¿Cómo abordar NIS2 en Bilbao? NormaPymes analiza el ámbito, define el alcance y prepara medidas y evidencias de NIS2. El servicio se coordina desde Sevilla; el calendario, las validaciones y cualquier visita se acuerdan tras la valoración inicial.
Qué entra en NIS2 en Bilbao y qué no
NIS2 no se aplica por tamaño de ciudad ni por facturación sin más: se aplica por sector y después por tamaño. El anexo I de la directiva recoge los sectores de alta criticidad (energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, Administración pública y espacio) y el anexo II otros sectores críticos (servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, determinada fabricación, proveedores de servicios digitales e investigación). Solo después se aplica la regla de tamaño: con carácter general quedan dentro las medianas empresas y por encima, y son entidades esenciales las grandes de los sectores del anexo I.
En el área de Bilbao esa lectura recae de forma directa sobre la energía, con Iberdrola domiciliada en la ciudad y la refinería de Petronor en Muskiz; sobre el transporte, con el Puerto de Bilbao y Metro Bilbao; y sobre el ciclo del agua, gestionado por el Consorcio de Aguas Bilbao Bizkaia, que cubre tanto el agua potable como las aguas residuales del anexo I.
La duda que más veces nos llega de la margen izquierda es la siderurgia y la máquina herramienta. Conviene decirlo con precisión: el epígrafe de fabricación del anexo II es una lista cerrada (productos sanitarios, informática y electrónica, maquinaria y equipo, vehículos de motor y otro material de transporte) y la metalurgia básica no aparece en ella. Muchas industrias vizcaínas no quedan obligadas por esa actividad. Como proveedoras de una entidad esencial pueden recibir requisitos contractuales de seguridad derivados de la gestión de la cadena de suministro, sin que ello las convierta por sí solo en sujetos directos de NIS2.
Sectores clave en Bilbao
Energía
Generación, refino y distribución. Iberdrola tiene su domicilio social en Bilbao y la refinería de Petronor opera en Muskiz. Sector de alta criticidad del anexo I.
Transporte marítimo y urbano
El Puerto de Bilbao y Metro Bilbao encajan en el sector transporte del anexo I, con obligaciones reforzadas por ser servicios de los que depende la actividad económica del área metropolitana.
Agua potable y aguas residuales
El Consorcio de Aguas Bilbao Bizkaia cubre los dos sectores del anexo I que van separados en la directiva: abastecimiento y saneamiento.
Industria proveedora
Siderurgia y máquina herramienta no están en esa lista del anexo II. Sus clientes afectados pueden trasladarles requisitos contractuales de seguridad de la cadena de suministro (art. 21.2.d).
A quién notificar en Euskadi y en qué plazo
La cadena de notificación de NIS2 tiene tres escalones que no dependen de la ley española: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en un mes. En España el procedimiento interno debe identificar el CSIRT y la autoridad competentes conforme al marco nacional aplicable. En Euskadi existe además el Basque Cybersecurity Centre (BCSC), el centro de ciberseguridad del Gobierno Vasco, que publica recursos y avisos de ciberseguridad para el tejido vasco. Trabajar con los dos niveles evita el error más común que vemos: tener el procedimiento escrito y no saber, el día del incidente, quién marca el reloj de las 24 horas.
¿Cómo prestamos la consultoría NIS2 en Bilbao?
El proyecto se coordina desde Sevilla con un consultor responsable, reuniones de seguimiento y entregables definidos. Las reuniones pueden ser remotas; si una visita aporta valor y está incluida en el alcance, se acuerda previamente con la organización. No afirmamos disponer de una oficina local ni prometemos una validación externa.
Diagnóstico documentado
La conclusión se apoya en actividad, alcance, riesgos y evidencias verificables.
Calendario acordado
Fases, responsables, validaciones y dependencias quedan reflejados en la planificación.
Alcance contractual
El contrato diferencia entregables de consultoría, decisiones del cliente y medidas de terceros.
Sobre la Directiva NIS2
La Directiva NIS2 (Directiva UE 2022/2555) obliga a implantar medidas de gestión de riesgos de ciberseguridad, a formar a la dirección y a notificar los incidentes significativos en plazos muy cortos. El plazo de transposición venció el 17 de octubre de 2024. El 8 de julio de 2026 la Comisión Europea remitió a España al Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa y solicitó sanciones financieras. A 28 de agosto de 2026 España seguía sin haber notificado esa transposición completa. Fuente oficial: Comisión Europea, 8 de julio de 2026.
Preguntas frecuentes sobre NIS2 en Bilbao
¿Qué se revisa primero en una adecuación NIS2 en Bilbao?
Se confirma la aplicabilidad y el alcance. En esta página el foco es industria, energía, transporte y proveedores: La aplicabilidad se analiza por actividad, tamaño y excepciones, no mediante una lista comercial de empresas. Para proveedores industriales revisamos además qué compromisos de seguridad llegan por contrato desde entidades esenciales o importantes.
¿Existe un sello único NIS2 para empresas de Bilbao?
No existe un sello único de la Directiva emitido por NormaPymes. Preparamos medidas y evidencias; la obligación concreta depende del marco jurídico y contractual aplicable.
¿Cómo se presta el servicio en Bilbao?
NormaPymes coordina la consultoría desde Sevilla para toda España. Las reuniones pueden ser remotas y las visitas se acuerdan según el alcance; no afirmamos disponer de una oficina local.
NIS2 en Bilbao · enfoque específico
Industria, energía, transporte y proveedores
La aplicabilidad se analiza por actividad, tamaño y excepciones, no mediante una lista comercial de empresas. Para proveedores industriales revisamos además qué compromisos de seguridad llegan por contrato desde entidades esenciales o importantes.
El trabajo se apoya en el marco oficial y en la información verificable de la organización. Consulte la guía principal de NIS2 para revisar alcance, fases y relación con otros marcos.
Solicite su diagnóstico NIS2
Sin compromiso. Le llamamos en menos de 2 horas con una valoración inicial gratuita.
NIS2 en otras ciudades
El mismo servicio de NIS2 con el mismo equipo y la misma alcance definido por contrato en A Coruña, Alicante, Barcelona, Córdoba, Gijón, Granada, Las Palmas, Madrid y el resto de España.
Ver la guía nacionalMás consultoría en Bilbao
Implantamos y preparamos evidencias para otras normas y obligaciones legales en Bilbao con el mismo equipo y la misma alcance definido por contrato.