La directiva europea NIS2 debía estar incorporada a la ley española en octubre de 2024. Dos años después, la norma sigue sin publicarse en el BOE, pero sus obligaciones ya se conocen y muchas empresas las están recibiendo por contrato de sus clientes.
Dónde está la ley
- El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025.
- La Comisión Europea envió a España un dictamen motivado en mayo de 2025 y en julio de 2026 llevó el caso al Tribunal de Justicia de la UE.
- Las Cortes se disolvieron el 6 de octubre de 2026, con elecciones generales convocadas para el 29 de noviembre, sin que la ley se hubiera publicado. Su aprobación queda en manos de la próxima legislatura.
Mientras tanto sigue en vigor el Real Decreto-ley 12/2018, que traspuso la primera directiva NIS.
Qué exigirá
Las obligaciones de fondo vienen de la directiva y no se espera que cambien mucho en el texto final:
- La dirección de la empresa aprueba las medidas de ciberseguridad y responde de ellas.
- Gestión de riesgos documentada: control de accesos, copias, parcheo, cifrado, continuidad.
- Aviso temprano de incidentes graves en 24 horas y notificación completa en 72 horas.
- Control de la seguridad de la cadena de suministro, incluidos los proveedores de IT.
A quién afecta, aunque no esté en la lista
NIS2 se aplica directamente a entidades medianas y grandes de sectores como energía, transporte, salud, agua, fabricación de determinados productos o servicios digitales. Pero por la exigencia sobre la cadena de suministro, sus proveedores, muchos de ellos pymes industriales, ya están recibiendo cuestionarios de seguridad y cláusulas en los contratos.
Qué puedes hacer ya
- Comprueba si tu actividad y tu tamaño te sitúan dentro del ámbito de la directiva, o si lo están tus principales clientes.
- Haz un análisis de diferencias frente a las medidas de gestión de riesgos.
- Redacta un procedimiento de respuesta a incidentes que permita cumplir el plazo de 24 horas.
- Cierra los básicos que cualquier auditor pedirá: doble factor, parcheo, copias inmutables y registro de accesos.
Cómo te ayudamos
Hacemos la evaluación inicial frente a NIS2 y el ENS, te entregamos un plan de adecuación por fases y presupuestado, y te ayudamos a responder a los cuestionarios de seguridad de tus clientes.