NIS2 y la industria alimentaria española: la ley se retrasa, el riesgo no

NIS2 es la directiva europea de ciberseguridad. Fija requisitos para organizaciones de 18 sectores críticos, desde la energía, el transporte y la sanidad hasta la producción, la transformación y la distribución de alimentos,¹ y hace responsable de la seguridad al órgano de dirección.¹ España tenía que haberla transpuesto como tarde el 17 de octubre de 2024, y no lo ha hecho.⁴

A quién afecta NIS2 en alimentación

El apartado de alimentación del anexo II de la directiva incluye a las empresas alimentarias, tal como las define el artículo 3, punto 2, del Reglamento (CE) n.º 178/2002, que se dediquen a la distribución mayorista y a la producción y transformación industrial.¹ La legislación alimentaria europea define la empresa alimentaria de forma amplia: cualquier empresa que lleve a cabo una actividad relacionada con cualquiera de las etapas de la producción, la transformación y la distribución de alimentos.² NIS2 se queda con dos: la producción y transformación industrial, y la distribución mayorista.

El tamaño decide el resto. La directiva se aplica a las empresas medianas o mayores.¹ Según la definición de la UE, una empresa solo es pequeña si tiene menos de 50 personas en plantilla y un volumen de negocio o un balance que no superan los 10 millones de euros.³ En la práctica, un fabricante, transformador o mayorista de alimentación entra con 50 o más personas en plantilla, o con más de 10 millones de euros tanto de volumen de negocio como de balance. Una empresa que forma parte de un grupo puede tener que sumar las cifras del grupo.³

Tres matices:

• Una empresa más pequeña puede ser designada igualmente si una interrupción de su servicio pudiera tener un impacto significativo en la seguridad, la protección o la salud públicas.¹
• Las empresas alimentarias son entidades importantes salvo que el Estado las designe esenciales, y las importantes se supervisan a posteriori, cuando hay pruebas o indicios de que no cumplen.¹
• No se mencionan ni el comercio minorista ni la producción primaria, ni el almacenamiento y el transporte, aunque la legislación alimentaria europea los considere etapas de la distribución.¹² La autoridad alimentaria de Finlandia, por ejemplo, los deja fuera, junto con la producción de piensos.⁶ En España lo decidirá la ley nacional.

Quedar fuera no lo resuelve todo. Las empresas incluidas deben gestionar la seguridad de su cadena de suministro, incluidos los aspectos de seguridad de su relación con sus proveedores directos y prestadores de servicios.¹ Así, un almacén frigorífico o un transportista no incluido puede entrar en el riesgo de proveedores de un cliente que sí lo está.

Bruselas aún puede ajustar detalles. El 20 de enero de 2026, la Comisión propuso modificaciones puntuales, como una categoría de «pequeñas empresas de mediana capitalización» (menos de 750 personas en plantilla y hasta 150 millones de euros de volumen de negocio o 129 millones de balance) que se tratarían sobre todo como importantes. El cambio no altera los umbrales mínimos actuales, y la propuesta detalla más la notificación de ataques de ransomware. Ahora pasa al Parlamento Europeo y al Consejo, aún sin calendario.⁷

Cómo está España, a 3 de noviembre de 2026

España aún no ha aprobado su ley de NIS2. La Comisión Europea llevó a España ante el Tribunal de Justicia de la UE en julio de 2026 por el retraso; la mayoría de los demás países ya la han transpuesto.⁴

Ningún proyecto de ley de NIS2 llegó a las Cortes. Los datos abiertos del Congreso recogen todos los proyectos de ley del Gobierno en esta legislatura, y ninguno trata de ciberseguridad; entre las leyes y reales decretos‑leyes aprobados, hasta el Real Decreto‑ley 31/2026, de 20 de octubre, no hay ninguna de ciberseguridad.¹²

Hoy rige la norma anterior. El Real Decreto‑ley 12/2018 transpuso la primera directiva NIS y se aplica a los operadores de servicios esenciales de los sectores estratégicos de la Ley 8/2011, entre ellos la alimentación, pero solo a las empresas identificadas formalmente como tales.¹³¹⁴

Lo que viene después no tiene fecha. Tras las elecciones, el Gobierno sigue en funciones hasta que toma posesión el nuevo, y en funciones no puede presentar proyectos de ley al Congreso.¹⁵ Queda abierta la vía del real decreto-ley: la primera directiva NIS se transpuso precisamente así,¹³ y el Gobierno aprobó el Real Decreto‑ley 31/2026 el 20 de octubre, ya con las Cortes disueltas.¹² No ponemos fecha a la ley española.

El anteproyecto marca la dirección, pero es un borrador y puede cambiar. Según lo resumieron los despachos de abogados tras su aprobación:

• incluiría la industria de la alimentación entre los sectores de entidades importantes;⁹
• cada empresa evaluaría su propia categoría y la comunicaría;¹⁰
• las esenciales tendrían que certificarse en el Esquema Nacional de Seguridad (ENS), y las importantes podrían elegir entre esa certificación y una autoevaluación;¹⁰
• habría que nombrar un Responsable de Seguridad de la Información y notificar los incidentes significativos en 24 horas;¹⁰
• los miembros del órgano de dirección responderían solidariamente por las infracciones, con multas para las entidades esenciales de hasta 10 millones de euros o el 2 % del volumen de negocio mundial, la cifra que sea mayor.¹⁰

Qué pide la directiva

Cuando se aplique, NIS2 pedirá cuatro cosas a las empresas incluidas.

Medidas de gestión de riesgos. Como mínimo: análisis de riesgos y políticas de seguridad; gestión de incidentes; continuidad del negocio, copias de seguridad y gestión de crisis; seguridad de la cadena de suministro; seguridad en la compra, el desarrollo y el mantenimiento de sistemas, con la gestión de vulnerabilidades; evaluación de la eficacia de las medidas; ciberhigiene y formación; criptografía; seguridad del personal, control de acceso y gestión de activos; y autenticación multifactor.¹

Responsabilidad en la dirección. El órgano de dirección debe aprobar las medidas y supervisarlas, puede ser considerado responsable de los incumplimientos, y sus miembros deben recibir formación.¹

Notificación rápida. Un incidente significativo exige una alerta temprana en 24 horas desde que se tiene conocimiento, una notificación del incidente en 72 horas y un informe final en un mes.¹

Multas. Para las entidades importantes, el máximo debe ser de al menos 7 millones de euros o el 1,4 % del volumen de negocio anual mundial, la cifra que sea mayor; para las esenciales, 10 millones de euros o el 2 %.¹

Por qué importan los ataques al frío de 2026

En la madrugada del 2 de noviembre de 2026, los equipos de frío de supermercados de al menos nueve países europeos fueron tomados a distancia y pasados a desescarche, y las tiendas tiraron alimentos refrigerados y congelados. El comisario europeo de Agricultura, Christophe Hansen, lo calificó de intento deliberado de perturbar la cadena de suministro alimentario y de minar la confianza de los consumidores. Nadie lo ha reivindicado, y España no figura entre los países afectados según la información publicada.¹⁶ Llegó tres semanas después de la oleada francesa, que contamos con sus fuentes.

Los esquemas de seguridad alimentaria van en la misma dirección. IFS Logistics, en su versión 3, pide que el plan de defensa del producto incluya la informática y los ciberataques, y la guía de IFS de 2024 añade un capítulo de ciberseguridad que cita NIS2 y, apoyándose en investigaciones publicadas, afirma que ya no se puede descartar del todo que un ciberincidente afecte a la seguridad alimentaria.¹⁷

Tres cosas que hacer antes de que llegue la ley

No necesitas la ley española para empezar. Tres pasos salen del propio texto de la directiva:

1. Saber qué expones. La gestión de activos es una de las medidas obligatorias,¹ e IFS recomienda un inventario de activos con el detalle de las conexiones de cada dispositivo, los protocolos que usa y sus puertos.¹⁷ Empieza por todo lo que se ve desde internet: portales, accesos remotos, páginas de gestión y controladores.
2. Saber quién tiene acceso. La seguridad de la cadena de suministro abarca tu relación con tus proveedores directos y prestadores de servicios.¹ Apunta cada empresa externa que puede conectarse a tus sistemas, cómo lo hace y con qué credenciales.
3. Guardar evidencias de que haces pruebas y corriges. La directiva pide formas de evaluar si tus medidas funcionan y una gestión de las vulnerabilidades.¹ Lleva un registro fechado de qué se probó, qué se encontró y qué se corrigió.

Lo que Cantic le da a tu auditor