cuéntanos tu caso y te diremos si lo que hacemos tiene sentido para ti.
Completa este formulario de contacto y uno de nuestros especialistas se pondrá en contacto contigo.