La situación de NIS2 en España exige separar tres planos: la directiva europea, la futura norma de transposición y las obligaciones españolas que ya están vigentes. A 28 de septiembre de 2026, las fuentes oficiales consultadas no permiten presentar el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad como una ley aprobada y publicada en el BOE. Tampoco permiten fijar una fecha de entrada en vigor futura como si estuviera confirmada.
Esta guía identifica los hitos comprobados y explica qué puede hacer una organización mientras sigue la evolución legislativa. Las exigencias de NIS2 se describen como contenido de la directiva, distinguiéndolas de los deberes nacionales actualmente aplicables. El retraso de transposición no elimina el RGPD, el ENS, las obligaciones sectoriales ni el régimen español existente de seguridad de redes y sistemas de información.
Estado de la transposición: qué consta oficialmente
El Consejo de Ministros presentó el anteproyecto el 14 de enero de 2025. Se trata de una fase de preparación normativa. La aprobación de un anteproyecto no equivale a la aprobación parlamentaria de una ley ni permite afirmar que su contenido ya obliga a todas las entidades previstas.
La página de audiencia e información pública del Ministerio del Interior identifica la publicación de ese trámite el 16 de enero de 2025 y su cierre el 10 de febrero. Los documentos sometidos a consulta muestran una propuesta y sus anexos. Deben distinguirse de otros proyectos y fechas que aparecen en la misma página.
El 8 de julio de 2026, la Comisión Europea anunció su decisión de llevar a España, Francia, Irlanda y Países Bajos ante el Tribunal de Justicia por no notificar la transposición completa. Ese anuncio acredita una actuación frente a Estados miembros en aquella fecha. No es una multa NIS2 impuesta a una empresa española ni demuestra por sí solo el estado posterior de los otros países.
La comprobación de BOE y fuentes gubernamentales realizada para esta actualización no ha localizado una ley española de transposición completa ya publicada. Esta conclusión tiene una fecha de corte; una noticia posterior, un proyecto remitido a las Cortes o una publicación oficial exigirán actualizarla. No debe confundirse una previsión política con una fecha legalmente establecida para cumplir.
Qué normas siguen siendo relevantes ahora
El Real Decreto-ley 12/2018 y el Real Decreto 43/2021 conforman el régimen español existente de seguridad de redes y sistemas de información en su ámbito. Una entidad ya incluida debe analizar sus obligaciones vigentes, su autoridad competente y sus canales de notificación. No puede asumir que el retraso de NIS2 suspende esos deberes.
El ENS tiene un ámbito diferente, relacionado con sistemas del sector público y determinados proveedores. El RGPD protege los datos personales y exige seguridad adecuada al riesgo, además de regular las brechas. Existen también normas sectoriales y compromisos contractuales. La primera tarea es identificar cuáles se aplican hoy y mantener esa lista separada del análisis preparatorio de NIS2.
La directiva no debe utilizarse por sí sola como fundamento para imponer nuevas sanciones a una empresa privada por una transposición nacional pendiente. Eso tampoco significa que cualquier conducta de ciberseguridad quede sin consecuencias: puede infringir obligaciones nacionales existentes, protección de datos o contratos. La pregunta correcta es qué norma vigente tipifica la obligación y qué autoridad puede aplicarla al supuesto.
Una empresa que presta servicios en otros Estados miembros necesita comprobar además sus reglas de jurisdicción y la legislación allí vigente. Tener la sede social en España no excluye automáticamente toda exposición en otro país. El artículo 26 de NIS2 contiene reglas generales y excepciones según el tipo de entidad y servicio; la ubicación del establecimiento principal es relevante para ciertos proveedores digitales, no una solución universal para todos los sectores.
Cómo analizar si una entidad estará incluida
Los artículos 2 y 3 y los anexos I y II de la Directiva (UE) 2022/2555 son el punto de partida. Hay que identificar la actividad efectiva, el tipo de entidad, su tamaño y las excepciones. Un código de actividad económica o una descripción comercial puede orientar, pero no sustituye la comparación con la definición jurídica del servicio.
La regla general utiliza las categorías de empresa mediana y superior de la Recomendación 2003/361/CE. El cálculo requiere considerar plantilla, volumen de negocios, balance y, cuando corresponda, empresas asociadas o vinculadas. No es correcto reducirlo a “cincuenta trabajadores o diez millones en cualquier indicador” sin aplicar las combinaciones y relaciones empresariales de la definición europea.
Existen supuestos incluidos con independencia del tamaño y posibilidades de identificación individual por su importancia. Entre los ejemplos regulados figuran determinados prestadores de servicios de confianza, servicios DNS y registros de nombres de dominio de primer nivel, con las distinciones que establece la directiva. Por eso una pequeña empresa no debería descartarse únicamente por su plantilla.
La condición de esencial o importante tampoco depende solo del sector. Intervienen el tamaño, las categorías específicas y las identificaciones previstas. En términos generales, determinadas entidades grandes del anexo I son esenciales y otras incluidas quedan como importantes, pero esa orientación no reemplaza el artículo 3. La guía sobre entidades esenciales e importantes desarrolla el análisis de clasificación.
Para documentar la decisión conviene conservar una ficha con actividad, servicios, sociedades implicadas, datos de tamaño, excepciones evaluadas y conclusión provisional. Debe indicar qué puntos dependen de la futura norma española o de una identificación administrativa. Así podrá revisarse de forma controlada cuando exista una publicación oficial, en lugar de rehacer toda la evaluación desde cero.
Qué exige NIS2 en materia de riesgos
El artículo 21 establece medidas técnicas, operativas y organizativas adecuadas y proporcionadas. Su enfoque considera los riesgos y las consecuencias de los incidentes para quienes reciben los servicios y para otros servicios. No se limita a adquirir herramientas: incluye políticas, responsabilidades, continuidad, seguridad de proveedores, gestión de vulnerabilidades y evaluación de la eficacia.
Entre las materias enumeradas se encuentran el análisis de riesgos, la gestión de incidentes, las copias y recuperación, la cadena de suministro, la seguridad en adquisición y mantenimiento, la formación, la criptografía, los accesos y la autenticación reforzada cuando corresponda. La proporcionalidad debe relacionarse con exposición, tamaño, probabilidad y gravedad, no utilizarse como una fórmula vacía para justificar cualquier carencia.
Prepararse significa comprobar si los controles funcionan en los servicios relevantes. Una copia de seguridad sin restauración comprobada deja incertidumbre sobre la continuidad. Un contrato con el proveedor sin información sobre incidentes o dependencias puede impedir evaluar el impacto. Una política de acceso sin revisión de cuentas privilegiadas no demuestra que los permisos actuales sigan siendo necesarios.
Pensemos en un operador con una plataforma de producción y un servicio externo de mantenimiento remoto. El análisis debe cubrir quién autoriza ese acceso, cómo se revoca, qué ocurre si el proveedor queda indisponible y qué evidencia puede entregar después de un incidente. Esas decisiones pueden ser útiles bajo obligaciones actuales y facilitar la futura adaptación, sin afirmar que cada detalle constituye ya una obligación NIS2 española.
Responsabilidad de la dirección y formación
El artículo 20 prevé que los órganos de dirección aprueben las medidas de gestión de riesgos y supervisen su aplicación, con responsabilidad conforme a su marco de transposición. También contempla formación para esos órganos. No establece una multa personal automática y uniforme para cualquier consejero o director cada vez que ocurre un incidente.
La preparación del órgano de dirección debería permitir comprender los riesgos del servicio, las decisiones pendientes y las consecuencias de aceptar una exposición. Un informe útil distingue controles implantados, carencias, dependencias y recursos necesarios. La dirección no necesita reproducir el trabajo técnico, pero sí disponer de información suficiente para aprobar prioridades y comprobar que se ejecutan.
Conviene registrar acuerdos y seguimiento sin transformar cada reunión en una colección de documentos estandarizados. Si una restauración falla, la evidencia relevante incluye el problema, la decisión, el responsable y la nueva comprobación. Una presentación que declara todo conforme mientras oculta esas limitaciones no ayuda a supervisar el riesgo.
Incidentes: la secuencia europea y sus condiciones
El artículo 23 se refiere a incidentes significativos. La directiva considera la perturbación operativa grave o las pérdidas financieras para la entidad, así como daños materiales o inmateriales considerables a otras personas. La evaluación depende del servicio y del impacto; no cualquier alerta técnica constituye por sí misma un incidente notificable bajo NIS2.
La secuencia general empieza, sin demora indebida y dentro de veinticuatro horas desde que se tenga conocimiento, con una alerta temprana. Sigue una notificación dentro de setenta y dos horas desde el conocimiento, con una valoración inicial e información adicional pertinente. Para prestadores de servicios de confianza, esa notificación tiene un plazo de veinticuatro horas cuando el incidente significativo afecta a la prestación de sus servicios de confianza.
La autoridad o el CSIRT puede solicitar informes intermedios. El informe final se presenta como máximo un mes después de la notificación. Si el incidente sigue en curso en ese momento, se entrega un informe de situación y el final dentro del mes siguiente a la gestión del incidente. El procedimiento no termina necesariamente al enviar el primer formulario.
Estos son requisitos de la directiva que deben conectarse con el régimen nacional aplicable. La guía de notificación de incidentes NIS2 desarrolla sus fases. Para preparar el proceso, identifique quién determina el conocimiento, quién evalúa la significación, quién puede enviar fuera de horario y cómo se amplía la información sin esperar a conocer la causa completa.
INCIBE, CCN y autoridades competentes
El régimen español vigente distingue autoridades competentes y CSIRT de referencia. El Real Decreto-ley 12/2018 y el Real Decreto 43/2021 regulan funciones y coordinación, incluyendo a CCN-CERT e INCIBE-CERT según el ámbito y las particularidades aplicables. La existencia de un punto técnico de contacto no convierte a ese equipo en la autoridad sancionadora para cualquier organización.
Antes de un incidente conviene verificar el canal que corresponde a la entidad, su eventual designación y las reglas sectoriales. Deben considerarse las especialidades de infraestructuras críticas y defensa cuando sean pertinentes. Una tabla interna debe separar asistencia técnica, notificación obligatoria y comunicación a otras autoridades; pueden relacionarse sin ser el mismo trámite.
El anteproyecto describe una futura reorganización institucional. Sus órganos y competencias propuestos no deben anunciarse como autoridad ya operativa por el mero hecho de aparecer en el texto consultado. Hasta una modificación normativa efectiva, la organización debe seguir el marco vigente y comprobar cualquier instrucción oficial que afecte a su caso.
Sanciones: umbrales europeos y decisiones reales
El artículo 34 exige que los máximos nacionales disponibles alcancen al menos diez millones de euros o el dos por ciento del volumen de negocios mundial anual para determinadas infracciones de entidades esenciales, aplicando la cifra mayor. Para importantes, la referencia es siete millones o el uno coma cuatro por ciento, también la mayor. Son mínimos para los máximos sancionadores que debe establecer el derecho nacional, no multas automáticas ni un techo europeo que impida una opción nacional superior.
La aplicación concreta requiere infracción, competencia, procedimiento y valoración de los factores pertinentes. La directiva contempla gravedad, duración, intencionalidad o negligencia, daños, cooperación y otras circunstancias. La guía de multas y sanciones NIS2 permite analizar esos criterios sin confundirlos con una resolución ya impuesta en España.
La supervisión de esenciales e importantes presenta diferencias: el artículo 32 contempla supervisión previa y posterior para esenciales, mientras el artículo 33 articula un régimen posterior para importantes cuando existan indicios. Algunas medidas temporales especialmente intensas para esenciales tienen condiciones y garantías específicas. No debe resumirse esa regulación como una facultad general de suspender a cualquier directivo inmediatamente después de un fallo.
Coordinación con RGPD, ENS y DORA
Un incidente puede afectar a la continuidad de un servicio y a datos personales. El RGPD exige notificar la violación de datos a la autoridad sin dilación indebida y, de ser posible, dentro de setenta y dos horas desde que se tiene constancia, salvo que sea improbable que exista riesgo para las personas. Si se retrasa, se explican los motivos. Todas las violaciones se documentan; informar a afectados depende del alto riesgo y de las excepciones del artículo 34. La guía de brechas de seguridad RGPD trata esa decisión separada.
La comparación entre NIS2 y RGPD ayuda a evitar que la coincidencia de setenta y dos horas oculte diferencias de objeto, umbral y destinatario. Las sanciones RGPD pertenecen a su propio régimen. El artículo 35 de NIS2 incorpora además reglas de coordinación cuando la misma conducta genera una multa bajo el RGPD; no procede sumar cifras máximas de forma mecánica.
La guía del ENS y el análisis de ISO 27001 y RGPD permiten reutilizar evidencias con su alcance correcto. Ni una certificación ni una declaración de conformidad sustituyen el análisis de inclusión, gobernanza y notificación. Para entidades financieras, el artículo 4 de NIS2 prevé la relación con actos sectoriales equivalentes como DORA en las materias cubiertas; no debe suponerse una duplicación íntegra de obligaciones.
Plan de preparación mientras se concreta la ley
La organización puede empezar por una evaluación de alcance, un inventario de obligaciones vigentes y una comparación de sus controles con la directiva. Después debe priorizar medidas que reduzcan riesgos reales y conservar evidencias. Una auditoría con metodología definida aporta disciplina de revisión, aunque su objeto debe adaptarse a ciberseguridad y no limitarse a protección de datos.
Si utiliza software para organizar el cumplimiento NIS2, compruebe cómo vincula requisitos, responsables, incidencias y evidencias. La herramienta no decide por sí sola el ámbito legal ni garantiza conformidad. La lista de comprobación RGPD para España sigue siendo útil para las obligaciones de datos que ya existen.
Finalmente, asigne una revisión de novedades oficiales con un responsable y acontecimientos concretos: publicación del proyecto, cambios parlamentarios, ley en BOE, entrada en vigor y desarrollo reglamentario. Cada hito debe compararse con la evaluación anterior. Así la preparación avanza sin presentar propuestas como derecho vigente ni aplazar medidas necesarias bajo normas que ya se aplican.