¿Te aplica la NIS2 directamente si fabricas componentes de automoción?
Sí, si tu actividad está en la división 29 de la NACE (vehículos de motor, remolques, semirremolques y sus componentes) y no eres pequeña empresa: 50 personas o más, o más de 10 millones de euros de facturación y de balance. Entonces la NIS2 te clasifica como entidad importante, pendiente de la ley española.
El anexo II de la Directiva (UE) 2022/2555, conocida como NIS2, incluye en su sector «Fabricación» a las empresas que realizan actividades de la división 29 de la NACE Rev. 2 (letra e). Las letras b), c), d) y f) añaden las divisiones 26 (electrónica), 27 (material eléctrico), 28 (maquinaria) y 30 (otro material de transporte).
El tamaño lo fija el art. 2 del anexo de la Recomendación 2003/361/CE: es pequeña la empresa con menos de 50 personas y una facturación o un balance de 10 millones de euros o menos. En un grupo cuentan también las empresas vinculadas (art. 6). Los casos dudosos, en el umbral de la NIS2.
| Lo que fabricas (título oficial) | CNAE-2025 | ¿Anexo II de la NIS2? |
|---|---|---|
| Carrocerías, remolques y semirremolques | 29.20 | Sí, letra e) |
| Equipos eléctricos y electrónicos para vehículos de motor | 29.31 | Sí, letra e) |
| Otros componentes, piezas y accesorios para vehículos de motor | 29.32 | Sí, letra e) |
| Pilas y acumuladores eléctricos | 27.20 | Sí, letra c) |
| Productos de plástico | 22.2 | No |
| Fundición de metales | 24.5 | No |
| Tratamiento, revestimiento y mecanizado de metales | 25.5 | No |
¿Desde cuándo es obligatoria la NIS2 para un proveedor de automoción en España?
Todavía no es exigible como ley española. El plazo de transposición venció el 17 de octubre de 2024, la Comisión Europea llevó a España ante el Tribunal de Justicia el 8 de julio de 2026 y las Cortes se disolvieron el 6 de octubre. Mientras, rige el Real Decreto-ley 12/2018, pensado para servicios esenciales.
17-10-2024
Vence el plazo de transposición
Art. 41 de la NIS2.
08-07-2026
La Comisión lleva a España ante el Tribunal de Justicia
Pide una suma a tanto alzado y multas diarias.
06-10-2026
El BOE publica la disolución de las Cortes
Real Decreto 806/2026.
23-12-2026
Se constituyen las nuevas Cámaras
Tras las elecciones del 29 de noviembre.
Fuente: Real Decreto 806/2026 · BOE, consultado el .
La remisión la anunció la Comisión Europea. El Real Decreto-ley 12/2018 no alcanza a la fabricación de componentes. Hoy no hay sanciones de la NIS2 que se te apliquen, pero un cliente que se prepara puede trasladártela por contrato. Seguimiento en el estado de la NIS2 en España.
¿Por qué tu cliente Tier 1 te exige seguridad aunque la NIS2 no te aplique?
Porque la NIS2 obliga a tu cliente a vigilar su cadena de suministro. El art. 21.2.d le exige cuidar la seguridad en la relación con cada proveedor directo, y el 21.3, valorar sus vulnerabilidades y sus prácticas. Esa obligación baja por contrato y te llega como cuestionario, cláusula o requisito de TISAX.
En automoción la cadena tiene nombre: el fabricante del vehículo (OEM) compra a sus proveedores directos (Tier 1), y estos a los suyos (Tier 2). Cada eslabón que está en la NIS2 tiene que demostrar que valoró a sus proveedores directos, y lo hace pidiéndote pruebas: un cuestionario de seguridad o una etiqueta TISAX.
¿Fabricas en las divisiones 26 a 30 y no eres pequeña empresa?
- Sí
- La NIS2 te incluye cuando España la transponga.
- No
- No te incluye por tu actividad.
¿Te confían información confidencial, prototipos o datos personales?
- Sí
- Te pedirán TISAX con la etiqueta de esa información.
- No
- Lo habitual es un cuestionario o una cláusula.
¿Tu cliente está en la NIS2 o suministra a quien lo está?
- Sí
- Te trasladará sus requisitos por contrato (art. 21.2.d).
- No
- Revisa igualmente lo que firmas.
En todos los casos: reúne las pruebas una vez y reutilízalas.
¿Qué te pide la NIS2, qué te pide el fabricante y qué te pide tu cliente directo?
Cosas distintas. La NIS2 pide diez tipos de medidas y avisar de los incidentes significativos en 24 horas, 72 horas y un mes. El fabricante pide una etiqueta TISAX según lo que te confía. Tu cliente directo, su cuestionario. Y el Reglamento n.º 155 de la CEPE obliga al fabricante, no a ti.
| Quién lo pide | Qué te pide | Cómo lo demuestras | Desde cuándo |
|---|---|---|---|
| La NIS2 (división 29, no pequeña) | Las diez medidas del art. 21 y avisar de incidentes en 24 h, 72 h y un mes (art. 23) | Ante la autoridad que fije la ley española | Cuando España la transponga |
| El fabricante (OEM) | Etiqueta TISAX: Confidential (AL2); AL3 si hay prototipos o información estrictamente confidencial | En el portal de ENX; vale tres años | Desde que lo exige el contrato |
| Tu cliente directo (Tier 1) | Su cuestionario y sus cláusulas | Respuestas con las pruebas de un dossier | Cuando te homologa |
| Reglamento n.º 155 de la CEPE | Nada directo: el fabricante gestiona los riesgos de sus proveedores (punto 7.3.2) | Lo que el fabricante te traslade | En vigor desde el 22-1-2021 |
El Reglamento n.º 155 de la CEPE regula la ciberseguridad para homologar vehículos, y el n.º 156, sus actualizaciones de software. Ambos obligan al fabricante del vehículo. Si suministras electrónica de a bordo, es probable que te lleguen requisitos de producto por esa vía.
¿Qué nivel de TISAX te va a pedir un fabricante de automoción?
El que corresponda a lo que te confía, no a tu tamaño. Información confidencial: etiqueta Confidential, nivel AL2, con revisión a distancia. Información estrictamente confidencial, piezas o vehículos prototipo: nivel AL3, con auditor en tus instalaciones. La etiqueta vale tres años y se comparte en el portal de ENX.
21.000
emplazamientos evaluados con TISAX desde 2016, según ENX, que habla de «más de 21.000». Más de 5.000 usuarios de más de diez fabricantes consultan esos resultados.
El detalle está en TISAX nivel 2 y en qué es TISAX. Según el manual del participante de ENX, desde el 1-4-2024 las etiquetas de información se llaman Confidential y Strictly confidential, y desde el 1-1-2025 los vehículos de prueba y los eventos con prototipos bajan a AL2. Si suministras justo a tiempo, la etiqueta puede ser High availability (AL2) o Very high availability (AL3). Y según el calendario de ENX, la ISA2027 rige lo que se encargue desde el 1-1-2027.
¿Qué pregunta el cuestionario de seguridad de un fabricante de automoción?
Cambia el formato, pero el catálogo de referencia del sector es la VDA ISA. Su versión 6 tiene 45 preguntas de control activas de seguridad de la información, en siete capítulos: organización, personas, seguridad física, accesos, seguridad informática, proveedores y cumplimiento. Aparte hay 22 preguntas de prototipos y 12 de protección de datos.
Organización (capítulo 1)
- Política de seguridad y responsable
- Inventario y clasificación de la información
- Riesgos, incidentes y crisis
Personas y seguridad física (2 y 3)
- Formación y compromiso de la plantilla
- Trabajo fuera de la oficina y dispositivos móviles
Accesos (4)
- Identificación, cuentas y contraseñas
- Permisos asignados, revisados y retirados
Seguridad informática (5)
- Cifrado y protección contra programas maliciosos
- Registros, vulnerabilidades y red
- Continuidad y copias con recuperación
Proveedores y cumplimiento (6 y 7)
- Contratistas y acuerdos de confidencialidad
- Requisitos legales y datos personales
Las cifras salen del Excel de la VDA ISA 6.0.3 que publica ENX en sus descargas de TISAX. Según el manual de ENX, hay clientes que piden esa autoevaluación fuera de TISAX. Si tu cliente manda su propio formulario, responde una vez y reutiliza: la plantilla para responder un cuestionario de seguridad ordena las respuestas y el dossier de evidencias, las pruebas.
¿Tener TISAX te sirve para cumplir la NIS2?
En gran parte, según ENX, que gestiona TISAX. Su dictamen de 24 de abril de 2025 concluye que una etiqueta basada en la ISA 6 cubre los arts. 20 y 21 si los objetivos de evaluación reflejan tu riesgo real y entran todas las sedes afectadas. Notificar incidentes a la autoridad sigue siendo aparte.
| Obligación de la NIS2 | ¿La cubre TISAX? | Matiz o condición |
|---|---|---|
| Art. 20 · responsabilidad de la dirección | Sí, según ENX | Que los objetivos reflejen el riesgo total |
| Art. 21 · medidas de gestión de riesgos | Sí, según ENX | Que entren todas las sedes afectadas |
| Art. 21.2.d · cadena de suministro | Sí, y va más allá | Llega más allá del proveedor directo |
| Art. 23 · notificar incidentes | Prueba que hay un mecanismo | Los avisos a la autoridad son aparte |
| Evaluaciones solo de prototipos | No bastan | El dictamen las excluye |
| Reconocimiento de la autoridad española | No existe | Falta la ley española |
Es la opinión de ENX y de los auditores que participaron en el dictamen, no el reconocimiento de una autoridad. Lo que sí muestra su análisis es que cada medida del art. 21 tiene su correspondencia en preguntas de la ISA: preparar una cosa adelanta la otra.
¿Por dónde empieza un proveedor de automoción de 40 personas?
Por preguntar a tu cliente, por escrito, qué etiqueta TISAX o qué cuestionario necesita y para cuándo. Después, comprobar tu CNAE y tu tamaño frente a la NIS2, hacer la autoevaluación con la VDA ISA, cerrar lo básico de oficina y reunir las pruebas en un dossier antes de pedir ofertas a los auditores.
- Pide la etiqueta exacta: según ENX, saber el nivel no basta.
- Comprueba tu CNAE y tu tamaño. Con 40 personas, la NIS2 solo te incluye si superas los 10 millones de euros de facturación y de balance.
- Haz la autoevaluación con la VDA ISA: el objetivo es un nivel de madurez 3 en cada pregunta aplicable.
- Cierra lo básico: doble factor, copias con restauración probada, antivirus gestionado (EDR) y un plan de respuesta a incidentes.
- Registra el alcance en ENX antes de pedir ofertas a los auditores.
Calcula meses. Según el manual de ENX, entre la reunión de arranque y la entrega de la autoevaluación suelen pasar de uno a tres meses, y seis no es raro. Desde el cierre de la evaluación inicial tienes como máximo nueve meses para resolver lo pendiente.
Talvit no hace la evaluación TISAX: la hace un auditor aprobado por ENX. Cubre la seguridad de la oficina (antivirus gestionado, copias probadas, filtro de correo) y, con presupuesto aparte de la cuota de 29 € por puesto y mes (IVA no incluido), el sistema documentado y el dossier de evidencias. Más en proveedores. La planta, en ciberseguridad en la industria; otros sectores, en las guías por sector.
Lo que esta guía no cubre
- La ciberseguridad del producto: el software y la electrónica del vehículo de los Reglamentos n.º 155 y 156.
- La red de planta y los accesos de mantenedores.
- El precio de una evaluación TISAX: lo fija cada auditor y ENX no lo publica.
- La futura ley española: cuando se publique, esta guía se revisa.
Preguntas frecuentes
¿Me pueden exigir TISAX si soy pequeña empresa?
Sí: es un requisito del contrato, no de la ley. Según ENX, el nivel AL3 lo eligen más las empresas pequeñas que las grandes, porque con visita presencial suele bastar una documentación más básica.
¿Tengo que pasar TISAX en todas mis sedes?
En todas las que manejan información de tu cliente. ENX cobra 405 euros por ubicación y alcance, una sola vez, según su tarifa vigente desde el 19-8-2020. El auditor factura aparte.
¿Una ingeniería que trabaja para el fabricante recibe las mismas exigencias?
De TISAX, sí: cuenta la información que manejas, no lo que fabricas. De la NIS2, depende de si su actividad está en alguno de sus anexos.
Fuentes
- Directiva (UE) 2022/2555 (NIS2) · EUR-Lex, consultado el
- Recomendación 2003/361/CE, arts. 2 y 6 del anexo · EUR-Lex, consultado el
- Real Decreto 10/2025 (CNAE-2025) · BOE, consultado el
- Real Decreto 806/2026 · BOE, consultado el
- Comisión Europea: remisión de España al Tribunal de Justicia por la NIS2 (8-7-2026), consultado el
- Real Decreto-ley 12/2018, art. 2 · BOE, consultado el
- Reglamento n.º 155 de la CEPE, ciberseguridad del vehículo · EUR-Lex, consultado el
- Reglamento n.º 156 de la CEPE, actualizaciones de software · EUR-Lex, consultado el
- ENX: publicación de la VDA ISA2027 (1-7-2026), consultado el
- ENX Association: calendario de la ISA2027 (7-8-2026), consultado el
- ENX Association: manual del participante de TISAX, versión 2.8, consultado el
- ENX: «NIS2 fulfilment through TISAX» (24-4-2025), consultado el
- ENX Association: descargas de TISAX (VDA ISA 6 e ISA2027), consultado el
- ENX Association: tarifa de participación en TISAX, vigente desde el 19-8-2020, consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
