¿Cómo cumplir la Directiva NIS2 en Bilbao? La consultora Normapymes realiza el diagnóstico, la implantación y toda la preparación documental en 2 semanas (14 días), con un consultor asignado en exclusiva que se desplaza a sus instalaciones de Bilbao y garantía del proceso 100% por contrato. Normapymes es una consultora española de cumplimiento normativo especializada en la implantación y certificación de normas ISO, con sede en Sevilla y servicio en toda España.
Qué entra en NIS2 en Bilbao y qué no
NIS2 no se aplica por tamaño de ciudad ni por facturación sin más: se aplica por sector y después por tamaño. El anexo I de la directiva recoge los sectores de alta criticidad (energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, Administración pública y espacio) y el anexo II otros sectores críticos (servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, determinada fabricación, proveedores de servicios digitales e investigación). Solo después se aplica la regla de tamaño: con carácter general quedan dentro las medianas empresas y por encima, y son entidades esenciales las grandes de los sectores del anexo I.
En el área de Bilbao esa lectura recae de forma directa sobre la energía, con Iberdrola domiciliada en la ciudad y la refinería de Petronor en Muskiz; sobre el transporte, con el Puerto de Bilbao y Metro Bilbao; y sobre el ciclo del agua, gestionado por el Consorcio de Aguas Bilbao Bizkaia, que cubre tanto el agua potable como las aguas residuales del anexo I.
La duda que más veces nos llega de la margen izquierda es la siderurgia y la máquina herramienta. Conviene decirlo con precisión: el epígrafe de fabricación del anexo II es una lista cerrada (productos sanitarios, informática y electrónica, maquinaria y equipo, vehículos de motor y otro material de transporte) y la metalurgia básica no aparece en ella. Muchas industrias vizcaínas no quedan obligadas por sí mismas, pero sí acaban dentro por la puerta de atrás: como proveedoras de una entidad esencial a las que se exige seguridad de la cadena de suministro conforme al artículo 21.2.d.
Sectores clave en Bilbao
Energía
Generación, refino y distribución. Iberdrola tiene su domicilio social en Bilbao y la refinería de Petronor opera en Muskiz. Sector de alta criticidad del anexo I.
Transporte marítimo y urbano
El Puerto de Bilbao y Metro Bilbao encajan en el sector transporte del anexo I, con obligaciones reforzadas por ser servicios de los que depende la actividad económica del área metropolitana.
Agua potable y aguas residuales
El Consorcio de Aguas Bilbao Bizkaia cubre los dos sectores del anexo I que van separados en la directiva: abastecimiento y saneamiento.
Industria proveedora
Siderurgia y máquina herramienta no están en la lista de fabricación del anexo II, pero entran como cadena de suministro de entidades esenciales (art. 21.2.d).
A quién notificar en Euskadi y en qué plazo
La cadena de notificación de NIS2 tiene tres escalones que no dependen de la ley española: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en un mes. En España los CSIRT de referencia son INCIBE-CERT y CCN-CERT. En Euskadi existe además el Basque Cybersecurity Centre (BCSC), el centro de ciberseguridad del Gobierno Vasco, que actúa como interlocutor autonómico y publica avisos para el tejido industrial vasco. Trabajar con los dos niveles evita el error más común que vemos: tener el procedimiento escrito y no saber, el día del incidente, quién marca el reloj de las 24 horas.
¿Cómo trabajamos en Bilbao?
Trabajamos con una red de profesionales en toda España, y en Bilbao operamos igual que en el resto del país: con un consultor asignado que te acompaña de principio a fin y responde de tu proyecto. Ese consultor se desplaza a tus instalaciones en Bilbao para realizar la auditoría interna previa, que es la fase que decide el resultado. Es donde detectamos y corregimos las desviaciones antes de que intervenga la entidad certificadora acreditada, y es la razón por la que mantenemos un 0 % de auditorías invalidadas. La implantación completa se realiza en 2 semanas, frente a los meses que suele tardar el sector. Y va respaldada por garantía por contrato: si el resultado no se obtiene por causa imputable a nuestro trabajo, se devuelve el 100 % del importe.
Auditoría Presencial
Un consultor se desplaza a sus instalaciones para la auditoría interna previa.
Plazo de 2 semanas
Implantación rápida en 14 días para resolver el cumplimiento cuanto antes.
Garantía por Contrato
Aseguramos el éxito del proyecto y la superación de la auditoría.
Sobre la Directiva NIS2
La Directiva NIS2 (Directiva UE 2022/2555) obliga a implantar medidas de gestión de riesgos de ciberseguridad, a formar a la dirección y a notificar los incidentes significativos en plazos muy cortos. El plazo de transposición venció el 17 de octubre de 2024 y a 31 de julio de 2026 España aún no la ha transpuesto: el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros el 14 de enero de 2025 y sigue en tramitación. La obligación llega igualmente, y llega por sector.
Preguntas frecuentes en Bilbao
¿Mi empresa de Bilbao está obligada por NIS2 si aún no hay ley española?
La directiva no crea obligaciones directas para las empresas hasta que se transpone, pero el calendario ya está corriendo: el plazo venció el 17 de octubre de 2024 y el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad está en tramitación desde el 14 de enero de 2025. Lo que sí obliga hoy a muchas empresas vizcaínas es el contrato: las entidades esenciales del puerto, la energía o el agua ya están trasladando requisitos de seguridad a sus proveedores. Empezamos por determinar si usted queda dentro por sector propio o por cadena de suministro, porque el alcance del trabajo es muy distinto.
Somos una industria del metal en la margen izquierda, ¿estamos dentro?
Probablemente no por sector propio. El epígrafe de fabricación del anexo II es una lista cerrada que incluye productos sanitarios, informática y electrónica, maquinaria y equipo, vehículos de motor y otro material de transporte, y la metalurgia básica no figura en ella. Ahora bien, si suministra a una entidad esencial (energía, puerto, agua) le van a exigir medidas del artículo 21.2 por la vía de la cadena de suministro. En la práctica el trabajo es el mismo, cambia quién se lo reclama.
¿Cómo se gestionan las visitas del consultor a Bilbao?
Trabajamos con una red de profesionales en toda España. Un consultor asignado se desplaza a sus instalaciones en Bilbao para el análisis de riesgos y la auditoría interna previa, que es la fase que decide el resultado. Todos los gastos de desplazamiento están incluidos en el presupuesto.
Solicite su diagnóstico NIS2
Sin compromiso. Le llamamos en menos de 2 horas con una valoración inicial gratuita.
NIS2 en otras ciudades
El mismo servicio de NIS2 con el mismo equipo y la misma garantía por contrato en A Coruña, Alicante, Barcelona, Córdoba, Gijón, Granada, Las Palmas, Madrid y el resto de España.
Ver la guía nacionalMás consultoría en Bilbao
Implantamos y certificamos otras normas y obligaciones legales en Bilbao con el mismo equipo y la misma garantía por contrato.