Directiva NIS2 y conectividad IoT: qué exige a las empresas con dispositivos conectados

La ciberseguridad ha dejado de ser un asunto exclusivo del departamento técnico. La Directiva (UE) 2022/2555, conocida como NIS2, es la segunda directiva europea sobre seguridad de las redes y los sistemas de información. Está en vigor en la Unión Europea desde enero de 2023 y sustituye a la primera directiva NIS de 2016. Su objetivo es elevar el nivel común de ciberseguridad ampliando de forma drástica el número de sectores y organizaciones obligados a protegerse, gestionar riesgos y notificar incidentes a las autoridades.

Si tu negocio despliega o gestiona dispositivos conectados —sensores, pasarelas, terminales con SIM IoT, equipos de telemetría—, conviene entender qué cambia realmente y qué no.

Este es el punto que más confusión genera, así que conviene ser precisos:

• El plazo para transponer NIS2 a la legislación española venció el 17 de octubre de 2024.
• España no llegó a tiempo. El Consejo de Ministros aprobó el anteproyecto de la Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero a fecha de esta publicación la ley sigue en tramitación parlamentaria y no se ha publicado en el BOE.
• La Comisión Europea ha abierto un procedimiento de infracción contra España (junto a otros Estados miembros) por no completar la transposición, con un segundo requerimiento formal remitido en mayo de 2026.
• Mientras la ley española no entre en vigor, sigue aplicando el marco previo (derivado del Real Decreto-ley 12/2018, correspondiente a NIS1) y el Esquema Nacional de Seguridad para las entidades ya obligadas.

NIS2 no regula "dispositivos conectados" como categoría en sí misma: regula a las organizaciones de determinados sectores, según su tamaño (en general, medianas y grandes empresas, con algunas excepciones que aplican independientemente del tamaño). La directiva distingue dos niveles:

• Entidades esenciales (Anexo I): energía, transporte, banca e infraestructuras de mercados financieros, salud, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública y espacio.
• Entidades importantes (Anexo II): servicios postales, gestión de residuos, productos químicos, producción y distribución de alimentos, fabricación (incluyendo dispositivos médicos, electrónica, maquinaria y vehículos), proveedores digitales y organizaciones de investigación.

De los sectores habituales en proyectos de conectividad IoT, varios quedan dentro o cerca del ámbito de NIS2: fotovoltaica y energía (sector energético), gestión del agua (agua potable/aguas residuales), transporte y logística, cargadores eléctricos (vinculado a energía y movilidad), y fabricación de dispositivos (electrónica, maquinaria, vehículos). Teleasistencia puede quedar alcanzada en la medida en que se vincule a servicios de salud o a proveedores digitales.

Alarmas, ascensores y vending no aparecen como sectores explícitos de NIS2, pero pueden quedar alcanzados de forma indirecta si prestan servicio a una entidad esencial o importante, a través de las exigencias de cadena de suministro. Esto es una inferencia razonable a partir del texto de la directiva, no una confirmación legal caso por caso.

Más allá del debate sobre la transposición, el contenido material de la directiva ya está fijado y no va a cambiar con el texto español. El artículo 21 obliga a las entidades afectadas a implantar medidas técnicas y organizativas proporcionadas al riesgo, entre ellas: análisis y gestión de riesgos, gestión de incidentes y planes de continuidad de negocio, seguridad de la cadena de suministro (incluyendo proveedores y productos de terceros), cifrado, control de accesos y, cuando proceda, autenticación multifactor, además de la notificación de incidentes significativos a las autoridades en plazos medidos en horas.

El artículo 20 añade un cambio relevante para la dirección: los órganos de gobierno deben aprobar y supervisar estas medidas, y formarse para entender los riesgos. El incumplimiento puede derivar en responsabilidad para la propia dirección, no solo para el equipo técnico.

El punto de contacto entre NIS2 y un parque de dispositivos conectados es, sobre todo, la cadena de suministro. Una empresa obligada por NIS2 tiene que poder responder a preguntas como: ¿qué dispositivos están conectados a mi red y qué conectividad usan?, ¿quién gestiona esas conexiones y qué visibilidad tengo sobre su estado?, ¿puedo detectar y aislar un dispositivo comprometido o con comportamiento anómalo?, ¿mi proveedor de conectividad o de gestión de SIM forma parte de mi análisis de riesgo de proveedores?

Una gestión ordenada de la conectividad —inventario claro de SIM y dispositivos, alertas de consumo o comportamiento anómalo, capacidad de desactivar una línea comprometida, control de accesos a la plataforma de gestión— no "cumple NIS2" por sí sola, pero sí facilita varias de las medidas que exige el artículo 21.

Independientemente de cuándo se publique la ley española, tiene sentido avanzar en paralelo:

1. Identificar si la actividad de la empresa encaja en alguno de los 18 sectores de NIS2 (Anexo I o II) y en qué umbral de tamaño.
2. Hacer inventario de los dispositivos conectados, su conectividad y quién los gestiona.
3. Revisar si el proveedor de conectividad ofrece visibilidad, alertas y capacidad de respuesta ante incidentes.
4. Incorporar la seguridad de la cadena de suministro de IoT (SIM, gestión remota, firmware) al análisis de riesgos general de la empresa.
5. Validar con asesoría legal especializada el alcance exacto para el caso concreto de la empresa.