NIS2 en España: en qué punto está la ley y qué hacer ya

La transposición de NIS2 en España sigue pendiente: la ley española no está en vigor y la vía parlamentaria está parada hasta que se formen las nuevas Cortes. Eso no le exime de prepararse. Si su empresa vende a grandes compañías, a la Administración o a clientes de otros países de la UE, esos clientes pueden pedirle ya medidas y pruebas de seguridad con criterios de NIS2. Y las medidas que pide la directiva reducen riesgos reales mientras la ley se tramita.

Actualizaremos este artículo cuando haya un paso oficial nuevo.

Qué ha pasado con la ley

NIS2 es una directiva europea de 2022 que amplía las obligaciones de ciberseguridad a muchos más sectores y empresas que la norma anterior. La directiva está en vigor en la UE desde el 16 de enero de 2023, pero obliga a los Estados, no directamente a las empresas: las obligaciones para las empresas llegan con la ley de cada país. Cada país debía incorporarla a su legislación a más tardar el 17 de octubre de 2024. España no lo hizo a tiempo.

14 de enero de 2025. El Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. Un anteproyecto es un borrador del Gobierno: todavía no es ley ni se ha enviado a las Cortes.
21 de febrero de 2025. España notifica ese borrador a la Comisión Europea como proyecto de norma técnica. No es la notificación de una transposición completa.
28 de noviembre de 2024, 7 de mayo de 2025 y 8 de julio de 2026. La Comisión Europea abre un procedimiento contra España por no incorporar la directiva: primero una carta de emplazamiento, después un dictamen motivado y, el 8 de julio de 2026, la decisión de llevar a España ante el Tribunal de Justicia de la UE y pedir sanciones económicas para el Estado. La misma decisión afecta a Francia, Irlanda y Países Bajos.
6 de octubre de 2026. El BOE publica el Real Decreto 806/2026, que disuelve el Congreso y el Senado y convoca elecciones generales para el 29 de noviembre. Las nuevas Cámaras se constituyen el 23 de diciembre.

En los datos abiertos del Congreso (conjunto «Proyectos de ley» de la XV legislatura, consultado el 2 de noviembre de 2026) no figura ningún proyecto de ley de ciberseguridad: el texto se quedó en anteproyecto y no llegó a las Cortes. Los proyectos que sí estaban en tramitación figuran como caducados tras la disolución.

Qué significa la disolución para la fecha de la ley

Tras las elecciones, el Gobierno queda en funciones hasta que se forme uno nuevo, y un Gobierno en funciones no puede presentar proyectos de ley a las Cortes (artículo 21 de la Ley 50/1997, del Gobierno). Lo previsible es que el Gobierno que salga de las elecciones apruebe el texto como proyecto de ley y lo envíe a las nuevas Cortes, que se constituyen el 23 de diciembre; allí tendrá que pasar por el Congreso y el Senado. No hay una fecha oficial de aprobación, pero con ese calendario, en la práctica, no cabe esperar la ley por la vía ordinaria antes de 2027.

La Constitución permite al Gobierno aprobar un real decreto-ley en casos de extraordinaria y urgente necesidad; con las Cámaras disueltas, lo convalida la Diputación Permanente (artículos 78 y 86). A 2 de noviembre de 2026 no hemos encontrado ningún anuncio oficial en ese sentido. No hacemos previsiones sobre el resultado electoral ni sobre el calendario del próximo Gobierno.

Qué norma se aplica mientras tanto

Sigue vigente la ley que aplicó la directiva anterior, NIS1: el Real Decreto-ley 12/2018 y su reglamento, el Real Decreto 43/2021. Obliga a los operadores de servicios esenciales ya designados y a ciertos proveedores de servicios digitales. Si presta servicios o soluciones a la Administración pública, el Esquema Nacional de Seguridad (ENS) puede aplicarse a los sistemas con los que lo hace, según la normativa y el contrato; lo explicamos en Certificación ENS para proveedores.

Si su empresa tiene sede o filial en otro país de la UE que ya ha incorporado NIS2, la ley de ese país puede aplicarse a esa actividad (artículo 26 de la directiva). Conviene que lo revise con su asesor jurídico.

Qué propone el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad

Hemos revisado el borrador de enero de 2025 que el Ministerio del Interior publicó y España notificó a la Comisión Europea. No hemos encontrado una versión oficial posterior, y el texto puede cambiar antes de llegar a las Cortes. Estos son sus puntos principales:

Coordinación nacional. Crea el Centro Nacional de Ciberseguridad, adscrito al Gabinete de la Presidencia del Gobierno, que coordina a las autoridades que supervisan cada sector.
Dos categorías de empresas: esenciales e importantes. En general, son esenciales las grandes empresas de los sectores del anexo I. Según la definición europea, es grande la que tiene 250 trabajadores o más, o bien más de 50 millones de euros de facturación anual y más de 43 millones de balance; el cálculo puede incluir empresas asociadas o vinculadas. Algunas entidades son esenciales sea cual sea su tamaño. Las demás empresas de los sectores de los anexos I y II que entran en la ley son importantes.
Responsabilidad de la dirección. Los órganos de dirección responden de aplicar las medidas de seguridad y deben formarse de forma periódica.
Un responsable de seguridad de la información. Cada empresa obligada designa a una persona, unidad u órgano que coordina la seguridad con las autoridades y canaliza las notificaciones de incidentes.
Prueba del cumplimiento. Las entidades esenciales lo acreditan con una certificación; las importantes pueden elegir entre certificación y autoevaluación. El borrador prevé un perfil específico del ENS para acreditar estas medidas; cumplir hoy el ENS no acredita por sí solo el cumplimiento de la futura ley.
Notificación de incidentes significativos en tres pasos principales, que se explican más abajo.
Sanciones graduadas. Para determinadas infracciones muy graves, el borrador recoge las cuantías que la directiva exige como máximo mínimo: hasta 10 millones de euros o el 2 % de la facturación mundial del ejercicio anterior para las entidades esenciales, y hasta 7 millones o el 1,4 % para las importantes, la cifra que sea mayor.

¿Le afectará?

Depende del sector y del tamaño de su empresa. La directiva se aplica, en general, a empresas medianas y grandes (desde 50 trabajadores, o con más de 10 millones de euros de facturación y de balance anual) de los sectores de sus anexos. Algunas entran sea cual sea su tamaño, como los proveedores de DNS (el servicio que traduce los nombres de dominio en direcciones de internet) o los registros de dominios de primer nivel, como .es.

Anexo I, sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, Administración pública y espacio.
Anexo II, otros sectores críticos: servicios postales, gestión de residuos, sustancias químicas, alimentación, fabricación (por ejemplo, productos sanitarios, electrónica, maquinaria y vehículos), proveedores digitales como mercados en línea, buscadores y redes sociales, e investigación.

Si es proveedor de una empresa obligada, eso por sí solo no le incluye ni le excluye: depende de su propia actividad y tamaño. Aunque quede fuera, su cliente sí debe gestionar la seguridad de su cadena de suministro (artículo 21.2.d de la directiva), así que puede pedirle cuestionarios de seguridad, cláusulas en el contrato o pruebas de las medidas que aplica.

Lo que puede hacer ya, sin esperar a la ley

El artículo 21 de la directiva enumera las medidas que deberán aplicar las empresas obligadas. El anteproyecto español recoge las mismas áreas, entre ellas copias de seguridad y recuperación, formación y cifrado. Ninguna depende de la fecha de la ley. Como punto de partida, proponemos estas cinco tareas, que además le dejan pruebas que enseñar a un cliente:

1. Saber qué expone su empresa a internet

Haga una lista de los sitios web, servidores, accesos remotos y servicios en la nube de su empresa que cualquiera puede alcanzar desde internet, incluidos los que configuró un proveedor o una persona que ya no trabaja en la empresa. Esa lista es la base práctica de la gestión de activos y del análisis de riesgos que pide la directiva.

2. Una rutina para tratar las vulnerabilidades

Decida quién revisa los avisos de seguridad, cada cuánto se comprueban los sistemas y en qué plazo se corrige según la gravedad. Registre lo que se corrige y cuándo. Ese historial le sirve como prueba ante clientes y auditores. Cómo ordenar qué corregir primero lo tratamos en NIS2: dónde encaja la explotabilidad al corregir.

3. Autenticación multifactor en los accesos remotos

Pida algo más que la contraseña, como un código en el móvil o una llave física, para entrar en el correo, la VPN (la conexión remota a la red de la empresa), los paneles de administración y cualquier acceso desde fuera de la oficina. La directiva menciona la autenticación multifactor de forma expresa. Reduce el riesgo de que alguien entre con una contraseña robada; cuando pueda, elija métodos resistentes al phishing, como las llaves físicas.

4. Preguntas a sus proveedores

Identifique qué proveedores tienen acceso a sus sistemas o a sus datos y pregúnteles cómo protegen ese acceso, a quién avisar en caso de incidente y en qué plazo. Si usted es el proveedor, prepare las respuestas antes de que se las pidan.

5. Un plan para cuando ocurra un incidente

Escriba quién decide, a quién se avisa y cómo se reúnen los datos del incidente. Con la ley, las empresas obligadas tendrán 24 horas para la primera alerta; un plan escrito ayuda a cumplir ese plazo.

Notificación de incidentes

Para los incidentes significativos, la directiva fija tres pasos, contados desde que la empresa tiene constancia del incidente: una alerta temprana sin demora indebida y como máximo en 24 horas, una notificación en 72 horas con una primera evaluación y un informe final como máximo un mes después de esa notificación. La autoridad puede pedir además informes intermedios, y hay reglas propias para incidentes que siguen en curso. El anteproyecto español mantiene estos pasos. Encontrar un servicio expuesto no es, por sí solo, un incidente que haya que notificar. Qué información conviene tener preparada lo tratamos en Plazos de notificación NIS2 y exposición externa.

Cómo seguir el estado de la ley

Las fuentes que cuentan son oficiales: el BOE, la web del Congreso (proyectos de ley y Boletín Oficial de las Cortes Generales), las referencias del Consejo de Ministros en La Moncloa y los comunicados de la Comisión Europea sobre procedimientos de infracción. Si lee una fecha como «obligaciones en 2026», compruebe en estas fuentes de qué norma se habla y a quién se aplica.

Actualizaremos este artículo cuando haya un paso oficial: tras las elecciones del 29 de noviembre, cuando se constituyan las nuevas Cortes el 23 de diciembre y cuando un Gobierno apruebe un proyecto de ley o un real decreto-ley.

Registro de cambios

2 de noviembre de 2026. Primera versión: Cortes disueltas por el Real Decreto 806/2026, elecciones el 29 de noviembre; ningún proyecto de ley de ciberseguridad en el Congreso; decisión de la Comisión Europea, el 8 de julio de 2026, de llevar a España ante el Tribunal de Justicia.

SeguriScan, la plataforma de IntruForce, revisa desde fuera los sitios web y sistemas de su empresa accesibles desde internet y busca contraseñas de trabajo expuestas en fugas. Muestra los activos que descubre y qué corregir primero, lo que sirve para la tarea 1 y la 2 de arriba. No certifica el cumplimiento de NIS2 ni revisa su red interna. Vea cómo funciona SeguriScan.

Para probarlo con sus propios sistemas, solicite un piloto gratuito de SeguriScan con el formulario de abajo. Le escribimos por correo para acordar el alcance y los sistemas que se evaluarán, y confirmamos que tiene autorización para solicitar la revisión. Ninguna prueba activa sin su autorización. Después obtiene acceso a la plataforma SeguriScan con los activos descubiertos, los hallazgos y los informes. Sin compromiso de continuar.

Este artículo explica el estado de la normativa; no es asesoramiento jurídico.

Fuentes

BOE: Real Decreto 806/2026, de 5 de octubre, de disolución del Congreso de los Diputados y del Senado y de convocatoria de elecciones (BOE núm. 248, 6 de octubre de 2026).
Comisión Europea: demanda contra Irlanda, España, Francia y Países Bajos ante el Tribunal de Justicia por no transponer las normas de ciberseguridad (8 de julio de 2026, en inglés).
Ministerio del Interior: anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025 y publicado en el trámite de audiencia e información pública del Ministerio; texto notificado a la Comisión Europea con el número 2025/0104/ES (sistema TRIS, 21 de febrero de 2025).
Congreso de los Diputados: datos abiertos de iniciativas, conjunto «Proyectos de ley» de la XV legislatura (115 proyectos, ninguno sobre ciberseguridad), consultado el 2 de noviembre de 2026.
Directiva (UE) 2022/2555 (NIS2): artículos 2, 3, 21, 23, 26, 34, 41 y 45 y anexos I y II. Recomendación 2003/361/CE de la Comisión, definición de pequeña, mediana y gran empresa.
Ley 50/1997, de 27 de noviembre, del Gobierno, artículo 21. Constitución Española, artículos 78 y 86. Reglamento del Congreso de los Diputados, artículo 207.
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, artículo 2.
Real Decreto-ley 12/2018, de 7 de septiembre, y Real Decreto 43/2021, de 26 de enero, de seguridad de las redes y sistemas de información.