Qué empresas quedan dentro del perímetro, qué deben cumplir ya y por qué la transposición española sigue bloqueada en 2026La Directiva NIS2 (Directiva UE 2022/2555) lleva vigente en toda la Unión Europea desde enero de 2023, y su plazo de transposición para los Estados miembros venció el 17 de octubre de 2024. España incumplió ese plazo. A día de hoy, sigue incumpliéndolo: el anteproyecto de ley que debía trasladarla al ordenamiento español continúa en tramitación parlamentaria, sin haberse publicado en el Boletín Oficial del Estado y, según los análisis legislativos más recientes, sin la mayoría necesaria para avanzar con rapidez.
Conviene aclarar antes un error que circula en varias guías de cumplimiento dirigidas a empresas: no es cierto que España haya transpuesto NIS2, ni siquiera parcialmente, a través del Real Decreto-ley 7/2025. Esa norma, aprobada el 24 de junio de 2025, no tiene ninguna relación con la ciberseguridad. Regulaba medidas urgentes para reforzar el sistema eléctrico tras el cero de tensión del 28 de abril de 2025, y el Congreso de los Diputados ni siquiera llegó a convalidarla, por lo que quedó derogada el 22 de julio de ese mismo año. Quien base su plan de cumplimiento en esa referencia está partiendo de una norma que ya no existe y que, además, nunca trató sobre ciberseguridad.
Lo que sí es cierto, y lo que de verdad importa para cualquier organización que opere en España, es que NIS2 ya está en vigor como derecho europeo, con independencia de que el Congreso termine o no de aprobar la ley nacional que la desarrolla.
Un perímetro mucho más amplio que el de la norma anterior
La directiva sustituye a la NIS original de 2016 y multiplica el número de sectores y de empresas obligadas. El perímetro se organiza en dos anexos. El Anexo I recoge los sectores considerados altamente críticos: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC para terceros, administración pública y sector espacial. El Anexo II añade sectores críticos adicionales: servicios postales, gestión de residuos, fabricación y distribución de productos químicos, producción y distribución de alimentos, fabricación de dispositivos médicos, electrónica, maquinaria, vehículos, proveedores digitales como mercados en línea, motores de búsqueda y redes sociales, y organismos de investigación.
Dentro de esos sectores, el tamaño de la empresa determina el nivel de exigencia. Como regla general, quedan dentro las organizaciones medianas y grandes: más de 50 empleados o más de 10 millones de euros de facturación anual. Las que superan los 250 empleados o los 50 millones de facturación en sectores del Anexo I se consideran entidades esenciales, sujetas a supervisión activa por parte de la autoridad competente. Las de tamaño equivalente en sectores del Anexo II, y las medianas de cualquiera de los dos anexos, se consideran entidades importantes, con un régimen de supervisión más reactivo, que se activa tras un incidente o una denuncia.
Hay excepciones que rompen la regla del tamaño: proveedores de servicios DNS, registros de nombres de dominio de primer nivel, prestadores de servicios de confianza y determinados operadores de telecomunicaciones quedan dentro del perímetro como entidades esenciales al margen de su tamaño, por la naturaleza crítica de lo que prestan.
Las obligaciones de fondo, recogidas en el artículo 21 de la directiva, no dependen de que exista ley española: nacen directamente del texto europeo. Exigen un análisis de riesgos y políticas de seguridad de los sistemas de información, protocolos de gestión de incidentes, medidas de continuidad de negocio, seguridad de la cadena de suministro frente a proveedores, criterios de seguridad en la adquisición y el mantenimiento de sistemas, autenticación multifactor, cifrado de comunicaciones y formación específica en ciberhigiene para el personal. La notificación de incidentes sigue un calendario escalonado: alerta temprana en las primeras 24 horas y notificación con más detalle en 72 horas, hasta llegar a un informe final en el plazo de un mes.
El régimen sancionador llega hasta 10 millones de euros o el 2% de la facturación mundial para las entidades esenciales, y hasta 7 millones o el 1,4% para las importantes. Y por primera vez, la responsabilidad recae también sobre las personas. Los órganos de dirección deben aprobar y supervisar las medidas de ciberseguridad. También deben recibir formación específica, y en casos graves y reiterados de incumplimiento pueden ser suspendidos temporalmente de sus funciones.
En España, el vehículo elegido para trasladar todo esto es el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025. El texto crea un nuevo Centro Nacional de Ciberseguridad, que aún no existe, y reparte la supervisión sectorial entre tres actores: Interior, Defensa, a través del Centro Criptológico Nacional, y la Secretaría de Estado de Digitalización e Inteligencia Artificial, a través de INCIBE. La Comisión Europea envió a España un dictamen motivado el 7 de mayo de 2025 por no haber notificado la transposición completa, el paso previo, dentro de un procedimiento de infracción, a llevar el asunto ante el Tribunal de Justicia de la Unión Europea. El 19 de mayo de 2026, la Comisión remitió un segundo requerimiento formal exigiendo la transposición con urgencia. A fecha de esta entrada, el anteproyecto sigue en el Congreso, sin haberse publicado en el BOE.
Mientras tanto, el marco que sigue formalmente vigente en España es el que transpuso la antigua NIS de 2016, el Real Decreto-ley 12/2018, con un perímetro de entidades obligadas mucho más reducido que el que exige NIS2. Eso no significa que las obligaciones de la nueva directiva sean papel mojado. La jurisprudencia del Tribunal de Justicia de la Unión Europea reconoce a las directivas no transpuestas un efecto directo parcial frente al Estado, aunque no entre particulares: un organismo público español ya podría estar obligado, en ciertos aspectos, por el contenido de NIS2, aunque una empresa no pueda todavía ser sancionada por un régimen que su propio país no ha aprobado.
Las obligaciones de fondo, recogidas en el artículo 21 de la directiva, no dependen de que exista ley española: nacen directamente del texto europeo. Exigen un análisis de riesgos y políticas de seguridad de los sistemas de información, protocolos de gestión de incidentes, medidas de continuidad de negocio, seguridad de la cadena de suministro frente a proveedores, criterios de seguridad en la adquisición y el mantenimiento de sistemas, autenticación multifactor, cifrado de comunicaciones y formación específica en ciberhigiene para el personal. La notificación de incidentes sigue un calendario escalonado: alerta temprana en las primeras 24 horas y notificación con más detalle en 72 horas, hasta llegar a un informe final en el plazo de un mes.
El régimen sancionador llega hasta 10 millones de euros o el 2% de la facturación mundial para las entidades esenciales, y hasta 7 millones o el 1,4% para las importantes. Y por primera vez, la responsabilidad recae también sobre las personas. Los órganos de dirección deben aprobar y supervisar las medidas de ciberseguridad. También deben recibir formación específica, y en casos graves y reiterados de incumplimiento pueden ser suspendidos temporalmente de sus funciones.
El bloqueo español y sus consecuencias prácticas
En España, el vehículo elegido para trasladar todo esto es el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025. El texto crea un nuevo Centro Nacional de Ciberseguridad, que aún no existe, y reparte la supervisión sectorial entre tres actores: Interior, Defensa, a través del Centro Criptológico Nacional, y la Secretaría de Estado de Digitalización e Inteligencia Artificial, a través de INCIBE. La Comisión Europea envió a España un dictamen motivado el 7 de mayo de 2025 por no haber notificado la transposición completa, el paso previo, dentro de un procedimiento de infracción, a llevar el asunto ante el Tribunal de Justicia de la Unión Europea. El 19 de mayo de 2026, la Comisión remitió un segundo requerimiento formal exigiendo la transposición con urgencia. A fecha de esta entrada, el anteproyecto sigue en el Congreso, sin haberse publicado en el BOE.
Mientras tanto, el marco que sigue formalmente vigente en España es el que transpuso la antigua NIS de 2016, el Real Decreto-ley 12/2018, con un perímetro de entidades obligadas mucho más reducido que el que exige NIS2. Eso no significa que las obligaciones de la nueva directiva sean papel mojado. La jurisprudencia del Tribunal de Justicia de la Unión Europea reconoce a las directivas no transpuestas un efecto directo parcial frente al Estado, aunque no entre particulares: un organismo público español ya podría estar obligado, en ciertos aspectos, por el contenido de NIS2, aunque una empresa no pueda todavía ser sancionada por un régimen que su propio país no ha aprobado.
Para las empresas, la consecuencia práctica no es la tranquilidad, sino la incertidumbre. Quien opere en sectores críticos y espere a que el BOE publique la ley definitiva antes de empezar a adaptarse llegará tarde, porque sus clientes, sus aseguradoras y sus socios comerciales ya están empezando a exigir por contrato buena parte de lo que NIS2 exige por ley.
El patrón de las últimas semanas en este blog ha sido el de normas europeas que llegan tarde o recortadas por decisión de Bruselas.
El patrón de las últimas semanas en este blog ha sido el de normas europeas que llegan tarde o recortadas por decisión de Bruselas.
Con NIS2 el fallo es distinto: la directiva no se ha suavizado ni aplazado a escala europea, exige lo mismo desde octubre de 2024. Lo que falla es la capacidad del Estado español para trasladarla a su propio ordenamiento en el plazo que él mismo se comprometió a cumplir. El resultado práctico, sin embargo, es parecido al de los casos anteriores. Mientras el Congreso no apruebe la ley, ni las entidades obligadas tienen una autoridad nacional plenamente operativa a la que rendir cuentas, ni los ciudadanos que dependen de la energía, el agua, la sanidad o el transporte que esas entidades operan tienen la certeza de que existe, hoy, un sistema de supervisión capaz de exigir que esas infraestructuras estén protegidas como la ley europea ya manda.
#Ciberseguridad #NIS2 #ProtecciónDeInfraestructuras #UniónEuropea #España #DerechosDigitales #Compliance #INCIBE #CiberseguridadEmpresarial #ESG