NIS2 mercado en línea: ¿entra su cliente en el ámbito de aplicación?

Una empresa de Valencia con 70 empleados gestiona una plataforma donde aficionados se venden entre sí piezas de cámaras antiguas. Los compradores pagan en la web, los vendedores envían por su cuenta, y su MSP aloja la infraestructura. Pregunte al fundador si NIS2 le afecta y oirá: «Somos una tienda online pequeña. Eso es comercio, no infraestructura crítica.»

Esa respuesta puede ser errónea. Una plataforma en la que los compradores contratan con vendedores terceros es un mercado en línea NIS2. Los proveedores digitales de ese tipo figuran en el anexo II, con su propia regla de jurisdicción, su propia obligación de registro y sus propios umbrales de incidente. Así se comprueba en un cliente, y qué cambia el resultado.

NIS2 mercado en línea: qué cubre realmente la directiva

El anexo II de la directiva incluye a los «proveedores digitales» como sector. Aquí importan tres tipos: proveedores de mercados en línea, de motores de búsqueda en línea y de plataformas de servicios de redes sociales. Son entidades importantes, no esenciales, de modo que la supervisión es sobre todo posterior. Eso no los hace opcionales: las medidas del artículo 21 y la notificación de incidentes del artículo 23 se aplican íntegramente.

España todavía no ha transpuesto la directiva. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero a mediados de 2026 sigue en tramitación y no está publicado en el BOE. La Comisión Europea emitió un dictamen motivado el 7 de mayo de 2025 y, el 8 de julio de 2026, remitió a España al Tribunal de Justicia de la UE. Mientras tanto sigue vigente el Real Decreto-ley 12/2018 de la primera directiva NIS.

El Reglamento de Ejecución (UE) 2024/2690, en vigor desde el 7 de noviembre de 2024, desarrolla la parte técnica. Su artículo 1 incluye mercados en línea, buscadores y redes sociales entre los diez tipos de entidad que cubre. Detalla las medidas del artículo 21, apartado 2 y fija cuándo un incidente es significativo.

Quizá conozca nuestra guía sobre infraestructura digital y la regla de los 30 minutos. Los umbrales de tiempo estrictos de allí afectan a proveedores DNS, de nube y similares. Para mercados en línea, buscadores y redes sociales, los umbrales se basan en el número de usuarios.

Las tres definiciones que deciden el ámbito

El ámbito depende del artículo 6, no de cómo se describa el cliente.

Un mercado en línea se define por remisión al artículo 2, letra n), de la Directiva 2005/29/CE: un servicio, explotado por un comerciante o en su nombre, que permite a los consumidores celebrar contratos a distancia con otros comerciantes o consumidores. Una tienda que solo vende su propio stock no cumple. Una plataforma donde venden terceros, sí.

Un motor de búsqueda en línea se define por remisión al artículo 2, punto 5, del Reglamento (UE) 2019/1150. Un buscador interno del propio sitio no cuenta. Un servicio que busca entre sitios web, sí.

Una plataforma de servicios de redes sociales se define en el propio artículo 6: una plataforma que permite a los usuarios finales conectarse, compartir, descubrir y comunicarse entre sí a través de varios dispositivos, en particular mediante chats, publicaciones, vídeos y recomendaciones. Las funciones de comunidad añadidas a un producto suelen quedarse cortas. Un producto cuyo núcleo es esa interacción, no.

Los casos límite abundan: un foro de nicho con anuncios de pago, un portal B2B de pedidos donde los distribuidores revenden, una app con capa de mensajería. Documente el razonamiento por cliente. Un «fuera de ámbito porque X» documentado pesa más en una inspección que una suposición sin respaldo.

Tamaño y clasificación: la prueba que los clientes se saltan

La regla de tamaño sigue vigente. El proveedor debe ser al menos mediano: 50 o más empleados, o un volumen de negocios anual y un balance general ambos superiores a 10 millones de euros. La plataforma valenciana de 70 empleados lo cumple. Una startup de 12 personas con el mismo servicio, no.

Quien supera la prueba de tamaño es una entidad importante. El límite máximo de sanción previsto en la directiva es de 7 millones de euros o el 1,4 % del volumen de negocios mundial anual, el que sea mayor, y la dirección asume la responsabilidad. Para la lógica del ámbito, vea ¿Se aplica NIS2 a mi organización?.

Un solo regulador para toda la UE: artículo 26

La mayoría de los sectores dependen del país donde operan. Mercados en línea, buscadores y redes sociales siguen otra regla. Según el artículo 26, apartado 1, letra b), dependen del Estado miembro donde tienen su establecimiento principal en la Unión.

El artículo 26, apartado 2 lo define como el Estado miembro donde se toman predominantemente las decisiones sobre las medidas de gestión de riesgos de ciberseguridad. Si no puede determinarse, es donde se realizan las operaciones de ciberseguridad. Si tampoco, el Estado miembro del establecimiento con más empleados.

Para sus clientes MSP esto significa que una plataforma dirigida desde Valencia pero que vende en Alemania, Francia y Polonia responde ante una sola autoridad nacional, no cuatro. Un proveedor establecido fuera de la UE que ofrece servicios en la Unión debe, conforme al artículo 26, apartado 3, designar un representante en un Estado miembro donde ofrezca servicios. Ese Estado miembro pasa a ser competente. Nuestro artículo sobre qué regulador supervisa a su cliente explica la cascada.

Registro: el artículo 27, independiente de las auditorías

El artículo 27 obliga a estos proveedores a facilitar datos de identificación para el registro que mantiene ENISA. La lista es concreta: nombre de la entidad, sector y tipo según el anexo II, dirección del establecimiento principal y de otros establecimientos en la Unión (o del representante), datos de contacto actualizados, Estados miembros donde se prestan los servicios y rangos de direcciones IP.

La primera comunicación debía hacerse antes del 17 de enero de 2025. Los cambios deben notificarse sin demora y, en todo caso, en el plazo de tres meses. Los rangos IP son lo que más se olvida. Cambian con cada modificación de CDN o de alojamiento, y nadie avisa al responsable de cumplimiento.

Los registros nacionales añaden sus propios portales y plazos. El retraso de registro en Alemania muestra lo que ocurre cuando nadie asume la tarea.

Umbrales de incidente: 5 % de usuarios o 1 millón

Para mercados en línea, buscadores y redes sociales, el Reglamento de Ejecución fija umbrales basados en usuarios en los artículos 11, 12 y 13. Un incidente es significativo si el servicio queda totalmente indisponible, o con disponibilidad limitada, para más del 5 % de sus usuarios en la Unión o más de 1 millón de usuarios, el que sea menor. Una vulneración de datos de esa magnitud también lo es.

Un presunto compromiso malicioso de la integridad, confidencialidad o autenticidad de los datos es significativo sea cual sea el número de usuarios. El artículo 3 añade criterios generales, entre ellos una pérdida financiera directa superior a 500.000 euros o al 5 % del volumen de negocios anual, la menor de ambas.

Tome un mercado con 400.000 usuarios en la UE. El cinco por ciento son 20.000. Una caída que afecte a 20.000 usuarios, o una fuga de 20.000 cuentas, es significativa. Muchos equipos creen que el listón es el millón. Para plataformas pequeñas y medianas, el listón es el porcentaje.

Cuando un incidente es significativo, se aplica la secuencia de tres pasos del artículo 23. Los plazos de notificación son 24 horas para la alerta temprana, 72 horas para la notificación del incidente y un mes para el informe final.

Dónde está la supervisión en octubre de 2026

Mientras no haya ley española, no existe una autoridad nacional NIS2 con base legal para sancionar. En la práctica, INCIBE-CERT gestiona los incidentes del sector privado y el CCN-CERT los del sector público. El anteproyecto prevé un Centro Nacional de Ciberseguridad como autoridad competente única. Que no haya ley no es una exención: si el establecimiento principal de su cliente está en otro Estado miembro ya transpuesto, rige la ley de ese Estado desde ahora. Vea el calendario de transposición para el estado país por país.

Qué comprobar este mes

Recorra cinco preguntas por cada cliente de plataforma. ¿El servicio encaja en alguna de las tres definiciones del artículo 6? ¿El cliente supera la prueba de tamaño? ¿Dónde se toman predominantemente las decisiones de ciberseguridad y, por tanto, qué regulador corresponde? ¿Están al día los datos del artículo 27, incluidos los rangos IP? ¿Y alguien ha contrastado el número de usuarios con los umbrales del 5 % y del millón?

Las dos primeras se resuelven normalmente en una tarde. Las tres últimas sacan a la luz las lagunas reales. Como punto de partida estructurado, haga el escaneo gratuito de preparación NIS2 y use el resultado como base para la conversación con el cliente.