Actualitat

NIS2 a Espanya: estat de la transposició i què fer ja

A 25/10/2026 Espanya encara no ha transposat la Directiva NIS2. Estat de la llei, qui hi queda afectat, obligacions i què poden fer ja les empreses.

Publicat el Per BDR Group10 min de lectura

Il·lustració isomètrica de tres blocs en escala creixent, amb un escut amb marca de verificació al primer i un full de llista al més alt

A 25 d’octubre de 2026 Espanya encara no ha transposat la Directiva NIS2 (UE) 2022/2555. El Govern va aprovar l’avantprojecte de llei el 14 de gener de 2025, però no hi ha cap llei al BOE i les Corts es van dissoldre el 5 d’octubre. Les mesures de la Directiva, tanmateix, ja es poden preparar.

En quin punt és la llei espanyola

El vehicle és l’avantprojecte de Llei de Coordinació i Governança de la Ciberseguretat. Això és el que consta en fonts oficials a 25 d’octubre de 2026:

  • 17 d’octubre de 2024: termini de transposició de la Directiva (article 41). Espanya no el va complir.
  • 28 de novembre de 2024 i 7 de maig de 2025: la Comissió Europea envia a Espanya la carta de requeriment i el dictamen motivat.
  • 14 de gener de 2025: el Consell de Ministres aprova l’avantprojecte i acorda tramitar-lo amb urgència perquè es pugui aprovar de nou, en segona volta, tan aviat com sigui possible.
  • 17 de març de 2026: la referència del Consell de Ministres d’aquell dia diu que la llei la tramita el Ministeri de l’Interior i que l’avantprojecte es va aprovar al gener.
  • 8 de juliol de 2026: la Comissió porta Espanya, Irlanda, França i els Països Baixos davant el Tribunal de Justícia de la UE per no haver notificat la transposició, i demana sancions econòmiques.
  • 5 d’octubre de 2026: el Reial decret 806/2026 dissol el Congrés i el Senat i convoca eleccions per al 29 de novembre. Les noves Cambres es reuniran el 23 de desembre (BOE del 6 d’octubre).

Hem repassat les referències del Consell de Ministres publicades entre el 24 de març i el 13 d’octubre de 2026 i no hi consta que s’hagi aprovat el projecte de llei. A la base de legislació consolidada del BOE no hi ha cap llei amb aquest títol, i no hem trobat el projecte registrat al Congrés. No s’ha de confondre amb el projecte de llei de protecció i resiliència de les entitats crítiques, que el Govern va aprovar el 17 de març de 2026 i és una altra norma. A finals de setembre alguns mitjans especialitzats deien que el Govern estava a punt de fer el pas següent; no ho hem pogut confirmar en cap font oficial i no ho donem per fet.

El resultat és que no podem dir quan serà llei. Amb les Corts dissoltes, la tramitació parlamentària no pot començar fins que hi hagi Cambres noves. Mentrestant continua en vigor el règim anterior, el Reial decret llei 12/2018 i el Reial decret 43/2021, que s’aplica als operadors de serveis essencials dels sectors estratègics i a determinats serveis digitals (mercats en línia, cercadors i computació al núvol).

A qui afectarà: entitats essencials i importants

La Directiva s’aplica, en general, a les entitats públiques o privades que són mitjanes o més grans i que pertanyen a un dels sectors dels annexos I o II (article 2.1). La Recomanació 2003/361/CE considera petita una empresa de menys de 50 persones amb un volum de negocis o un balanç de fins a 10 milions d’euros. En termes pràctics: a partir de 50 persones, o amb volum de negocis i balanç per sobre dels 10 milions.

  • Annex I (alta criticitat): energia, transport, banca, infraestructures dels mercats financers, sanitari, aigua potable, aigües residuals, infraestructura digital, gestió de serveis TIC d’empresa a empresa, administració pública i espai.
  • Annex II (altres sectors crítics): serveis postals i de missatgeria, gestió de residus, productes químics, aliments (distribució a l’engròs i producció o transformació industrial), fabricació, proveïdors de serveis digitals i recerca.

Alguns tipus d’entitat hi queden inclosos sigui quina sigui la mida, com els proveïdors de DNS, els registres de dominis de primer nivell o els prestadors de serveis de confiança (article 2.2). Els sectors habituals d’una pime catalana o andorrana (comerç minorista, hostaleria, serveis professionals) no hi figuren com a tals.

Tipus (article 3)Qui hi entraMulta màxima que els Estats han de preveure, com a mínim (article 34)
Entitat essencialEntitats de l’annex I que superen els límits de mitjana empresa, i alguns tipus sense mínim de mida10 milions d’euros o el 2 % del volum de negocis mundial, el que sigui més alt
Entitat importantLa resta d’entitats dels annexos I i II7 milions d’euros o l’1,4 % del volum de negocis mundial, el que sigui més alt

L’avantprojecte espanyol, segons el resum que en va fer el Govern el 14 de gener de 2025, s’aplicaria a les entitats amb residència fiscal a Espanya o amb residència en un altre Estat de la UE que hi ofereixin serveis, obliga a avaluar riscos i notificar incidents significatius, exigeix designar un responsable de seguretat de la informació (acreditat, en les entitats essencials) i crea un Centre Nacional de Ciberseguretat. Són dades d’un text que pot canviar.

Les obligacions de la Directiva: articles 20, 21 i 23

Direcció (article 20). Els òrgans de direcció aproven les mesures de gestió de riscos, en supervisen l’aplicació i en responen si no es compleixen. Els seus membres han de fer formació en ciberseguretat.

Mesures de seguretat (article 21). Han de ser proporcionades al risc i cobrir com a mínim deu àmbits:

  1. Polítiques de seguretat i anàlisi de riscos.
  2. Gestió d’incidents.
  3. Continuïtat: còpies de seguretat, recuperació en cas de catàstrofe i gestió de crisis.
  4. Seguretat de la cadena de subministrament.
  5. Seguretat en l’adquisició, el desenvolupament i el manteniment de sistemes, incloses les vulnerabilitats.
  6. Avaluació de l’eficàcia de les mesures.
  7. Ciberhigiene bàsica i formació.
  8. Criptografia i xifratge.
  9. Seguretat del personal, control d’accés i gestió d’actius.
  10. Autenticació multifactor i comunicacions segures.

Notificació d’incidents (article 23). Un incident és significatiu si ha causat o pot causar greus pertorbacions operatives o pèrdues econòmiques, o perjudicis considerables a tercers. Cal enviar una alerta primerenca en 24 hores des que se’n té constància, una notificació amb avaluació inicial en 72 hores i un informe final un mes després d’aquesta notificació, a més d’un informe intermedi si l’autoritat el demana.

I les empreses andorranes que presten servei a Espanya?

Andorra no és a la UE. La Directiva es refereix a entitats que presten serveis a la Unió (article 2.1), però la jurisdicció és la de l’Estat membre on l’entitat està establerta (article 26). L’obligació de designar un representant a la UE només s’imposa a determinats proveïdors digitals no establerts a la Unió, com els de DNS, núvol, centres de dades o serveis gestionats. La nostra lectura és que una empresa andorrana fora d’aquestes categories no rebria una obligació directa d’una llei espanyola, però el text definitiu ho decidirà i convé confirmar-ho amb un assessor jurídic.

L’efecte real arriba per un altre camí. Una entitat espanyola afectada ha de gestionar la seguretat de la seva cadena de subministrament (article 21.2.d i 21.3), i demanarà als proveïdors compromisos contractuals, evidències de controls i terminis de notificació d’incidents.

Andorra té, a més, la seva norma: la Llei 22/2022, del 9 de juny, de mesures per a la seguretat de les xarxes i dels sistemes d’informació (BOPA núm. 76, del 22 de juny de 2022), amb entitats essencials i importants i, en la redacció publicada, un àmbit que inclou les que ocupen 50 o més persones o superen els 10 milions d’euros de volum de negocis o de balanç. Cal comprovar la versió vigent abans d’actuar-hi.

Què poden fer ja les empreses

No cal esperar la llei per començar: les mesures de l’article 21 són bones pràctiques de seguretat que, en part, el RGPD ja exigeix (article 32).

  1. Esbrina si hi entres, directament o per client. Comprova el sector, la mida i si algun client gran dels sectors dels annexos t’ha de demanar garanties. L’INCIBE publica una taula d’entitats per sector i mida a la seva pàgina sobre NIS2.
  2. Porta el tema a direcció. Que la direcció aprovi les mesures, hi designi un responsable i faci formació, com demana l’article 20.
  3. Compara’t amb les deu mesures. Fes una anàlisi de bretxes i ordena-la per prioritat: verificació en dos passos, còpies i recuperació provades, gestió d’incidents i seguretat dels proveïdors solen ser els primers forats.
  4. Prepara el procediment de notificació. Qui decideix que un incident és significatiu, qui avisa, amb quines dades i en quin temps. Les 24 i 72 hores no deixen marge per improvisar, i el RGPD ja exigeix notificar a l’autoritat les violacions de dades personals en 72 hores (article 33).
  5. Revisa els contractes. Els teus proveïdors i els teus clients: quines obligacions de seguretat i de notificació hi consten, i quines evidències pots oferir.

On tenim interès, i on no

Ho diem clar: a BDR Group fem consultoria de ciberseguretat a través de TutumSec, i per tant tenim interès en aquest tema. Segons la nostra fitxa del servei, oferim diagnòstic inicial amb auditoria tècnica, pentesting i anàlisi de bretxes respecte a NIS2 i ISO 27001, consultoria de CISO externalitzada i una oficina tècnica de seguretat de la informació per donar suport al compliment de NIS2. Això no vol dir que totes les empreses ho necessitin: saber si estàs dins de l’àmbit no requereix cap proveïdor.

Preguntes freqüents

Ja estic obligat a complir NIS2?

En principi, no directament. La Directiva s’adreça als Estats membres (article 46), i les obligacions per a les empreses les fixarà la llei espanyola, que encara no existeix. Mentre no hi hagi llei, s’aplica el règim anterior als operadors essencials i a certs serveis digitals. És una lectura general; per a un cas concret cal consultar un assessor jurídic.

Les pimes quedaran dins?

La regla general de la Directiva és que sí si són mitjanes o grans i d’un sector dels annexos. El text espanyol pot afegir matisos, i la Comissió va proposar el 20 de gener de 2026 modificacions puntuals de la Directiva; són una proposta i no hem comprovat que s’hagin adoptat.

Què passa si només sóc proveïdor d’una entitat afectada?

No tindràs necessàriament una obligació legal pròpia, però sí contractual: l’entitat afectada ha d’assegurar la seva cadena de subministrament i ho traslladarà als contractes.

Quan serà llei?

No ho sabem. Falten l’aprovació del projecte pel Govern, el tràmit parlamentari i la publicació al BOE, i les Corts estan dissoltes fins després de les eleccions del 29 de novembre de 2026.

Fonts

Vols saber si NIS2 t’afecta?

Si vols revisar com està la ciberseguretat de la teva empresa respecte a NIS2 i per on començar, consulta la fitxa del servei: Ciberseguretat per a empreses. Tots els serveis són a TutumSec.

Torna a Actualitat

Actualitat

Articles relacionats