Tu cliente te exige NIS2 y tú no eres entidad esencial: qué estás firmando

Llega por correo, casi siempre desde compras y no desde la asesoría jurídica del cliente. Es un anexo de seguridad que se incorpora al contrato marco que firmaste hace tres años. Notificación de cualquier incidente en cuatro horas. Auditorías sin preaviso sobre todos tus sistemas. Certificación ISO/IEC 27001 en seis meses. Indemnidad sin límite frente a reclamaciones de terceros. Y en el preámbulo, como justificación de todo, una referencia a la Directiva (UE) 2022/2555.

Tu empresa hace software de gestión de almacén, mantiene la climatización de un hospital o transporta mercancía paletizada. No apareces en ningún anexo de esa directiva y nadie te ha dicho nunca que seas entidad esencial ni importante. Aun así te exigen más de lo que la norma exige a quien te lo envía.

Por qué te llega una cláusula de una norma que no te obliga

El artículo 21.2 de la Directiva (UE) 2022/2555 enumera diez categorías de medidas que las entidades esenciales e importantes deben implantar. La letra d) cubre la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de las relaciones entre cada entidad y sus proveedores directos. El apartado 3 concreta cómo se cumple: al valorar la idoneidad de esas medidas, la entidad tendrá en cuenta las vulnerabilidades específicas de cada proveedor directo y la calidad general de sus productos y prácticas de ciberseguridad.

Conviene leerlo atendiendo a quién obliga. La norma dice que tu cliente debe evaluarte y no dice en ningún momento que tú debas hacer nada. El considerando 85 es aún más explícito sobre el instrumento: señala que debe fomentarse que las entidades incorporen medidas de gestión de riesgos en los acuerdos contractuales con sus proveedores directos. El verbo es fomentar.

Hay una excepción que conviene comprobar. El Reglamento de Ejecución (UE) 2024/2690 sí desarrolla requisitos contractuales de cadena de suministro, pero solo para entidades de infraestructura digital (nube, centros de datos, DNS, servicios gestionados o prestadores de servicios de confianza). Si tu cliente pertenece a ese grupo, parte de lo que te exige tiene base normativa firme. Si no, la base es su política interna de proveedores.

Tu cliente responde ante su supervisor de haber gestionado el riesgo que tú representas, y la vía más barata de acreditarlo es un papel firmado por ti. La cláusula no traslada su obligación regulatoria, que sigue siendo suya y no resulta delegable. Traslada el coste de acreditarla.

Qué exige la directiva de verdad

A quién obliga

El ámbito combina sector y tamaño. El Anexo I recoge los sectores de alta criticidad (energía, transporte, banca, sanidad, agua, infraestructura digital, servicios TIC entre empresas y Administración pública) y el Anexo II el resto de sectores críticos (postal, residuos, química, alimentación, fabricación de determinados productos y proveedores digitales).

Sobre ese mapa opera el criterio de tamaño de la Recomendación 2003/361/CE: entran las entidades que alcanzan el umbral de mediana empresa, esto es 50 empleados o más, o volumen de negocio o balance superiores a 10 millones de euros. Dentro del Anexo I son esenciales las que superan los 250 empleados, o bien los 50 millones de facturación y los 43 de balance a la vez.

Cuántas quedan obligadas en España no tiene respuesta oficial: el registro que las identificará lo crea la ley que todavía no existe, y las cifras que circulan (algo más de 5.700 en estimaciones atribuidas al Gobierno, entre 8.000 y 12.000 según consultoras) son proyecciones y no censos. Lo seguro es que los proveedores alcanzados por contrato son un múltiplo de los obligados por ley.

Medidas, plazos y sanciones

Las diez categorías del artículo 21.2 van del análisis de riesgos y la gestión de incidentes a la criptografía, el control de accesos y la autenticación multifactorial, y todas están sometidas al principio del artículo 21.1: deben ser adecuadas y proporcionadas al riesgo, atendiendo al estado de la técnica y al coste de aplicación. Ese principio es tu mejor herramienta de negociación, porque acota también lo que tu cliente puede pedirte.

El artículo 23 fija tres hitos ante el CSIRT o la autoridad competente, computados desde que la entidad tiene conocimiento del incidente significativo: alerta temprana en veinticuatro horas, notificación en setenta y dos horas con evaluación inicial de gravedad e impacto, e informe final en el plazo de un mes desde esa notificación. Las veinticuatro horas arrancan con el conocimiento y no con la ocurrencia.

El artículo 34.4 obliga a los Estados miembros a prever, para infracciones de los artículos 21 o 23 por entidades esenciales, multas de un máximo de al menos 10.000.000 de euros o del 2 % del volumen de negocios anual mundial total del ejercicio anterior de la empresa a la que pertenezca la entidad, aplicándose la cuantía más elevada. El artículo 34.5 fija esos parámetros para las entidades importantes en 7.000.000 de euros o el 1,4 %.

Esas cifras aparecen a menudo en el preámbulo de las adendas y conviene situarlas: son sanciones dirigidas a tu cliente por incumplir obligaciones que la directiva le atribuye a él. La única vía por la que pueden acabar llegándote es la que estás a punto de firmar.

Qué añade el contrato por encima de la norma

Plazos de notificación más cortos que los regulatorios

La adenda habitual exige notificación en dos, cuatro o seis horas. La directiva concede veinticuatro a la entidad obligada. Tu cliente necesita margen para valorar el incidente y presentar su alerta temprana en plazo, y ese margen sale de tu tiempo. La norma no impone nada parecido porque el artículo 23 no menciona a los proveedores: habla de la entidad obligada y de su deber frente a la autoridad. Un plazo de dos horas para comunicar cualquier evento, sin filtro de significatividad, lo crea íntegramente el contrato.

Auditoría sin límite de frecuencia ni de alcance

La redacción típica permite auditar en cualquier momento, con o sin preaviso, la totalidad de los sistemas, instalaciones y procesos del proveedor. El artículo 21.3 obliga al cliente a tener en cuenta tus vulnerabilidades y la calidad de tus prácticas, y no especifica cómo debe informarse. Un cuestionario, una certificación en vigor o un informe de auditoría de un tercero independiente cumplen esa obligación igual que una inspección presencial. El derecho ilimitado de auditoría no responde a un mandato normativo. Responde a que es la redacción más cómoda para quien la escribe.

Restricciones a la subcontratación

La directiva menciona los niveles inferiores de la cadena en el considerando 85, y en términos potestativos: las entidades podrían tomar en consideración los riesgos provenientes de otros niveles de proveedores. Nada más. La prohibición de subcontratar sin consentimiento previo, el traslado cláusula por cláusula de las condiciones a tus subcontratistas y el derecho de veto sin motivación son construcciones contractuales puras.

Certificaciones como condición contractual

La directiva no nombra ninguna norma técnica concreta. El artículo 24 permite a los Estados miembros exigir productos y servicios de TIC certificados conforme a los esquemas europeos adoptados al amparo del Reglamento (UE) 2019/881, y el considerando 80 se limita a animar a promover las normas pertinentes. La sigla ISO/IEC 27001 no aparece en el texto.

Hay un supuesto en el que la exigencia sí tiene base normativa española directa, y no procede de NIS2. Si prestas servicios que sostienen sistemas de una entidad del sector público se aplica el artículo 2.3 del Real Decreto 311/2022, de 3 de mayo, que regula el Esquema Nacional de Seguridad: los pliegos deben asegurar la conformidad con el ENS de los sistemas en que se sustenten los servicios del contratista, con Declaración de Conformidad para categoría básica y Certificación para media o alta. Eso es exigible hoy.

Indemnidades

La indemnidad sin límite de cuantía es el punto en el que el anexo deja de ser un documento de seguridad y pasa a ser un reparto de riesgo financiero. Suele cubrir cualquier sanción, coste o reclamación que el cliente soporte por un incidente que afecte a tus sistemas, con mención expresa a las multas del artículo 34 y del artículo 83 del RGPD.

Conviene separar los dos planos. Si tratas datos personales por cuenta de tu cliente ya eres encargado del tratamiento, y el artículo 32 del RGPD ya te impone por derecho propio medidas técnicas y organizativas apropiadas, con el reparto de responsabilidad del artículo 82 y el contrato del artículo 28. Ese solapamiento se ordena mejor desde una auditoría RGPD de producto que desde el anexo. Lo nuevo es la pretensión de que asumas sanciones impuestas a otro por incumplir obligaciones que la ley atribuye a ese otro.

Dónde está el margen de negociación

El artículo 1255 del Código Civil deja el contenido del contrato a la voluntad de las partes: una cláusula desproporcionada es válida y te vincula. La conversación es comercial antes que jurídica, y el argumento jurídico sirve para sostenerla. El criterio de mayor rendimiento es la simetría entre la obligación y su causa. Tu cliente necesita acreditar que ha gestionado el riesgo que le llega por el servicio concreto que le prestas, y todo lo que exceda de ese servicio queda fuera de esa causa. Delimitar el ámbito material del anexo a los sistemas que soportan la prestación contratada es la modificación que más reduce tu coste y la que con más facilidad se acepta, porque no debilita la posición regulatoria del cliente.

El segundo criterio es la proporcionalidad del artículo 21.1, que figura en la norma que el propio cliente invoca. Si él puede modular sus medidas según el estado de la técnica, su tamaño y el coste, resulta difícil sostener que tú debas cumplir un estándar absoluto. El tercero es la reciprocidad: quien exige notificación en cuatro horas necesita ofrecer un canal operativo permanente y un criterio de significatividad definido en el anexo, y quien exige auditorías puede aceptar una anual con preaviso, alcance acotado y admisión de informes de terceros.

El cuarto es el límite de responsabilidad, y es el único que no debería cederse. El artículo 1107 del Código Civil limita los daños del deudor de buena fe a los previstos o previsibles al constituirse la obligación que sean consecuencia necesaria del incumplimiento. Un pacto de indemnidad ilimitada desplaza válidamente ese régimen, y aceptarlo sobre sanciones del artículo 34 supone asumir una exposición de hasta 10.000.000 de euros por un contrato que puede facturar cuarenta mil al año.

Queda un elemento de calendario. La propuesta de Reglamento Ómnibus Digital presentada por la Comisión en noviembre de 2025 introduce un punto único de entrada para la notificación de incidentes, gestionado por ENISA, mediante un nuevo artículo 23 bis de la propia NIS2, que absorbería también las notificaciones del RGPD, DORA y eIDAS. Es una propuesta en tramitación y no derecho vigente, con el mismo estatus que el resto del paquete de simplificación (cuya vertiente de inteligencia artificial analizamos en este análisis del Digital Omnibus). Una cláusula que remita al procedimiento vigente en cada momento envejece mejor que otra que congele un formulario.

Qué cambia el día que la ley española entre en vigor

España debía haber transpuesto NIS2 antes del 17 de octubre de 2024 y no lo hizo. El Consejo de Ministros aprobó el 14 de enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crea el Centro Nacional de Ciberseguridad. Ese texto no se ha publicado en el BOE y sigue en tramitación, de modo que el organismo todavía no existe. La Comisión Europea remitió a España un dictamen motivado en mayo de 2025 y el 8 de julio de 2026 decidió llevarla, junto a Irlanda, Francia y los Países Bajos, ante el Tribunal de Justicia de la Unión Europea. Mientras tanto sigue aplicándose el Real Decreto-ley 12/2018, de 7 de septiembre.

Cuando la ley se publique, tu cliente tendrá supervisor identificado, registro, régimen sancionador y plazo de adecuación. Para ti no cambiará casi nada, y ese es el punto que suele pasarse por alto: la ley española no reescribirá el anexo que hayas firmado. Seguirás vinculado por los plazos, las auditorías y las indemnidades que pactaste, con la fuerza de obligar que el artículo 1091 del Código Civil reconoce a las obligaciones nacidas del contrato. Y si tu actividad encaja en algún sector del Anexo II y superas el umbral de mediana empresa, puedes descubrir ese mismo día que eras entidad importante.

Hay un frente que sí puede vincularte por derecho propio y que no procede de NIS2. El artículo 71 del Reglamento (UE) 2024/2847, de Ciberresiliencia, hace aplicable su artículo 14 desde el 11 de septiembre de 2026. Si fabricas un producto con elementos digitales, ese artículo te obliga a dar alerta temprana al CSIRT designado como coordinador y a ENISA en veinticuatro horas desde que tienes conocimiento de una vulnerabilidad aprovechada activamente o de un incidente grave, con notificación a las setenta y dos horas e informe final posterior. La obligación recae hoy sobre el fabricante, y los deberes que los artículos 19 y 20 imponen a importadores y distribuidores esperan hasta el 11 de diciembre de 2027. El coordinador que ENISA publica para España es INCIBE-CERT, y la notificación se presenta en la plataforma única del artículo 16 de ese reglamento, que ENISA puso en servicio esa misma fecha y que conviene no confundir con el punto único de entrada que el Ómnibus propone para NIS2. Merece la pena comprobar si el anexo que te envía tu cliente confunde ese deber tuyo con el que el artículo 23 de la directiva impone a él.

La adenda mezcla tres cosas que conviene separar: lo que la directiva obliga a tu cliente, lo que ya te vinculaba por el RGPD y solo cambia de envoltorio, y lo que el contrato añade porque nadie se lo ha discutido todavía. Revisar la arquitectura contractual con clientes y proveedores antes de que llegue la ley sale más barato que renegociarla después de un incidente, cuando tu posición es la peor posible.

Si tu situación encaja, puedes reservar una videoconsulta aquí (90€, descontables de la primera factura si finalmente aceptamos tu encargo).