NIS2: la ciberseguridad obligatoria ya alcanza a la empresa valenciana

La cuenta atrás para la ciberseguridad obligatoria ya corre en la Comunitat Valenciana, aunque la ley que debe activarla siga atascada en Madrid.

La consultora tecnológica Stratic organiza, junto a Proactivanet, la jornada profesional «Descubre lo que no se ve: Visibilidad total para IT», un encuentro gratuito que reunirá a líderes empresariales de la Comunitat Valenciana el próximo 23 de septiembre en las instalaciones de Five Iron Golf Valencia.

La cita, con aforo limitado y acceso previa inscripción, abordará la gestión de activos IT, la ciberseguridad y el nuevo marco legal que se avecina para las empresas

Miles de empresas de la industria, la energía, la sanidad, el transporte y los servicios tecnológicos entrarán en el perímetro de la directiva europea NIS2 en cuanto España cierre una transposición que Bruselas exige ya con urgencia.

La paradoja para el empresario valenciano es incómoda: la norma nacional no está publicada, pero las obligaciones de fondo llevan meses siendo exigibles.

Un encuentro en el momento oportuno

La jornada llega en un contexto en el que el control de la infraestructura tecnológica se ha vuelto crítico para la continuidad de negocio.

La directiva europea NIS2 ampliará de forma sustancial el número de empresas obligadas a reforzar su ciberseguridad, y aunque España aún ultima su transposición, sus obligaciones de fondo ya alcanzan a miles de compañías, también valencianas, junto a sus proveedores por la cadena de suministro.

En ese escenario, saber exactamente qué activos tecnológicos tiene una organización se convierte en el primer paso ineludible: no se puede proteger lo que no se ve.

La lay llega tarde, la obligación no

La Directiva (UE) 2022/2555, conocida como NIS2, está en vigor a nivel europeo desde enero de 2023 y sustituye a la antigua NIS1, ampliando de forma sustancial los sectores obligados y endureciendo el régimen sancionador.

España debía haberla transpuesto antes del 17 de octubre de 2024 y no lo hizo: el instrumento elegido, la Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobó su anteproyecto en enero de 2025 y a julio de 2026 sigue pendiente de aprobación parlamentaria, sin publicarse en el BOE.

Mientras tanto, el Real Decreto-ley 7/2025 ya transpuso parcialmente la directiva, de modo que parte de las obligaciones son exigibles desde su entrada en vigor.

La presión europea, además, se ha intensificado. Tras el dictamen motivado de mayo de 2025, la Comisión Europea remitió el 19 de mayo de 2026 un segundo requerimiento formal exigiendo transponer con urgencia, el paso previo a llevar a España ante el Tribunal de Justicia de la UE con posibles multas coercitivas.

Control total del parque informático

Durante el encuentro, los asistentes podrán descubrir en directo cómo obtener un inventario del parque tecnológico que permita anticipar vulnerabilidades.

Según los datos aportados por las organizadoras, la plataforma Proactivanet permite alcanzar un inventario descubierto del 110% de los activos, reducir en más de un 30% los costes derivados de licencias infrautilizadas y auditorías, e incrementar en un 25% la eficiencia operativa de los Service Desk mediante la automatización de procesos ITSM e ITAM.

Quién entra en el perímetro

El gran cambio de NIS2 es que multiplica el universo de empresas afectadas. La directiva alcanza a entidades de los sectores de sus anexos con más de 50 empleados o una facturación superior a 10 millones de euros, con excepciones tasadas para pymes en sectores muy críticos. El alcance no se detiene ahí: si una empresa presta servicios a una entidad esencial, el perímetro puede salpicarle a través de la cadena de suministro aunque su tamaño no la incluyera de forma directa. Para muchas compañías valencianas, NIS2 supone su primera obligación reglada de ciberseguridad, un terreno que hasta ahora asociaban solo a la banca o a las grandes infraestructuras.

Multas millonarias y responsabilidad personal

El régimen sancionador deja de ser nominal. La futura ley fija multas de hasta 10 millones de euros —o el 2% del volumen de negocio mundial— y traslada la responsabilidad al máximo nivel: permite exigir responsabilidades personales directas a los administradores en caso de brecha grave derivada de negligencia de la dirección. La formación específica del órgano de dirección es, de hecho, una obligación revisable, no una recomendación.

El primer paso es ver lo que no se ve

Antes que cualquier certificación, el cumplimiento arranca por lo más básico y lo más ignorado: saber qué activos tecnológicos tiene realmente la organización. No se puede proteger —ni notificar, ni auditar— lo que no se ve. De ahí que el inventario de activos y el control del parque informático se hayan convertido en la puerta de entrada a la adecuación, en un contexto en el que el 44,2% de las empresas españolas prevé incrementar su inversión en ciberseguridad en 2026