NIS2 organizaciones de investigación: qué clientes entran en el ámbito y qué universidades no

Una spin-off universitaria de 80 empleados, un laboratorio privado de investigación por contrato y un instituto universitario se llaman "de investigación". Según NIS2, solo uno de los tres está seguro dentro del ámbito.

Si asesora a clientes del sector investigador, la pregunta no es "¿investigan?". Es: "¿son una organización de investigación en el sentido de la directiva, y qué hará la ley española, que sigue sin aprobarse?"

Qué entiende NIS2 por organización de investigación

El anexo II de NIS2 incluye a las organizaciones de investigación como sector. Las entidades de los sectores del anexo II son entidades importantes. La supervisión es reactiva: tras indicios o un incidente, no proactiva.

La definición está en el artículo 6, punto 41. Una organización de investigación tiene como objetivo principal la investigación aplicada o el desarrollo experimental, con vistas a explotar comercialmente los resultados. Los centros educativos quedan expresamente excluidos.

De ahí salen tres pruebas:

• La investigación aplicada o el desarrollo experimental es el objetivo principal, no una actividad secundaria.
• Los resultados se destinan a explotación comercial.
• La entidad no es un centro educativo.

Un laboratorio privado de I+D que vende resultados a la industria cumple las tres. Una facultad con algunos contratos industriales, no, porque la universidad en su conjunto es educativa.

El umbral de tamaño siempre se aplica

El artículo 2, apartado 1, aplica el criterio europeo de tamaño. Quedan cubiertas las empresas medianas y mayores: en la práctica, al menos 50 empleados, o volumen de negocios y balance superiores a 10 millones de euros.

Una start-up de 12 investigadores queda fuera, salvo que el Estado miembro aplique una regla independiente del tamaño. Es el primer filtro para cada cliente investigador y descarta más casos de los que la mayoría de consultores espera.

Universidades: fuera por defecto, dentro por decisión nacional

El artículo 2, apartado 5, permite a los Estados miembros extender NIS2 a los centros educativos, en particular cuando realizan actividades de investigación críticas. Es una opción, no una obligación.

El resultado es un mosaico. Dos universidades con el mismo programa de investigación pueden tener obligaciones distintas a ambos lados de una frontera. No deduzca nunca la respuesta solo de la directiva.

España: sin ley, con Tribunal de Justicia

España no transpuso NIS2 en el plazo del 17 de octubre de 2024. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad fue aprobado por el Consejo de Ministros el 14 de enero de 2025 y sigue sin publicarse en el BOE. La Comisión emitió un dictamen motivado el 7 de mayo de 2025 y presentó recurso ante el Tribunal de Justicia de la UE el 8 de julio de 2026.

Mientras tanto sigue vigente el Real Decreto-ley 12/2018, la transposición de NIS1. El anteproyecto prevé un Centro Nacional de Ciberseguridad como punto de contacto único. Hoy INCIBE-CERT atiende incidentes de entidades privadas, pero no es autoridad supervisora, y el CCN supervisa al sector público.

Para una organización de investigación española no hay todavía una obligación nacional equivalente a NIS2 que citar. Dígaselo con claridad al cliente y use el artículo 21 de la directiva como referencia de buenas prácticas. Vea la guía de las diez medidas del artículo 21.

En el resto de Europa: lo que pudimos verificar

Países Bajos. La Cyberbeveiligingswet (Stb. 2026, 187) está en vigor desde el 15 de agosto de 2026 y cubre la investigación con fines comerciales.

Alemania. La NIS2UmsuCG rige desde el 6 de diciembre de 2025, con el BSI como autoridad. Las organizaciones de investigación son entidades importantes (§ 28 BSIG).

Italia. El D.Lgs. 138/2024 va más allá de la directiva: organizaciones de investigación en el anexo II, entes de investigación en el anexo III y centros educativos con investigación en el anexo IV.

Polonia. La ley KSC modificada se aplica desde el 2 de abril de 2026 y cita la investigación científica como sector importante.

Francia. La transposición sigue bloqueada en la Asamblea Nacional.

Qué supone en la práctica ser entidad importante

Las entidades importantes tienen las mismas obligaciones de gestión de riesgos (artículo 21) que las esenciales. También deben notificar los incidentes significativos (artículo 23): alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.

La diferencia está en la supervisión y las sanciones. Para entidades importantes, el máximo es de 7 millones de euros o el 1,4 % del volumen de negocios mundial anual, lo que sea mayor. La supervisión es ex post.

En clientes investigadores los puntos débiles son previsibles: datos de investigación y propiedad intelectual, control de acceso de colaboradores externos y redes de laboratorio o instrumentos que nadie clasificó como TI.

Cómo delimitar a un cliente investigador en cuatro preguntas

1. ¿Es la investigación el objetivo principal de la entidad? Si es primero un centro educativo, espere a la norma nacional.
2. ¿Es investigación aplicada, con explotación comercial prevista? Si no, la definición del artículo 6, punto 41 probablemente falla.
3. ¿Supera la entidad el umbral de tamaño? Por debajo de 50 empleados y 10 millones de euros de facturación, normalmente queda fuera.
4. ¿Añade algo el derecho nacional? En España, anote la fecha de su análisis y revíselo cuando se apruebe la ley.

Documente las respuestas y la fecha. Si la autoridad discrepa más tarde, una nota de delimitación fechada demuestra diligencia. Para grupos con presencia en varios países, las reglas de jurisdicción del artículo 26 determinan qué autoridad le supervisa.

La conclusión

No delimite por la palabra "investigación". Delimite por el artículo 6, punto 41, el umbral de tamaño y la ley nacional, en ese orden.

Para convertirlo en evidencia, haga una evaluación de preparación por cliente y archive el resultado. Inicie un quick scan en NIS2Certify para ver dónde está la postura de cumplimiento de un cliente investigador frente al artículo 21.

Este artículo es información general, no asesoramiento jurídico. Verifique el ámbito en el derecho nacional y ante la autoridad de su cliente.