Cumplimiento
La ley española que transpone NIS2 se aprobó como anteproyecto en enero de 2025 y a día de hoy sigue sin publicarse en el BOE. Mientras tanto, Bruselas ya ha vuelto a requerir a España que transponga con urgencia. Este es el estado real de la transposición, y por qué esperar a la ley es el peor plan.
NIS2 es la Directiva (UE) 2022/2555, la norma europea que amplía y endurece las obligaciones de ciberseguridad para miles de empresas de sectores considerados esenciales e importantes. Los Estados miembros tenían de plazo hasta el 17 de octubre de 2024 para transponerla a su ordenamiento nacional. España no llegó a esa fecha, y a fecha de hoy, agosto de 2026, sigue sin llegar: la ley que transpone NIS2 en España todavía no se ha publicado en el BOE.
Ese retraso genera una duda razonable en cualquier responsable de una empresa afectada: si la ley no está publicada, ¿hace falta hacer algo ya? La respuesta corta es sí. Las obligaciones de fondo que impone NIS2 no dependen de la letra pequeña de la ley española: están definidas en la directiva, se conocen desde 2022 y son las que habrá que cumplir cuando la norma entre en vigor. Aquí repasamos en qué punto exacto está la transposición, qué traerá la futura ley y por qué preparar el terreno ahora es la decisión sensata. Si lo que buscas es el detalle de a quién aplica NIS2 y qué exige en concreto, lo desarrollamos en nuestra página de consultoría; este artículo se centra en la actualidad legislativa.
España transpone NIS2 mediante el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que el Consejo de Ministros aprobó el 14 de enero de 2025. Aprobar un anteproyecto es solo el primer paso de un recorrido largo: informes preceptivos, audiencia pública, dictamen del Consejo de Estado, aprobación como proyecto de ley y tramitación parlamentaria. Un año y medio después, ese recorrido no ha terminado y el texto sigue sin publicarse.
La cronología deja claro el desfase:
El mensaje que llega desde Bruselas es inequívoco: la presión va en aumento y cada nuevo paso del expediente acerca una posible sanción del Tribunal de Justicia. Eso empuja a que la ley se apruebe más pronto que tarde, no más tarde. Para las empresas afectadas, la lectura práctica es que el margen para prepararse con calma se está agotando, no ampliando.
Aunque el texto pueda cambiar durante la tramitación, el anteproyecto ya perfila las líneas maestras de cómo España organizará su ciberseguridad. La más visible es la creación de un Centro Nacional de Ciberseguridad (CNC), adscrito a la Presidencia del Gobierno, que actuará como punto de referencia y coordinación de la estrategia nacional.
Junto al CNC, la ley reparte competencias entre varios ministerios: Interior, Defensa (a través del Centro Criptológico Nacional, el CCN) y Transformación Digital asumen distintas funciones de supervisión y respuesta según el ámbito. Ese reparto es una de las novedades de gobernanza más relevantes, porque define a qué autoridad tendrá que dirigirse cada empresa. Se espera que este marco se apruebe y entre en vigor a lo largo de 2026.
Lo que no cambia con la ley española son las obligaciones de fondo. La estructura de sectores esenciales e importantes, los umbrales por tamaño de empresa y el catálogo de medidas vienen dados por la directiva. Si quieres comprobar si tu organización entra en el alcance y con qué exigencias, ese trabajo se puede empezar hoy con el texto europeo en la mano; lo detallamos en la consultoría NIS2 y, en clave de decisión, en nuestra guía sobre qué norma de ciberseguridad te aplica.
Es tentador leer el retraso como una prórroga. No lo es. La directiva ya define con claridad qué habrá que cumplir, y esas obligaciones no van a suavizarse porque la ley llegue con retraso. Los cuatro grandes bloques de NIS2 son conocidos desde 2022:
Ninguno de esos cuatro frentes se resuelve en unas semanas. La gobernanza implica formar y comprometer a la dirección; el circuito de notificación de 24 horas requiere saber de antemano quién detecta, quién decide que un incidente es notificable y quién redacta y envía el aviso; y la cadena de suministro obliga a revisar contratos y proveedores uno a uno. Quien empiece cuando se publique la ley se encontrará haciendo todo eso con prisas y con la autoridad ya en funciones. Quien se adelante llega con los deberes hechos, convierte la obligación en una ventaja competitiva frente a clientes que ya la exigen en sus contratos, y evita el sobrecoste de improvisar. Lo vemos claramente en sectores donde la presión ya llega por la cadena de suministro, como la automoción en Navarra y Aragón.
Adelantarse no significa montarlo todo de golpe. Significa ordenar el trabajo en la secuencia correcta para que, cuando la ley se publique, solo haya que ajustar detalles. Estos son los primeros pasos:
Si tu organización ya está familiarizada con el Esquema Nacional de Seguridad, buena parte de este camino está más avanzado de lo que parece, porque muchos controles se solapan; lo explicamos en del ENS a NIS2. Y si operas en Navarra, trabajamos estas adecuaciones de cerca desde Tudela: puedes ver cómo abordamos la ciberseguridad en Navarra.
No esperes al BOE para empezar. Dinos a qué se dedica tu organización y te decimos si NIS2 te alcanza, como entidad esencial o importante, y por dónde empezar antes de que la ley entre en vigor. Es el diagnóstico de aplicabilidad que hacemos en Meta-Data, sin compromiso.
Solicitar propuestaO escríbenos a [email protected].
