Actualidad

NIS2 en España: estado de la transposición y qué hacer ya

A 25/10/2026 España aún no ha transpuesto la Directiva NIS2. Estado de la ley, quién queda afectado, obligaciones y qué pueden hacer ya las empresas.

Publicado el Por BDR Group11 min de lectura

A 25 de octubre de 2026 España todavía no ha transpuesto la Directiva NIS2 (UE) 2022/2555. El Gobierno aprobó el anteproyecto de ley el 14 de enero de 2025, pero no hay ninguna ley en el BOE y las Cortes se disolvieron el 5 de octubre. Las medidas de la Directiva, sin embargo, ya se pueden preparar.

En qué punto está la ley española

El vehículo es el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. Esto es lo que consta en fuentes oficiales a 25 de octubre de 2026:

  • 17 de octubre de 2024: plazo de transposición de la Directiva (artículo 41). España no lo cumplió.
  • 28 de noviembre de 2024 y 7 de mayo de 2025: la Comisión Europea envía a España la carta de emplazamiento y el dictamen motivado.
  • 14 de enero de 2025: el Consejo de Ministros aprueba el anteproyecto y acuerda tramitarlo con urgencia para que pueda aprobarse de nuevo, en segunda vuelta, lo antes posible.
  • 17 de marzo de 2026: la referencia del Consejo de Ministros de ese día dice que la ley la tramita el Ministerio del Interior y que el anteproyecto se aprobó en enero.
  • 8 de julio de 2026: la Comisión lleva a España, Irlanda, Francia y los Países Bajos ante el Tribunal de Justicia de la UE por no haber notificado la transposición, y pide sanciones económicas.
  • 5 de octubre de 2026: el Real Decreto 806/2026 disuelve el Congreso y el Senado y convoca elecciones para el 29 de noviembre. Las nuevas Cámaras se reunirán el 23 de diciembre (BOE del 6 de octubre).

Hemos repasado las referencias del Consejo de Ministros publicadas entre el 24 de marzo y el 13 de octubre de 2026 y no consta que se haya aprobado el proyecto de ley. En la base de legislación consolidada del BOE no hay ninguna ley con ese título, y no hemos encontrado el proyecto registrado en el Congreso. No hay que confundirlo con el proyecto de ley de protección y resiliencia de las entidades críticas, que el Gobierno aprobó el 17 de marzo de 2026 y es otra norma. A finales de septiembre algunos medios especializados decían que el Gobierno estaba a punto de dar el paso siguiente; no hemos podido confirmarlo en ninguna fuente oficial y no lo damos por hecho.

El resultado es que no podemos decir cuándo será ley. Con las Cortes disueltas, la tramitación parlamentaria no puede empezar hasta que haya Cámaras nuevas. Mientras tanto sigue en vigor el régimen anterior, el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que se aplica a los operadores de servicios esenciales de los sectores estratégicos y a determinados servicios digitales (mercados en línea, motores de búsqueda y computación en la nube).

A quién afectará: entidades esenciales e importantes

La Directiva se aplica, en general, a las entidades públicas o privadas que son medianas o más grandes y pertenecen a uno de los sectores de los anexos I o II (artículo 2.1). La Recomendación 2003/361/CE considera pequeña una empresa de menos de 50 personas con un volumen de negocios o un balance de hasta 10 millones de euros. En términos prácticos: a partir de 50 personas, o con volumen de negocios y balance por encima de los 10 millones.

  • Anexo I (alta criticidad): energía, transporte, banca, infraestructuras de los mercados financieros, sanitario, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC de empresa a empresa, administración pública y espacio.
  • Anexo II (otros sectores críticos): servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentos (distribución al por mayor y producción o transformación industriales), fabricación, proveedores de servicios digitales e investigación.

Algunos tipos de entidad quedan incluidos sea cual sea su tamaño, como los proveedores de DNS, los registros de dominios de primer nivel o los prestadores de servicios de confianza (artículo 2.2). Los sectores habituales de una pyme catalana o andorrana (comercio minorista, hostelería, servicios profesionales) no figuran en ellos como tales.

Tipo (artículo 3)Quién entraMulta máxima que los Estados deben prever, como mínimo (artículo 34)
Entidad esencialEntidades del anexo I que superan los límites de mediana empresa, y algunos tipos sin mínimo de tamaño10 millones de euros o el 2 % del volumen de negocios mundial, el que sea mayor
Entidad importanteEl resto de entidades de los anexos I y II7 millones de euros o el 1,4 % del volumen de negocios mundial, el que sea mayor

El anteproyecto español, según el resumen que hizo el Gobierno el 14 de enero de 2025, se aplicaría a las entidades con residencia fiscal en España o con residencia en otro Estado de la UE que ofrezcan servicios en España, obliga a evaluar riesgos y notificar incidentes significativos, exige designar un responsable de seguridad de la información (acreditado, en las entidades esenciales) y crea un Centro Nacional de Ciberseguridad. Son datos de un texto que puede cambiar.

Las obligaciones de la Directiva: artículos 20, 21 y 23

Dirección (artículo 20). Los órganos de dirección aprueban las medidas de gestión de riesgos, supervisan su aplicación y responden de su incumplimiento. Sus miembros deben recibir formación en ciberseguridad.

Medidas de seguridad (artículo 21). Deben ser proporcionadas al riesgo y cubrir como mínimo diez ámbitos:

  1. Políticas de seguridad y análisis de riesgos.
  2. Gestión de incidentes.
  3. Continuidad: copias de seguridad, recuperación en caso de catástrofe y gestión de crisis.
  4. Seguridad de la cadena de suministro.
  5. Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluidas las vulnerabilidades.
  6. Evaluación de la eficacia de las medidas.
  7. Ciberhigiene básica y formación.
  8. Criptografía y cifrado.
  9. Seguridad del personal, control de acceso y gestión de activos.
  10. Autenticación multifactor y comunicaciones seguras.

Notificación de incidentes (artículo 23). Un incidente es significativo si ha causado o puede causar graves perturbaciones operativas o pérdidas económicas, o perjuicios considerables a terceros. Hay que enviar una alerta temprana en 24 horas desde que se tiene constancia, una notificación con evaluación inicial en 72 horas y un informe final un mes después de esa notificación, además de un informe intermedio si la autoridad lo pide.

¿Y las empresas andorranas que prestan servicio en España?

Andorra no está en la UE. La Directiva se refiere a entidades que prestan servicios en la Unión (artículo 2.1), pero la jurisdicción es la del Estado miembro donde la entidad está establecida (artículo 26). La obligación de designar un representante en la UE solo se impone a determinados proveedores digitales no establecidos en la Unión, como los de DNS, nube, centros de datos o servicios gestionados. Nuestra lectura es que una empresa andorrana fuera de esas categorías no recibiría una obligación directa de una ley española, pero el texto definitivo lo decidirá y conviene confirmarlo con un asesor jurídico.

El efecto real llega por otro camino. Una entidad española afectada debe gestionar la seguridad de su cadena de suministro (artículo 21.2.d y 21.3), y pedirá a sus proveedores compromisos contractuales, evidencias de controles y plazos de notificación de incidentes.

Andorra tiene, además, su propia norma: la Llei 22/2022, de 9 de junio, de medidas para la seguridad de las redes y de los sistemas de información (BOPA núm. 76, de 22 de junio de 2022), con entidades esenciales e importantes y, en la redacción publicada, un ámbito que incluye a las que ocupan a 50 o más personas o superan los 10 millones de euros de volumen de negocios o de balance. Hay que comprobar la versión vigente antes de actuar.

Qué pueden hacer ya las empresas

No hace falta esperar a la ley para empezar: las medidas del artículo 21 son buenas prácticas de seguridad que, en parte, el RGPD ya exige (artículo 32).

  1. Averigua si entras, directamente o por un cliente. Comprueba el sector, el tamaño y si algún cliente grande de los sectores de los anexos tiene que pedirte garantías. El INCIBE publica una tabla de entidades por sector y tamaño en su página sobre NIS2.
  2. Lleva el tema a la dirección. Que la dirección apruebe las medidas, designe un responsable y haga formación, como pide el artículo 20.
  3. Compárate con las diez medidas. Haz un análisis de brechas y ordénalo por prioridad: verificación en dos pasos, copias y recuperación probadas, gestión de incidentes y seguridad de los proveedores suelen ser los primeros huecos.
  4. Prepara el procedimiento de notificación. Quién decide que un incidente es significativo, quién avisa, con qué datos y en qué tiempo. Las 24 y 72 horas no dejan margen para improvisar, y el RGPD ya exige notificar a la autoridad las violaciones de datos personales en 72 horas (artículo 33).
  5. Revisa los contratos. Los de tus proveedores y los de tus clientes: qué obligaciones de seguridad y de notificación constan y qué evidencias puedes ofrecer.

Dónde tenemos interés, y dónde no

Lo decimos claro: en BDR Group hacemos consultoría de ciberseguridad a través de TutumSec, y por tanto tenemos interés en este tema. Según la ficha del servicio, ofrecemos diagnóstico inicial con auditoría técnica, pentesting y análisis de brechas respecto a NIS2 e ISO 27001, consultoría de CISO externalizado y una oficina técnica de seguridad de la información para dar apoyo al cumplimiento de NIS2. Eso no significa que todas las empresas lo necesiten: saber si estás dentro del ámbito no requiere ningún proveedor.

Preguntas frecuentes

¿Estoy ya obligado a cumplir NIS2?

En principio, no directamente. La Directiva se dirige a los Estados miembros (artículo 46), y las obligaciones para las empresas las fijará la ley española, que todavía no existe. Mientras no haya ley, se aplica el régimen anterior a los operadores esenciales y a ciertos servicios digitales. Es una lectura general; para un caso concreto hay que consultar a un asesor jurídico.

¿Quedarán dentro las pymes?

La regla general de la Directiva es que sí, si son medianas o grandes y de un sector de los anexos. El texto español puede añadir matices, y la Comisión propuso el 20 de enero de 2026 modificaciones puntuales de la Directiva; son una propuesta y no hemos comprobado que se hayan adoptado.

¿Qué pasa si solo soy proveedor de una entidad afectada?

No tendrás necesariamente una obligación legal propia, pero sí contractual: la entidad afectada debe asegurar su cadena de suministro y lo trasladará a los contratos.

¿Cuándo será ley?

No lo sabemos. Faltan la aprobación del proyecto por el Gobierno, el trámite parlamentario y la publicación en el BOE, y las Cortes están disueltas hasta después de las elecciones del 29 de noviembre de 2026.

Fuentes

¿Quieres saber si NIS2 te afecta?

Si quieres revisar cómo está la ciberseguridad de tu empresa respecto a NIS2 y por dónde empezar, consulta la ficha del servicio: Ciberseguridad para empresas. Todos los servicios están en TutumSec.

Volver a Actualidad

Actualidad

Artículos relacionados