NIS2 en España, dos años sin ley: en qué punto está la transposición y qué hacer este trimestre

Por Kike Gandia · Investigación · 7 min de lectura

Ilustración sobre fondo azul noche: un expediente con el sello todavía vacío, un reloj de arena con casi toda la arena abajo y un candado abierto en rojo, sobre una línea de tiempo que va del plazo de 2024 a hoy

El 17 de octubre de 2026 se cumplen dos años desde que venció el plazo para transponer la Directiva (UE) 2022/2555, NIS2. España sigue sin ley publicada en el BOE. Lo que hay es un anteproyecto, la Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros en enero de 2025, y un procedimiento de infracción que ya ha llegado al Tribunal de Justicia de la UE.

Para una empresa, esa situación genera dos lecturas equivocadas: que NIS2 ya obliga como si la ley estuviera aprobada, o que no hay nada que hacer hasta que se publique. Este artículo separa lo oficial de lo que se especula y termina con lo que tiene sentido hacer este trimestre.

17/10/2024: venció el plazo de transposición (España no lo cumplió)
14/01/2025: anteproyecto en Consejo de Ministros (tramitación urgente)
08/07/2026: remisión al Tribunal de Justicia (con petición de sanciones)
Sin publicar: ley de transposición en el BOE (a 13 de octubre de 2026)

La cronología oficial

14 de diciembre de 2022 — Se aprueba la directiva
NIS2 sustituye a la primera directiva NIS y fija el 17 de octubre de 2024 como fecha límite para que los Estados miembros adopten sus medidas nacionales.
17 de octubre de 2024 — Vence el plazo
España no notifica a la Comisión la transposición completa de la directiva.
28 de noviembre de 2024 — Carta de emplazamiento
Primera fase del procedimiento de infracción de la Comisión Europea.
14 de enero de 2025 — Anteproyecto de ley
El Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, con tramitación urgente: antes de ir a las Cortes necesita los informes preceptivos y el dictamen del Consejo de Estado.
7 de mayo de 2025 — Dictamen motivado
Segunda fase del procedimiento de infracción.
15 de diciembre de 2025 — Respuesta del Gobierno en el Senado
El Gobierno describe el texto como un anteproyecto «en una fase avanzada».
8 de julio de 2026 — Remisión al Tribunal de Justicia
La Comisión lleva a España, junto con Irlanda, Francia y los Países Bajos, ante el TJUE y pide una suma a tanto alzado y multas diarias hasta que se notifique la transposición completa. Las cuantías las fija el Tribunal.

A fecha de este artículo no hemos localizado en el BOE la ley publicada. Lo actualizaremos cuando cambie.

Qué dice el anteproyecto

El texto que se conoce es el que presentó el Gobierno en enero de 2025, y puede cambiar en la tramitación. Según la presentación oficial, sus piezas principales son estas:

Pieza	Qué prevé el anteproyecto
Autoridad nacional	Un nuevo Centro Nacional de Ciberseguridad que dirige, impulsa y coordina el sistema y actúa como autoridad de gestión de crisis de ciberseguridad
Autoridades de control	Oficina de Coordinación de Ciberseguridad (Secretaría de Estado de Seguridad), Centro Criptológico Nacional, Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales y Secretaría de Estado de Digitalización e Inteligencia Artificial
Ámbito	Entidades públicas y privadas de sectores de alta criticidad (energía, transporte, banca y mercados financieros, sanitario, agua, infraestructuras digitales y servicios tecnológicos, entre otros) y de otros de menor criticidad, como los servicios postales y de mensajería, incluidas las de otros Estados de la UE que operen u ofrezcan servicios en España
Obligaciones	Evaluación individualizada del riesgo, medidas para la seguridad de redes y sistemas, notificación de los incidentes significativos y comunicación a los destinatarios de sus servicios de las ciberamenazas que puedan afectarles

Lo que no cambia con la transposición es el contenido mínimo de la directiva: las medidas de gestión de riesgos del artículo 21, la responsabilidad de los órganos de dirección del artículo 20, la secuencia de notificación del artículo 23 (24 horas, 72 horas y un mes) y los topes de sanción del artículo 34. El margen de un Estado al transponer es limitado, y lo previsible es que la ley española los reproduzca de cerca. Los tenemos desarrollados en la guía para adaptar tu empresa a NIS2 y en multas y sanciones de NIS2.

Qué rige mientras tanto

Una directiva sin transponer no impone obligaciones ni sanciones directas a una empresa privada. Sigue vigente el marco de la primera directiva: el Real Decreto-ley 12/2018 y su desarrollo en el Real Decreto 43/2021, para los operadores de servicios esenciales y los proveedores de servicios digitales que ya estaban en su ámbito. Según la ficha de España que mantiene la Comisión Europea, los CSIRT de referencia son INCIBE-CERT para el sector privado y CCN-CERT para el sector público, y la autoridad competente para los operadores de servicios esenciales privados es la Secretaría de Estado de Seguridad, a través del CNPIC.

Si fabricas productos con elementos digitales. Hay una obligación de notificación que sí está en vigor sin esperar a ninguna ley española: la del Cyber Resilience Act, que es un reglamento directamente aplicable desde el 11 de septiembre de 2026. Lo contamos en la notificación del CRA ya es obligatoria.

Por qué esperar a la ley es mala estrategia

Clientes Tus clientes no esperan al BOE: Una entidad obligada en otro Estado miembro que ya haya transpuesto tiene que gestionar el riesgo de su cadena de suministro, y te trasladará los requisitos por contrato: medidas concretas, plazos de notificación y evidencia técnica.
Plazo El trabajo no cabe en unas semanas: Aplicabilidad, inventario de proveedores, análisis de brechas contra el artículo 21, procedimiento de notificación y aprobación por la dirección. En una organización mediana no se resuelve entre la publicación de la ley y su entrada en vigor.
Texto Lo esencial ya se conoce: Las diez medidas del artículo 21 y los plazos del artículo 23 vienen de la directiva. Lo que la ley española puede concretar son autoridades, registro y procedimiento sancionador, no el núcleo de lo que hay que hacer.
TJUE La presión sube, la fecha no se sabe: La remisión al Tribunal de Justicia empuja hacia la aprobación, pero no fija fecha. Planificar sobre una fecha concreta es apostar; planificar sobre el contenido de la directiva, no.

Qué hacer este trimestre

1 — Confirmar si te aplica
Sector de los anexos I y II, tamaño de mediana empresa o superior y supuestos que no dependen del tamaño, sociedad por sociedad del grupo.
2 — Inventariar proveedores críticos
Quién tiene acceso a vuestros sistemas o trata información relevante, clasificado por criticidad. Es el requisito que más trabajo genera y el que antes os pedirán vuestros propios clientes.
3 — Análisis de brechas
La situación actual contra las diez medidas del artículo 21 y las obligaciones de notificación, con un plan priorizado por riesgo.
4 — Procedimiento de notificación
Quién decide que un incidente es significativo y con qué criterios, y cómo se cumplen las 24 horas, las 72 horas y el mes. Lo que hace fallar estos plazos casi nunca es redactar el aviso: es no saber a tiempo que hay que darlo.
5 — Aprobación de la dirección
El artículo 20 pide que el órgano de dirección apruebe las medidas, supervise su aplicación y se forme. Necesitáis aprobación formal y revisiones documentadas.
6 — Evidencia de que funciona
El artículo 21.2.f pide evaluar la eficacia de las medidas. Un pentest o una auditoría técnica periódica es la forma más directa de generar esa evidencia; la ficha de alcance de pentesting ayuda a dimensionarlo.

Lo que puede cambiar desde Bruselas

La propuesta Digital Omnibus que la Comisión presentó el 19 de noviembre de 2025 introduce un punto único de notificación de incidentes de ciberseguridad y de datos. Sigue en fase de propuesta: según el seguimiento del Parlamento Europeo actualizado a 20 de septiembre de 2026, la votación del mandato negociador del Consejo prevista para el 26 de junio se canceló y el proyecto de informe del Parlamento acumula más de 1.750 enmiendas. Puede simplificar el canal por el que se notifica, pero no la obligación de detectar y clasificar el incidente a tiempo.

Si queréis recibir este seguimiento cuando la ley se publique, la newsletter es el canal, y el resto de fechas europeas que os afectan están en el calendario de compliance UE. Y si preferís no esperar, nuestra consultoría de adecuación a NIS2 empieza por el informe de aplicabilidad y el análisis de brechas.

Servicio relacionado

consultoría de adecuación a NIS2

Temas de este artículo

#NIS2 #Ley-de-Coordinación-y-Gobernanza-de-la-Ciberseguridad #Transposición #España #Cumplimiento #Notificación-de-incidentes

Seguir leyendo

Fuentes

Ver nuestra consultoría de adecuación NIS2