La Ley de Ciberseguridad de España, la transposición española de la directiva europea NIS2, va a obligar a miles de empresas que nunca habían contratado seguridad a hacerlo de repente: medidas técnicas mínimas, planes de notificación de incidentes en 24 horas, formación obligatoria para directivos y auditorías periódicas. La gran consultoría no puede absorber ese mercado (cada proyecto de compliance grande necesita meses y equipos caros), y ahí entra la oportunidad: si eres freelance tech con base en seguridad, DevOps o arquitectura, vender cumplimiento de esta ley es de los servicios con mejor relación demanda/esfuerzo que verás en 2026. En este post te explico qué exige exactamente la norma, en qué punto de la tramitación está, qué están pidiendo ya las empresas en sus ofertas y cómo montar un servicio freelance alrededor de ella, con paquetes y tarifas concretas.
Qué es exactamente esta ley y en qué punto está su tramitación
Resumen clave: ¿NIS2 y Ley de Ciberseguridad son lo mismo? En la práctica diaria de un freelance, «proyecto NIS2» y «proyecto de Ley de Ciberseguridad» describen el mismo trabajo: medidas del artículo 21, notificación de incidentes y evidencias auditables. ¿Cuánto factura un freelance de cumplimiento NIS2 en España?
La Directiva (UE) 2022/2555, conocida como NIS2, es la normativa europea de ciberseguridad para empresas y entidades críticas. Sustituye a la primera NIS de 2016 y amplía enormemente su alcance: pasa de cubrir unos pocos sectores «críticos» a afectar a 18 sectores, desde energía y banca hasta gestión de residuos, alimentación o servicios digitales. Los Estados miembros debían transponerla antes del 17 de octubre de 2024.
España no llegó a ese plazo. El Consejo de Ministros aprobó el anteproyecto de Ley de Ciberseguridad el 14 de enero de 2025, dando inicio a la tramitación parlamentaria. Que el proceso lleve más tiempo del previsto no relaja nada para las empresas: cuando la ley entre en vigor no habrá largos periodos transitorios para empezar a cumplir, y la Comisión Europea ya abrió en 2024 un procedimiento de infracción contra España (y otros Estados) por el retraso en la transposición. La prensa sectorial lo sigue tratando como tema de portada cada pocas semanas, este mismo agosto de 2026 ha vuelto a ocupar titulares, lo que te da el gancho perfecto para abrir conversaciones comerciales ahora, antes de que el mercado se sature.
El anteproyecto español añade además un elemento propio: la Agencia Española de Ciberseguridad, un organismo estatal que nacerá para coordinar la supervisión, junto al papel ya clásico del Centro Criptológico Nacional (CCN) y la conexión con el Esquema Nacional de Seguridad (ENS). Para ti, esa doble referencia europea+nacional significa que un cliente puede pedirte «NIS2» y necesitar en realidad una mezcla de controles NIS2, ISO 27001 y ENS según su sector.
A quién obliga: entidades esenciales, importantes y la zona gris que te da negocio
La ley distingue dos categorías, y la diferencia importa porque cambia el régimen sancionador y la intensidad de las supervisión:
| Tipo de entidad | Criterio aproximado | Régimen |
|---|---|---|
| Esenciales | Sector crítico (energía, transporte, banca, salud, administración digital…) y tamaño grande: >250 empleados o >50 M€ de facturación | Supervisión proactiva y multas de hasta 10 M€ o el 2 % de la facturación global anual |
| Importantes | Sectores incluidos con tamaño medio: 50-249 empleados o >10 M€ de facturación (con umbrales que bajan según sector) | Supervisión a posteriori y multas de hasta 7 M€ o el 1,4 % de la facturación |
| Zona gris | Empresas pequeñas fuera del ámbito pero que trabajan como proveedoras de las anteriores | Sin obligación directa, pero reciben exigencias contractuales de sus clientes (cuestionarios, cláusulas, auditorías) |
Esa tercera fila es la más interesante para un freelance. Aunque la ley no obligue directamente a una startup de 20 personas que vende software a un banco, el banco le va a exigir por contrato exactamente las mismas medidas que la ley le exige a él: gestión de riesgos, gestión de la cadena de suministro, notificación de incidentes. Es el mismo efecto dominó que ya vivimos con el RGPD y con la guía de cumplimiento del AI Act: la obligación baja del cliente grande al proveedor pequeño, y el proveedor pequeño no tiene equipo de seguridad propio. Te contrata a ti.
Las cinco exigencias de la ley que generan demanda freelance ya
Del texto de NIS2 y del anteproyecto se derivan obligaciones muy concretas. Estas son las cinco que mejor se traducen a servicios:
1. Gestión de riesgos y medidas técnicas mínimas
El artículo 21 de la directiva enumera medidas obligatorias: análisis de riesgos, gestión de incidentes, continuidad de negocio (backup y recuperación), seguridad de la cadena de suministro, higiene ciberseguridad básica, cifrado, control de accesos y gestión de vulnerabilidades. Traducción comercial: un gap analysis contra ese artículo, priorizado y con plan de remediación. Es el producto de entrada perfecto.
2. Notificación de incidentes con reloj en mano
Alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en un mes. Casi ninguna pyme tiene un procedimiento escrito para eso. Diseñar el runbook, montar el flujo de escalado y entrenar al equipo es un servicio de días, no de meses.
3. Responsabilidad del órgano de dirección (y su formación)
NIS2 hace responsables personales a los consejeros y directivos: deben aprobar las medidas, supervisar su implantación y formarse en ciberseguridad. La propia directiva exige que los directivos reciban formación. Una sesión formativa de 3-4 horas para comités de dirección, con certificado y temario alineado a la ley, se factura entre 1.200 y 2.500 €.
4. Seguridad de la cadena de suministro
Las entidades deben evaluar los riesgos de sus proveedores y contratar con cláusulas de seguridad. Esto genera dos líneas de negocio: diseñar esos requisitos si tu cliente es el grande, y cumplirlos si tu cliente es el proveedor. Aquí enlaza directo con la ciberseguridad freelance en España que ya analizamos: SBOM, revisión de dependencias y endurecimiento de pipelines.
5. Auditorías, registros y evidencias
Las entidades esenciales pasarán auditorías y controles periódicos. Alguien tiene que preparar la documentación, mantener el SGSI vivo y generar las evidencias. Los SGSI vivos son retainers: se cobran cada mes.
Multas: el argumento de venta que no es miedo, es aritmética
Puedes defender el servicio con el precio de la multa (hasta 10 M€ o 2 % de la facturación), pero el argumento que mejor funciona con directivos es el coste comparado: un programa básico de cumplimiento cuesta entre el 0,05 % y el 0,2 % de la facturación de una mediana empresa; la multa mínima grave de la ley ya supera eso por un factor de diez. Además, el órgano de dirección responde personalmente, y en el anteproyecto español se prevé incluso la suspensión temporal de directivos en los casos más graves. No vendas miedo: vende la lista corta de decisiones que un director general debe poder defender ante un inspector.
Añade contexto de mercado real: España soportó en el último año alrededor del 3 % de los ataques de ransomware mundiales, con más de 90 bandas de ciberdelincuentes operando contra empresas del país, según recogió La Razón este agosto. La pregunta «¿qué harías si mañana te cifran los servidores y además te multan por no haber notificado?» no es retórica.
Qué ya piden las ofertas: los datos de SeniorStack
La demanda no es teórica. En nuestra base de 11.973 ofertas tech analizadas entre junio y agosto de 2026, la señal de cumplimiento está creciendo de forma muy visible:
- 38 ofertas mencionan NIS2 explícitamente en su descripción o título, hace un año era anecdótico.
- 128 ofertas piden ISO 27001 como requisito o valoración, y 13 citan el Esquema Nacional de Seguridad.
- En el segmento de Security en remoto en España hay 20 ofertas activas a fecha de 21 de agosto de 2026, con Python presente en el 15 % de los corpus y AWS entre las skills más demandadas, según los datos de SeniorStack.
Y los títulos lo dicen todo: GRC Security Consultant, Information Security and Compliance Analyst, Security Architect for ISMS o Consultor/a de Ciberseguridad Senior | Teletrabajo | ENS, ISO 27001. Fíjate en el patrón: compliance + gobierno + ISMS. No es pentesting ni red team; es exactamente el perfil que un freelance senior con experiencia en operaciones puede construir en semanas. Si vienes de DevOps, tienes el 70 % del camino andado, ya sabes identidades, backups, pipelines y monitorización; te falta el vocabulario normativo.
Cómo montar el servicio: paquetes y tarifas concretas
La forma más rápida de vender esto es empaquetarlo. Tres formatos que funcionan:
| Paquete | Qué incluye | Precio orientativo 2026 |
|---|---|---|
| Gap analysis NIS2/ENS | 2 semanas: inventario de activos, evaluación contra art. 21, informe priorizado y hoja de ruta a 12 meses | 2.500-5.000 € fijos |
| Implantación base | 1-2 meses: políticas, runbook de incidentes 24/72h, matriz de accesos, plan de backup y formación de directivos | 6.000-14.000 € por proyecto |
| SGSI vivo (retainer) | Gestión continua: revisión trimestral de riesgos, actualización de evidencias, soporte en auditorías y simulacros | 600-2.000 €/mes |
Con dos gap analysis al mes y tres retainers ya estás en el rango de 90.000-110.000 € anuales facturados en solitario, con day rates de 450-700 € alineados con las tarifas freelance tech de 2026 en España. Para perfiles full security puros, el análisis completo de mercado y certificaciones lo tratamos en nuestra guía de Security Engineer en España.
Un consejo de posicionamiento: no compitas de frente con las consultoras tradicionales en las grandes cuentas. Su punto débil es el precio y la velocidad; el tuyo es la cercanía. «Te dejo auditables en 6 semanas» es una frase que un director general de pyme entiende y agradece.
Cómo conseguir los primeros tres clientes esta semana
El mercado aún está caliente pero no saturado. Tres puertas de entrada probadas:
- Proveedores de grandes entidades: identifica pymes tech que vendan a banca, energía o administración (mira sus casos de éxito en su web). Ellos recibirán los cuestionarios primero y no sabrán responderlos. Escríbeles con un ejemplo de cuestionario NIS2 resuelto.
- Aseguradoras y corredores de ciberseguros: las pólizas ya exigen medidas mínimas alineadas con NIS2. Un corredor con clientes que no pasan la evaluación de riesgo te necesita.
- Tus clientes actuales: el gancho más corto que existe. «La ley que te va a obligar a X ya está en tramitación; quieres que te haga un diagnóstico de 2 semanas para saber dónde estás».
Y una regla de oro: entrega siempre un informe de una página para el comité de dirección además del informe técnico completo. El que decide el presupuesto no lee anexos; lee semáforos.
Preguntas frecuentes (FAQ)
¿Cuándo entra en vigor la Ley de Ciberseguridad en España?
El anteproyecto se aprobó el 14 de enero de 2025 y la tramitación parlamentaria continúa en 2026. La entrada en vigor dependerá del calendario final de aprobación, pero las empresas sujetas a NIS2 están obligadas técnicamente desde octubre de 2024 (plazo europeo de transposición), y las exigencias contractuales entre empresas ya son reales. Mi recomendación: no esperes al BOE para empezar a vender; los clientes que se adelantan negocian mejor precio y calendario.
¿NIS2 y Ley de Ciberseguridad son lo mismo?
NIS2 es la directiva europea (2022/2555). La Ley de Ciberseguridad es la norma española que la transpone, añadiendo elementos propios como la agencia estatal de ciberseguridad y la conexión con el Esquema Nacional de Seguridad. En la práctica diaria de un freelance, «proyecto NIS2» y «proyecto de Ley de Ciberseguridad» describen el mismo trabajo: medidas del artículo 21, notificación de incidentes y evidencias auditables.
¿Puedo ofrecer este servicio sin certificaciones de seguridad?
Sí, para el segmento pyme. Lo que valida un gap analysis no es un acrónimo sino el método: checklist contrastable, informe muestra y capacidad de traducir requisitos legales a tareas técnicas. Las certificaciones (ISO 27001 LA/Lead Auditor, CISM) aceleran la venta en cuentas medianas-grandes y son un buen objetivo a 12 meses, no un requisito de entrada.
¿Cuánto factura un freelance de cumplimiento NIS2 en España?
Con la combinación de proyectos fijos (2.500-5.000 € por gap analysis) y retainers mensuales (600-2.000 €), un especialista senior que trabaje solo factura típicamente entre 70.000 y 110.000 € brutos anuales en 2026, según el mix de clientes. Es un servicio compatible con mantenimiento remoto, lo que lo hace muy estable geográficamente.
¿Qué tiene que ver esta ley con el AI Act o el RGPD?
Las tres generan el mismo efecto dominó hacia proveedores, pero regulan cosas distintas: el RGPD protege datos personales, el AI Act regula sistemas de inteligencia artificial y la Ley de Ciberseguridad obliga a gestionar riesgos digitales con medidas mínimas demostrables. Un freelance que domine el vocabulario de las tres vende programas integrados, que es exactamente lo que una pyme quiere comprar: un solo proveedor, tres normativas.
¿Te está sirviendo SeniorStack? Añádenos a tus fuentes preferidas en Google y nos verás destacados en tus resultados y respuestas de IA.