Auditoría NIS2 para empresas en España: qué revisar, qué entregar y cómo demostrar cumplimiento

La mayoría de empresas no tiene un problema de intención.

Tiene un problema de visibilidad.

Sabe que la NIS2 eleva la exigencia en ciberseguridad, continuidad de negocio, gestión de proveedores y supervisión directiva.

Pero no sabe con precisión tres cosas:

• si realmente le aplica,
• qué tendría que acreditar hoy,
• y qué debería revisar una auditoría para convertir la incertidumbre en un plan.

Ahí es donde una auditoría NIS2 bien planteada deja de ser un trámite y pasa a ser una herramienta de dirección.

Qué entendemos por auditoría NIS2

Cuando una empresa busca “auditoría NIS2” en España, en realidad suele estar buscando una combinación de cuatro necesidades:

1. Confirmar si entra en alcance.
2. Medir su nivel real de madurez y cumplimiento.
3. Identificar brechas frente a los requisitos exigibles.
4. Obtener un plan de acción que pueda defender ante dirección, clientes, partners o futuros requerimientos regulatorios.

Por eso conviene distinguir desde el principio entre varias capas de trabajo:

1. Preauditoría NIS2

Sirve para determinar si la empresa puede estar afectada y qué nivel de exposición tiene.

2. GAP analysis o análisis de brechas

Compara la situación actual con los requisitos de la directiva y con las medidas organizativas, técnicas y documentales esperables.

3. Auditoría de cumplimiento NIS2

Verifica evidencias, gobierno, procesos, controles y capacidad de respuesta de forma estructurada.

4. Auditoría técnica complementaria

Incluye revisiones de vulnerabilidades, configuración, identidad, segmentación, backup, monitorización o exposición externa, según el contexto.

Muchas empresas mezclan estas capas.

Ese error cuesta tiempo y dinero.

A qué empresas puede aplicar NIS2 en España

La guía pública de INCIBE insiste en que el análisis debe hacerse, como mínimo, sobre tres ejes:

• tamaño de la organización,
• sector de actividad,
• y prestación de servicios en la Unión Europea.

Además, el alcance no se limita a “grandes infraestructuras”.

La NIS2 afecta a entidades esenciales e importantes en sectores como energía, transporte, salud, digital, agua, fabricación, alimentación, servicios TIC y otros ámbitos estratégicos.

También conviene revisar dos matices que muchas empresas pasan por alto:

• algunas pequeñas y microempresas pueden quedar incluidas por su papel crítico,
• y la cadena de suministro puede elevar la presión de cumplimiento incluso cuando la empresa no se había considerado inicialmente “objetivo directo”.

En España, el criterio práctico no debería ser “creo que no me aplica”.

Debería ser “ya he documentado por qué sí o por qué no”.

Por qué la auditoría NIS2 ya no es solo una cuestión técnica

El mayor cambio de la NIS2 no está en la tecnología.

Está en la gobernanza.

La dirección ya no puede limitarse a delegar toda la materia de ciberseguridad y desaparecer del mapa.

La lógica de la directiva obliga a que exista supervisión real, asignación de recursos, toma de decisiones informada y capacidad de demostrar diligencia.

Eso afecta de forma directa a:

• CEO y gerencia,
• dirección de operaciones,
• dirección financiera,
• responsables de IT,
• compliance,
• riesgos,
• compras y gestión de proveedores.

Por eso una auditoría NIS2 útil no se limita a revisar herramientas.

Revisa también si existe un sistema creíble de gobierno del riesgo.

Qué debería revisar una auditoría NIS2 para empresas

Una auditoría seria no se queda en una checklist superficial.

Debe analizar, al menos, estos bloques:

1. Alcance y contexto de negocio

• actividad y sector,
• tamaño de empresa,
• servicios críticos,
• procesos esenciales,
• dependencias tecnológicas,
• dependencias de terceros.

Aquí se determina si la empresa está evaluando la norma desde la realidad del negocio o desde una lectura genérica.

2. Gobierno y responsabilidad

• funciones y responsabilidades,
• implicación de la alta dirección,
• reporting interno,
• criterios de priorización,
• recursos asignados,
• revisión periódica.

Una empresa puede tener controles técnicos aceptables y, aun así, suspender en gobernanza.

3. Gestión de riesgos

• inventario de activos críticos,
• metodología de análisis,
• matriz de riesgos,
• criterios de impacto,
• riesgos de terceros,
• actualización del análisis.

Sin análisis de riesgos, el resto suele convertirse en una colección desordenada de medidas.

4. Medidas técnicas y organizativas

• control de accesos,
• autenticación robusta,
• segmentación,
• hardening,
• backup y recuperación,
• cifrado,
• logging y trazabilidad,
• monitorización,
• formación y concienciación,
• procedimientos operativos.

Aquí no se trata solo de comprobar si “hay algo”.

Se trata de valorar si lo implantado es coherente con el riesgo y con la criticidad del negocio.

5. Gestión de incidentes

• detección,
• clasificación,
• escalado,
• respuesta,
• registro,
• lecciones aprendidas,
• notificación.

La auditoría debe evaluar si existe capacidad real de respuesta o solo una declaración de intenciones.

6. Continuidad de negocio y recuperación

• planes de continuidad,
• escenarios críticos,
• recuperación tecnológica,
• pruebas,
• RTO y RPO cuando proceda,
• coordinación entre negocio y tecnología.

Este punto es clave porque la NIS2 no se limita a prevenir: exige resiliencia.

7. Cadena de suministro y proveedores

• cláusulas contractuales,
• evaluación de terceros,
• accesos de proveedores,
• evidencias de control,
• seguimiento de servicios críticos,
• dependencia de cloud y partners.

En muchas empresas, esta es la brecha menos trabajada y una de las más peligrosas.

8. Evidencias y documentación

• políticas,
• procedimientos,
• registros,
• actas,
• informes,
• revisiones,
• métricas,
• planes de acción.

Cumplir y poder demostrar que cumples no es lo mismo.

Y la auditoría tiene que cerrar precisamente esa distancia.

Qué entregables debería recibir la empresa

Uno de los fallos más frecuentes del mercado es vender “auditoría NIS2” sin concretar qué se entrega.

Un trabajo bien hecho debería terminar, como mínimo, con estos entregables:

• informe ejecutivo para dirección,
• informe de hallazgos por dominio,
• matriz GAP frente a requisitos aplicables,
• mapa de riesgos priorizados,
• listado de evidencias revisadas,
• plan de acción por fases,
• responsables sugeridos,
• quick wins de bajo esfuerzo y alto impacto,
• riesgos críticos pendientes,
• hoja de ruta para seguimiento.

Si la auditoría no deja una salida clara para dirección, probablemente no está resolviendo el problema real.

Qué busca la dirección cuando pide una auditoría NIS2

La dirección no suele pedir “más ciberseguridad”.

Suele pedir, aunque no siempre lo exprese así:

• claridad,
• priorización,
• reducción de riesgo,
• capacidad de decisión,
• y defensa razonable de las acciones realizadas.

Por eso el lenguaje de la auditoría debe conectar con negocio.

No basta con listar controles.

Hay que explicar:

• qué expone de verdad a la empresa,
• qué podría interrumpir la operativa,
• qué puede afectar a clientes y contratos,
• y qué decisiones deben tomarse primero.

Preauditoría NIS2 vs. auditoría completa: cuál conviene

Depende del punto de partida.

Conviene una preauditoría cuando:

• aún no está claro el alcance,
• no existe visibilidad suficiente,
• la dirección necesita una primera foto rápida,
• hay que ordenar el proyecto antes de invertir más.

Conviene una auditoría completa cuando:

• la empresa ya asume que puede estar afectada,
• existen controles implantados pero no se han evaluado formalmente,
• hay exigencia de clientes o partners,
• se necesita trazar una hoja de ruta con evidencias.

Muchas organizaciones deberían empezar por la preauditoría y evolucionar después a una auditoría de cumplimiento más profunda.

Cómo encaja ISO 27001 en este proceso

ISO 27001 no sustituye a la NIS2.

Pero ayuda mucho a estructurar el trabajo.

Especialmente porque permite ordenar:

• gobierno,
• gestión de riesgos,
• políticas,
• control documental,
• responsabilidades,
• mejora continua,
• y revisión periódica.

En la práctica, muchas empresas abordan NIS2 e ISO 27001 de forma complementaria porque eso facilita pasar del cumplimiento reactivo a un sistema estable.

Riesgos de no auditar a tiempo

Retrasar la auditoría suele provocar tres efectos:

• decisiones mal priorizadas,
• inversiones desordenadas,
• y documentación insuficiente.

Y eso, en escenarios de presión regulatoria, contractual o reputacional, sale caro.

Además, la propia directiva contempla sanciones relevantes para entidades afectadas, con umbrales que pueden alcanzar hasta 10 millones de euros o el 2% del volumen de negocio anual global para determinadas categorías, junto con exigencias directas sobre supervisión.

El problema, sin embargo, no suele empezar por la sanción.

Empieza mucho antes:

• cuando la empresa no sabe si entra en alcance,
• cuando no puede justificar su nivel de diligencia,
• cuando no controla bien a sus proveedores,
• o cuando un incidente revela que no existía preparación real.

Cómo debería plantearse una auditoría NIS2 en España en 2026

La mejor aproximación no es vender humo legal ni miedo técnico.

Es combinar tres planos:

• criterio regulatorio,
• evaluación operativa,
• y capacidad de ejecución.

En el contexto español, además, conviene trabajar con prudencia y con revisión actualizada del marco nacional aplicable, porque la interpretación práctica exige aterrizar la directiva, el alcance y las obligaciones sobre la realidad jurídica y sectorial de cada empresa.

Eso hace aún más importante que la auditoría no sea genérica.

Debe ser específica.

Conclusión

Una auditoría NIS2 para empresas en España no debería ser un documento decorativo.

Debería responder a una pregunta muy concreta:

qué riesgos tengo, qué puedo demostrar hoy y qué tengo que corregir primero para reducir exposición y ganar control.

Ese es el valor real.

No solo saber si “cumples”.

Sino convertir la incertidumbre en una hoja de ruta defendible para dirección, negocio y tecnología.

Porque en NIS2, llegar tarde no suele significar solo incumplir.

Suele significar decidir a oscuras.