NIS2 no nombra a los despachos. Te llega por tus clientes.

Dentro del expediente

Un despacho que lleva los asuntos fiscales de una empresa eléctrica recibe un cuestionario de veinte preguntas. Quién accede a los documentos del cliente, cómo se protege el correo, en cuánto tiempo avisaría de un incidente, qué herramientas de IA usa y dónde guardan lo que procesan. El socio no entiende por qué. Su despacho no es una infraestructura crítica. Tiene razón. Y aun así, si quiere conservar al cliente, tendrá que contestar.

El caso es sintético. El cuestionario, cada vez menos.

El reto. Una norma que no te nombra

NIS2 es la directiva europea que eleva las exigencias de ciberseguridad de las entidades de sectores críticos Fuente primaria ↗. Se aplica, en general, a las entidades de sus anexos que sean medianas o grandes empresas según la definición europea Fuente primaria ↗. Suele confundirse un matiz. Los 50 trabajadores y los 10 millones de euros marcan el límite superior de la pequeña empresa. Se entra en NIS2 al dejar de ser pequeña, y en ese cálculo cuentan también las empresas asociadas y vinculadas Fuente primaria ↗.

Los sectores están en sus anexos; entre otros, energía, transporte, banca, sanidad, agua, infraestructura digital, gestión de servicios de tecnología entre empresas, administración pública, espacio, servicios postales, alimentación, fabricación, investigación. Los servicios jurídicos, fiscales o contables no aparecen Fuente primaria ↗. La puerta directa más verosímil para un despacho sería prestar además servicios gestionados de tecnología o de seguridad a sus clientes.

Por qué te llega igual

La directiva obliga a los Estados a exigir a las entidades que sí están dentro que gestionen la seguridad de su cadena de suministro, incluidas sus relaciones con proveedores y prestadores de servicios directos, teniendo en cuenta las vulnerabilidades de cada uno Fuente primaria ↗. Donde ya se ha transpuesto, esa exigencia rige. En España rige, de momento, el régimen anterior, que ya pide a los operadores de servicios esenciales, y una eléctrica puede serlo, que su política de seguridad contemple la gestión de riesgos de terceros o proveedores Fuente primaria ↗. Un despacho que maneja la documentación fiscal, los contratos o los litigios de una de esas entidades puede ser tratado como proveedor directo, y de los que ven información sensible.

El reglamento de desarrollo para los proveedores digitales da una idea de lo que puede pedirse en los contratos. Incluye la obligación de avisar sin demora de incidentes que afecten al cliente, derecho de auditoría, requisitos para subcontratar y obligaciones al terminar, como devolver y borrar la información Fuente primaria ↗. Ese reglamento solo obliga a ciertas entidades digitales, pero describe muy bien la carta que un cliente sofisticado puede mandar a su despacho. El INCIBE lo resume al hablar de las pymes. La norma les afecta indirectamente como parte de la cadena de suministro Fuente primaria ↗.

Y aquí entra la inteligencia artificial. Las herramientas de IA que usa un despacho, sus conectores y los proveedores que procesan lo que se les pega no son proveedores directos del cliente, pero pueden entrar por la cláusula de subcontratación de esa lista. La pregunta de dónde acaban los documentos del cliente, que en otros expedientes planteé como un asunto de secreto profesional, llega ahora también por la vía de la ciberseguridad.

Dónde está España

El plazo para transponer la directiva venció en octubre de 2024 Fuente primaria ↗. El Gobierno aprobó en enero de 2025 un anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad Fuente primaria ↗ que, a septiembre de 2026, no ha llegado a aprobarse como ley. Sigue vigente el Real Decreto-ley 12/2018, que transpuso la directiva anterior Fuente primaria ↗. En julio de 2026 la Comisión Europea anunció que remite a España al Tribunal de Justicia por no transponer y pide sanciones económicas Fuente primaria ↗.

Para algunos despachos que trabajan con administraciones públicas hay algo que sí rige hoy. El Esquema Nacional de Seguridad se aplica también a los sistemas de información de las empresas que, por contrato, prestan servicios al sector público para el ejercicio de sus competencias y potestades administrativas Fuente primaria ↗.

Una propuesta. Contestar antes de que pregunten

La dirección que yo tomaría es mirar la lista de clientes y ver cuántos están en sectores de los anexos, sin esperar a la ley española. Esos clientes pueden preguntar, y la calidad de la respuesta dirá mucho del despacho. Quien sepa contestar qué herramientas usa, qué datos salen de su casa y en cuánto tiempo avisaría de un incidente probablemente tendrá ventaja sobre quien descubra ese día que no lo sabe.

Lo que toca decidir

Habrá que decidir qué dirá la ley española cuando llegue, y si incluirá algo específico para los proveedores de servicios profesionales. Para los incumplimientos de gestión de riesgos y de notificación, la directiva obliga a los Estados a fijar multas máximas de al menos 10 millones de euros o el 2 % del volumen de negocios mundial, la cifra mayor, para las entidades esenciales, y de al menos 7 millones o el 1,4 %, con la misma regla, para las importantes. Estos techos los fija la directiva para la ley nacional, y la cifra concreta la pondrá la ley española Fuente primaria ↗.

Toca resolver quién responde ante el cliente obligado si el incidente lo sufre el proveedor de IA del despacho y no el despacho.

Y también hay que pensar si los despachos pequeños podrán asumir las exigencias contractuales que les trasladen sus grandes clientes, o si esas exigencias acabarán decidiendo quién puede trabajar para quién.

La norma no te nombra. Tu cliente, sí.

Lo que me preguntan cuando cierro el portátil.

¿Se aplica NIS2 a los despachos de abogados o asesores?

No como sector. Los anexos de la Directiva NIS2 no incluyen los servicios jurídicos, de asesoría fiscal ni contables. Un despacho entraría directamente, por ejemplo, si prestara además servicios gestionados de tecnología o de seguridad a sus clientes y superara el umbral de tamaño. La vía habitual es indirecta, como proveedor de entidades incluidas en su ámbito.

¿Qué empresas están obligadas por NIS2?

Las que determine cada ley de transposición a partir de este criterio. Son las entidades de los sectores de sus anexos que sean medianas o grandes empresas según la definición europea, es decir, que dejen de ser pequeñas, lo que ocurre a partir de 50 trabajadores, o de más de 10 millones de euros de volumen de negocios y de balance. Hay excepciones que obligan con independencia del tamaño, como ciertos proveedores de comunicaciones o las administraciones públicas.

¿Ha transpuesto España la Directiva NIS2?

No a septiembre de 2026. El Gobierno aprobó en enero de 2025 un anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad que no ha llegado a aprobarse como ley, y sigue vigente el Real Decreto-ley 12/2018 de la directiva anterior. La Comisión Europea anunció en julio de 2026 que remite a España al Tribunal de Justicia por no transponer y pide sanciones económicas.

El expediente detrás del artículo.

Directiva (UE) 2022/2555, NIS2 ↗EUR-Lex · artículos 2, 20, 21, 23 y 34 y anexos I y II · 2022
Normativa UERecomendación 2003/361/CE sobre la definición de microempresas, pequeñas y medianas empresas ↗EUR-Lex · anexo, artículos 2 y 6 · 2003
Recomendación de la ComisiónReglamento de Ejecución (UE) 2024/2690, medidas de gestión de riesgos de NIS2 ↗EUR-Lex · anexo, puntos 3.2 y 5.1.4 · 2024
Normativa UE; solo para las entidades digitales que enumeraNIS2 y las pymes de la cadena de suministro ↗INCIBE-CERT · 2024
Información de un organismo públicoAnteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad ↗Consejo de Ministros · referencia del 14 de enero · 2025
Anteproyecto, no aprobado como leyReal Decreto-ley 12/2018 de seguridad de las redes y sistemas de información ↗BOE · 2018
Normativa española vigente (transposición de la primera directiva NIS)Real Decreto 43/2021, que desarrolla el Real Decreto-ley 12/2018 ↗BOE · artículo 6.2.b) · 2021
Normativa española vigenteLa Comisión lleva a España ante el Tribunal de Justicia por no transponer NIS2 ↗Comisión Europea · comunicado IP/26/1499, 8 de julio · 2026
Comunicado oficialEsquema Nacional de Seguridad, Real Decreto 311/2022 ↗BOE · artículos 2 y 24; anexo II, medidas op.exp.8 y op.acc.3 · 2022
Normativa española; aplicable al sector público y a sus proveedores

Fuentes consultadas el 10 de noviembre de 2026. Las recomendaciones y ejemplos son elaboración editorial y no se atribuyen íntegramente a estas fuentes. Comprueba versión y ámbito antes de aplicar una norma.

Divulgación general. Ninguna herramienta de esta web certifica la revisión, seguridad o conformidad de un proceso.