NIS2 en España: en qué punto está la ley y qué te obliga ya

Por Kike Gandia · Co-Fundador y CEO, OSCP

A 8 de octubre de 2026, España no ha transpuesto la Directiva NIS2. El plazo terminó el 17 de octubre de 2024; el Gobierno aprobó un anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, pero esa ley no se ha publicado en el BOE. El 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por no haberla transpuesto, y el 6 de octubre el Real Decreto 806/2026 disolvió las Cortes y convocó elecciones generales para el 29 de noviembre. En la práctica, no habrá ley NIS2 española aprobada por las Cortes antes de 2027. Esta página explica qué significa eso para tu empresa, qué te obliga ya aunque no haya ley y qué conviene hacer mientras tanto. La actualizamos en cada novedad.

La respuesta corta

Cronología: cómo hemos llegado hasta aquí

Qué cambia con el adelanto electoral

Mientras las Cortes están disueltas no se puede tramitar ni aprobar ninguna ley. Las nuevas Cámaras se constituyen el 23 de diciembre de 2026; después vienen la investidura y la formación de Gobierno. A partir de las elecciones, además, el Gobierno saliente queda en funciones, y un Gobierno en funciones no puede presentar proyectos de ley al Congreso.

Por eso el anteproyecto de enero de 2025 depende del próximo Gobierno: tendrá que retomarlo, cambiarlo o sustituirlo, y enviarlo a las Cortes como proyecto de ley. Es razonable esperar que la estructura se mantenga, porque la directiva fija lo esencial: sectores, tamaños, gestión de riesgos, notificación de incidentes y sanciones mínimas.

Hay una vía rápida que no depende de las Cortes ordinarias: el real decreto-ley. Con las Cortes disueltas, lo convalida la Diputación Permanente. No es una hipótesis exótica: la NIS1 se transpuso precisamente así, con el Real Decreto-ley 12/2018. Con un procedimiento abierto ante el Tribunal de Justicia y la petición de multas diarias, no se puede descartar.

Lo que no cambia: la presión de Bruselas sigue corriendo, y las empresas de los sectores NIS2 llevan dos años sabiendo qué se les va a pedir.

¿Me obliga ya NIS2 aunque no haya ley española?

La directiva, por sí sola, no impone obligaciones directas a las empresas privadas: necesita una ley nacional que la transponga. Mientras no la haya, ninguna autoridad española puede sancionarte por incumplir NIS2 como tal, y no existen «sanciones retroactivas»: una infracción solo se castiga si la norma estaba en vigor cuando se cometió.

Pero eso no significa que hoy no tengas obligaciones. Dependiendo de quién seas, ya te aplica esto:

El Reglamento de Ejecución (UE) 2024/2690 merece un apartado: es un reglamento, no una directiva, así que no necesita transposición. Detalla las medidas técnicas que la NIS2 exige a los proveedores digitales —DNS, nube, centros de datos, redes de distribución de contenidos, servicios gestionados y de seguridad gestionados, mercados en línea, buscadores, redes sociales y servicios de confianza—. Cómo se exige en España sin ley nacional que designe autoridad y régimen sancionador es discutible, pero si prestas esos servicios, es la referencia técnica que te van a pedir.

La obligación que llega antes que la ley: tus clientes

Para muchas empresas españolas la primera exigencia NIS2 no viene del BOE, sino de un contrato. Los Estados que ya transpusieron la directiva —Italia y Bélgica, por ejemplo, desde octubre de 2024— obligan a sus entidades a gestionar el riesgo de su cadena de suministro. Eso se traduce en cuestionarios de seguridad, cláusulas contractuales y auditorías a proveedores, también a proveedores españoles.

Lo mismo ocurre con las entidades financieras sujetas a DORA, que deben controlar a sus proveedores TIC, y con la Administración, que exige ENS a quien le presta servicios. Si vendes tecnología o servicios a cualquiera de ellos, la pregunta de tu cliente no va a esperar a la ley española.

Qué dice el anteproyecto español (si se retoma)

El texto aprobado en enero de 2025 no es ley y puede cambiar, pero indica por dónde irá la norma:

• Crea un Centro Nacional de Ciberseguridad como autoridad nacional, con la supervisión repartida entre varios organismos según el sector.
• Aplica la clasificación de la directiva en entidades esenciales e importantes, según sector y tamaño (en general, medianas y grandes empresas: 50 empleados o más, o más de 10 millones de euros de facturación).
• Impone las medidas de gestión de riesgos del artículo 21 de la directiva y la responsabilidad de los órganos de dirección.
• Recoge la notificación de incidentes de la directiva: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
• Sigue las sanciones de la directiva: hasta 10 millones de euros o el 2% de la facturación mundial para entidades esenciales, y hasta 7 millones o el 1,4% para las importantes.

Qué hacer mientras tanto

Esperar a la ley no es un plan: cuando llegue, el plazo para adaptarse será corto, y lo que te pedirá es lo mismo que ya pide la directiva. Lo sensato, por orden:

1. Averigua si estás dentro. Sector del anexo I o II de la directiva y tamaño. Si dudas, compruébalo antes de invertir.
2. Haz un análisis de diferencias contra el artículo 21 de la directiva (y contra el Reglamento de Ejecución 2024/2690 si eres proveedor digital).
3. Prepara la notificación de incidentes: quién decide, quién avisa, con qué plantilla y en cuánto tiempo. El reloj de 24 horas no deja improvisar.
4. Ordena tu cadena de suministro: inventario de proveedores críticos, cláusulas de seguridad y evidencias, porque te las van a pedir y las vas a tener que pedir.
5. Reutiliza lo que ya tengas: una certificación ISO 27001 o el ENS cubren buena parte del trabajo; no empieces de cero.
6. Implica a la dirección: la responsabilidad personal de los órganos de dirección es una de las novedades que más cambian las cosas.

FAQ

¿NIS2 está en vigor en España?

No como ley española. La directiva está en vigor en la UE desde enero de 2023 y el plazo de transposición terminó el 17 de octubre de 2024, pero España no ha aprobado todavía la ley que la incorpora. Hoy sigue aplicándose el régimen anterior: el Real Decreto-ley 12/2018 y el Real Decreto 43/2021.

¿Me pueden sancionar por no cumplir NIS2 si no hay ley?

No por NIS2 como tal: hace falta una ley nacional que tipifique las infracciones y fije las sanciones, y esa ley solo se aplicará a hechos posteriores a su entrada en vigor. Sí pueden sancionarte por normas que ya están vigentes, como el RGPD, el ENS, DORA o el régimen NIS1 si te aplica.

¿Cuándo se aprobará la ley NIS2 en España?

No hay fecha oficial. Con las Cortes disueltas por las elecciones del 29 de noviembre de 2026, no puede aprobarse ninguna ley hasta que se constituyan las nuevas Cámaras y haya Gobierno. Una ley ordinaria no llegará antes de 2027; un real decreto-ley, como el que transpuso la NIS1 en 2018, podría ser más rápido.

¿Qué ha hecho la Unión Europea ante el retraso de España?

Abrió un procedimiento de infracción (INFR(2024)0270): carta de emplazamiento en noviembre de 2024, dictamen motivado en mayo de 2025 y, el 8 de julio de 2026, remisión al Tribunal de Justicia de la UE con petición de una suma a tanto alzado y multas diarias. El importe lo decidirá el Tribunal.

¿Mi empresa estará afectada por NIS2?

Depende del sector y del tamaño. La directiva cubre sectores como energía, transporte, banca, salud, agua, infraestructura digital, servicios TIC gestionados, administración pública, servicios postales, residuos, química, alimentación, fabricación e investigación, y en general a medianas y grandes empresas. Algunos proveedores, como los de DNS o servicios de confianza, entran sea cual sea su tamaño.

Si ya tengo ISO 27001 o ENS, ¿cumplo NIS2?

No automáticamente, pero tienes buena parte del camino hecho: gestión de riesgos, controles, gestión de incidentes y mejora continua. Lo que suele faltar es la notificación de incidentes en los plazos de NIS2, la gestión de la cadena de suministro con el detalle que exige y la implicación formal de la dirección.

Servicio relacionado

consultoría y adecuación a NIS2

Contenido relacionado

• Cómo adaptar tu empresa a NIS2
• Multas y sanciones de NIS2
• DORA vs NIS2
• CRA vs NIS2
• ISO 27001 vs ENS
• Me han hackeado: qué hacer en las primeras 24 horas

Fuentes

• Directiva (UE) 2022/2555 (NIS2)
• Reglamento de Ejecución (UE) 2024/2690
• Comisión Europea — remisión de Irlanda, España, Francia y Países Bajos al Tribunal de Justicia (8-7-2026)
• Ministerio del Interior — el Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
• Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información

Revisar si NIS2 os afecta y qué os falta