NIS2 en España: dónde está la ley, de verdad
La Directiva está en vigor en Europa. En España la ley que la traspone sigue sin publicarse, y la Comisión ya ha dado el paso previo a llevar el asunto al Tribunal de Justicia.
Situación en una línea
La Directiva (UE) 2022/2555 está en vigor. La ley española que la traspone —el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad— fue aprobada en Consejo de Ministros el 14 de enero de 2025 y sigue en tramitación: no está publicada en el BOE.
La cronología, con fechas
Vence el plazo de transposición
La fecha límite que la Directiva daba a los Estados miembros. España no llega.
Consejo de Ministros aprueba el Anteproyecto
Ley de Coordinación y Gobernanza de la Ciberseguridad, la pieza central de la transposición española.
Dictamen motivado de la Comisión Europea
El segundo escalón formal del procedimiento de infracción.
Segundo requerimiento formal
Dentro del procedimiento INFR(2024)0270. Es el paso previo a llevar el caso al Tribunal de Justicia de la UE.
Sigue en tramitación
El texto no se ha publicado en el BOE. Hasta que eso ocurra, no hay ley española de NIS2 en vigor.
Qué traerá la ley cuando llegue
El Anteproyecto crea un Centro Nacional de Ciberseguridad, dependiente de la Presidencia del Gobierno, que dirigirá y coordinará la política de protección digital a nivel nacional y actuará como canal de comunicación con las instituciones europeas.
Para las empresas, las obligaciones de fondo son las de la Directiva: medidas de gestión de riesgos, notificación de incidentes en plazos escalonados y responsabilidad del órgano de dirección —es decir, la gerencia responde, no el departamento de informática. El marco previsto contempla multas que pueden llegar a los 10 millones de euros para las entidades esenciales.
Una precisión que conviene hacer
Los importes concretos, los plazos exactos de notificación y el régimen sancionador dependerán del texto que finalmente se apruebe y publique. Cualquiera que hoy le dé cifras cerradas de sanción como si ya fueran derecho español, se está adelantando. Nosotros preferimos decirle qué está aprobado y qué no.
¿Le afecta a usted?
Directamente
Si es una entidad esencial o importante de los sectores que la Directiva considera críticos: energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, y también fabricación, alimentación o servicios postales, entre otros. Muchas medianas empresas que nunca se consideraron «críticas» entran por sector y tamaño.
Indirectamente — el caso más frecuente
Si es proveedor de una empresa obligada. La Directiva exige gestionar el riesgo de la cadena de suministro, así que sus clientes le van a trasladar requisitos de seguridad por contrato aunque su empresa no esté en el ámbito de la norma. Es la vía por la que más pymes se ven afectadas.
Qué hacer ahora, sin esperar al BOE
Esperar a que se publique la ley para empezar es el error más caro, porque las medidas de fondo no dependen del texto final: son las mismas que reducen el riesgo hoy. Lo que cambiará serán los plazos de notificación y las sanciones, no lo que hay que tener montado.
Inventario de activos y de proveedores
No se puede proteger lo que no se sabe que se tiene, ni exigir seguridad a un proveedor que no está en ninguna lista.
Copias de seguridad probadas
Probadas quiere decir restauradas de verdad, al menos una vez. Una copia que nunca se restauró es una suposición, no una copia.
Doble factor en todo lo que dé a internet
Correo, panel de la web, acceso remoto, banca. Es la medida que más ataques detiene por menos dinero.
Plan de respuesta escrito
A quién se llama, en qué orden y quién decide. Escrito antes, porque durante el incidente nadie improvisa bien.
Formación básica al equipo
La mayoría de incidentes entran por un correo, no por un fallo técnico sofisticado.
La gerencia al corriente
La Directiva pone la responsabilidad en el órgano de dirección. Conviene que la dirección lo sepa antes de que sea un problema.
Cuidado con quien le venda «cumplimiento NIS2» hoy. No se puede certificar el cumplimiento de una ley que todavía no está publicada. Lo que sí se puede hacer —y es útil— es preparar las medidas de fondo y documentarlas, de forma que el día que la ley salga ya esté hecho el trabajo.
Preguntas frecuentes
¿Está en vigor la NIS2 en España?
La Directiva (UE) 2022/2555 está en vigor a nivel europeo, pero su transposición al ordenamiento español sigue pendiente. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad fue aprobado en Consejo de Ministros el 14 de enero de 2025 y continúa en tramitación: a fecha de este artículo no se ha publicado en el BOE.
¿Qué pasa porque España no haya transpuesto a tiempo?
El plazo de transposición terminó el 17 de octubre de 2024. La Comisión Europea envió un dictamen motivado en mayo de 2025 y un segundo requerimiento formal el 19 de mayo de 2026, dentro del procedimiento de infracción INFR(2024)0270. Ese es el paso previo a la remisión al Tribunal de Justicia de la UE.
¿A quién va a obligar la NIS2?
A las entidades esenciales e importantes de los sectores que la Directiva considera críticos: energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, y también sectores como la fabricación, la alimentación o los servicios postales. Muchas medianas empresas que nunca se consideraron "críticas" quedan dentro por su tamaño y su sector.
¿Afecta a mi pyme si soy proveedor de una empresa obligada?
Indirectamente, y es la vía por la que más empresas pequeñas se ven afectadas. La Directiva obliga a gestionar el riesgo de la cadena de suministro, así que sus clientes obligados le van a exigir a usted requisitos de seguridad por contrato, aunque su empresa no esté en el ámbito de la norma.
¿Cuáles son las sanciones?
El marco previsto contempla multas que pueden alcanzar los 10 millones de euros para las entidades esenciales, con importes distintos según la categoría. Los importes definitivos y su régimen dependerán del texto que finalmente se apruebe y publique en el BOE.
¿Debo esperar a que se publique la ley?
No es buena idea. Las medidas de fondo —inventario de activos, copias de seguridad probadas, autenticación de doble factor, plan de respuesta a incidentes y control de proveedores— son las mismas que ya reduce el riesgo hoy, y no dependen del texto final. Lo que cambiará con la ley son los plazos de notificación y el régimen sancionador, no lo que hay que tener montado.
Artículo actualizado el 7 de septiembre de 2026. El estado de una tramitación legislativa cambia: antes de tomar decisiones, confirme la situación en el BOE y en las fuentes oficiales. Cuando el texto se publique, actualizaremos este artículo.
¿Un cliente le está pidiendo requisitos de seguridad?
Es la señal de que la cadena de suministro ya le alcanzó. Le ayudamos a montar y documentar las medidas de fondo, sin venderle un certificado que hoy no existe.
Ver ciberseguridad