NIS2 sector espacial: qué infraestructura terrestre está en el ámbito

El centro de control de un operador de satélites ocupa una nave en un parque empresarial a las afueras de una ciudad española. Cuarenta empleados, un campo de antenas alquilado y un proveedor de TI gestionada que lleva seis años con derechos de administrador de dominio. El satélite en órbita queda fuera de NIS2. La sala que lo comanda, no.

Ahí se equivocan los consultores. El sector espacial de NIS2 es estrecho, y casi todo lo que se llama «espacial» queda fuera.

Qué cubre realmente el sector espacial de NIS2

El anexo I, punto 11 de la Directiva (UE) 2022/2555 recoge un solo tipo de entidad: operadores de infraestructura terrestre, propiedad de Estados miembros o de particulares y gestionada y explotada por ellos, que apoyen la prestación de servicios basados en el espacio. Quedan excluidos los proveedores de redes públicas de comunicaciones electrónicas, que pertenecen a infraestructura digital.

El considerando 37 explica la lógica. La Directiva cubre el espacio solo en la medida en que los servicios dependen de infraestructura terrestre. Las naves espaciales en sí no se regulan.

En la práctica, es el segmento terreno:

• estaciones terrenas y emplazamientos de antenas
• control de misión y centros de operación de satélites
• instalaciones de telemetría, seguimiento y telemando (TT&C)
• emplazamientos pasarela y centros dedicados al tratamiento de datos de carga útil

Los fabricantes de satélites, los lanzadores y los activos en órbita no entran en este tipo de entidad. Un fabricante puede estar en el ámbito por otro sector del anexo II, pero es otra cuestión.

Tamaño y clasificación: esencial o importante

Se aplica la regla general de tamaño del artículo 2, apartado 1. Las empresas medianas y mayores entran en el ámbito. Las pequeñas y microempresas no, salvo que el derecho nacional o el artículo 2, apartado 2 las incluya.

El espacio figura en el anexo I. Un operador grande es entidad esencial (artículo 3, apartado 1) y uno mediano, entidad importante. La diferencia afecta a la supervisión: controles proactivos para las esenciales, supervisión sobre todo reactiva tras un incidente para las importantes.

Muchas empresas espaciales son pequeñas. Una estación terrena con 30 empleados suele quedar por debajo del umbral. La misma empresa, dentro de un grupo que supera los umbrales y compartiendo red, puede no hacerlo. Revise la estructura del grupo antes de tranquilizar a un cliente.

Las obligaciones son el conjunto estándar de NIS2

NIS2 no tiene reglas propias para el espacio. Un operador incluido debe las mismas medidas del artículo 21 que cualquiera: análisis de riesgos, gestión de incidentes, continuidad, seguridad de la cadena de suministro, desarrollo seguro, control de acceso, criptografía y MFA.

Tres puntos merecen atención especial con este tipo de cliente:

• Control de acceso en los enlaces de mando. Los enlaces ascendentes TT&C son el objetivo más valioso. El acceso privilegiado a los sistemas de mando exige MFA resistente al phishing y registro de sesiones.
• Concentración de proveedores. El tiempo de antena, el procesamiento en la nube y la TI gestionada suelen venir de dos o tres proveedores. El artículo 21, apartado 2, letra d exige evaluar a cada uno.
• Sistemas tipo OT. Los controladores de antena y las herramientas de planificación usan software antiguo. La segmentación pesa más que la velocidad de parcheo.

La notificación de incidentes sigue el artículo 23: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. Nuestra guía de plazos de notificación explica el procedimiento.

Qué autoridad supervisa a un operador espacial

Cada Estado miembro designa sus autoridades competentes. Las agencias espaciales nacionales son socios de política pública, no supervisores NIS2. La ESA es una organización intergubernamental sin papel de supervisión NIS2.

Según el artículo 26, apartado 1, un operador espacial depende del Estado miembro donde está establecido. Un operador con emplazamientos terrestres en varios países puede responder ante varias autoridades. Nuestro artículo sobre qué autoridad supervisa a su cliente explica las reglas. El registro es una obligación aparte en la mayoría de los países, consulte también el resumen de plazos de registro.

España: sin ley de transposición y ante el Tribunal de Justicia

España no ha transpuesto NIS2. Solo existe el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, presentado en el Consejo de Ministros el 14 de enero de 2025. La Comisión anunció el 8 de julio 2026 que lleva a España ante el Tribunal de Justicia de la UE, junto con Francia, Irlanda y los Países Bajos. Nuestro análisis de la remisión al TJUE detalla el efecto práctico.

Mientras no haya ley, el marco vigente es el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, con CCN-CERT e INCIBE-CERT en funciones técnicas y de coordinación. Un contacto CERT no equivale a una autoridad sancionadora. Dígaselo así al cliente: hoy no existe un deber de registro NIS2 en derecho español, pero el análisis de riesgos del artículo 21 sigue siendo la buena práctica que exigirá la futura ley.

Para clientes con sedes en otros países: Alemania aplica la NIS2UmsuCG desde el 6 de diciembre de 2025, Polonia su ley KSC modificada desde el 3 de abril de 2026, Italia el D.Lgs. 138/2024 desde octubre de 2024 y los Países Bajos la Cyberbeveiligingswet desde el 15 de agosto de 2026.

El EU Space Act podría reescribir las reglas de ciberseguridad espacial

La Comisión propuso el EU Space Act el 25 de junio de 2025 (COM(2025) 335 final). Es una propuesta, no una ley. Las tres instituciones discrepan sobre su relación con NIS2.

La Comisión quiere una lex specialis. Para las entidades NIS2, su capítulo de ciberseguridad sustituiría las obligaciones generales del artículo 21, con pruebas de penetración basadas en amenazas antes del lanzamiento y al menos cada tres años, y alerta temprana en 12 horas para activos de la Unión.

El texto transaccional del Consejo va en sentido contrario. Las entidades NIS2 seguirían bajo NIS2 y las obligaciones del Space Act se aplicarían sobre todo a operadores ajenos a NIS2, como los pequeños y los de terceros países. El proyecto de informe de la comisión ITRE del Parlamento Europeo (marzo de 2026) rechaza un régimen aparte y añadiría las actividades espaciales a la propia NIS2.

Los trílogos no han empezado. Un análisis jurídico espera su adopción no antes de finales de 2027 y su aplicación hacia 2030. No construya un programa de cliente sobre una propuesta. Constrúyalo sobre NIS2 y vigile el Space Act.

Qué hacer con un cliente cercano al sector espacial

Empiece por el ámbito, no por los controles. Tres preguntas: ¿opera el cliente infraestructura terrestre que apoya servicios espaciales?, ¿alcanza el umbral de tamaño incluido el grupo?, ¿es proveedor de comunicaciones electrónicas?

Si la respuesta es sí, sí, no, el cliente está en el ámbito. Mapee el segmento terreno como inventario de activos y haga después un análisis de brechas frente al artículo 21, empezando por TT&C y el acceso de mando. Para una línea base antes de la primera reunión, use el quick scan de NIS2Certify.

El Space Act tardará años. Los deberes de registro, notificación y auditoría de NIS2 llegarán antes.