NIS2 en España: qué exige a tu empresa sin ley todavía

España está siendo juzgada por el Tribunal de Justicia de la UE por una ley de ciberseguridad que todavía no ha escrito. El 8 de julio de 2026 la Comisión Europea llevó a España (junto a Irlanda, Francia y Países Bajos) ante el TJUE por no transponer la Directiva NIS2, cuyo plazo venció el 17 de octubre de 2024. Mientras el proceso sigue su curso en Bruselas, miles de empresas españolas de sectores clave siguen sin saber con certeza qué les va a exigir la nueva norma ni cuándo entrará en vigor. La respuesta corta: la sanción que viene de Europa castiga al Estado, no a tu empresa, pero las obligaciones de fondo ya están decididas desde 2022 y no van a cambiar por el retraso.

España, ante el Tribunal de Justicia de la UE

El calendario del expediente, confirmado por fuentes de la Comisión Europea y prensa especializada, es este:

• 17 de octubre de 2024: fecha límite para transponer la Directiva (UE) 2022/2555 (NIS2) a ley nacional. España no llegó.
• 28 de noviembre de 2024: la Comisión envía la carta de emplazamiento, primer paso del procedimiento de infracción.
• 7 de mayo de 2025: dictamen motivado, segundo aviso formal.
• 8 de julio de 2026: la Comisión remite el caso al Tribunal de Justicia de la UE y pide multas coercitivas diarias que correrán hasta que España notifique la transposición completa.

En paralelo, el Consejo de Ministros aprobó el 14 de enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, la norma llamada a transponer la NIS2. A fecha de hoy sigue sin publicarse en el BOE, y el adelanto electoral al 29 de noviembre de 2026 (29-N) deja su tramitación parlamentaria parada: con las Cortes disueltas, el anteproyecto no avanza hasta que haya nuevo Gobierno.

Mientras no hay ley nueva, ¿qué cubre a tu empresa?

Hoy, las obligaciones de ciberseguridad para operadores de servicios esenciales y proveedores de servicios digitales en España siguen bajo el RD-ley 12/2018, la norma que transpuso la primera directiva NIS (2016), más limitada en alcance y en exigencias que su sucesora. Esto significa que, legalmente, el grueso de las obligaciones nuevas de la NIS2 (más sectores afectados, responsabilidad personal de la dirección, plazos de notificación más estrictos) no son exigibles todavía por ley española a la mayoría de las empresas. Pero eso no es lo mismo que decir que no haya riesgo: la directiva europea ya es derecho vigente desde 2022, los clientes y aseguradoras que operan a nivel europeo ya preguntan por ella en las auditorías de proveedores, y la propia Comisión ha dejado claro que no va a dar más plazo.

Lo que la NIS2 va a exigir en cuanto se apruebe

Cuando el anteproyecto se convierta en ley -algo que, con elecciones de por medio, no parece probable antes de 2027-, las empresas afectadas (entidades esenciales e importantes de sectores como energía, transporte, banca, salud, agua, infraestructura digital, administración pública y, por primera vez, medianas empresas de sectores clave que antes quedaban fuera) tendrán que cumplir con:

• Notificación de incidentes en tres plazos: alerta temprana en 24 horas, notificación completa en 72 horas e informe final en el plazo de un mes.
• Responsabilidad personal de los órganos de dirección, que deben aprobar las medidas de gestión de riesgos y formarse en ciberseguridad -ya no basta con delegarlo todo en el departamento de IT.
• Auditar la ciberseguridad de los proveedores, no solo la propia: un fallo de un tercero en la cadena de suministro cuenta como incidente propio.
• Multas de hasta 10 millones de euros o el 2% de la facturación global para entidades esenciales, y hasta 7 millones de euros o el 1,4% de la facturación para entidades importantes.
• Ampliación del alcance: empresas medianas de sectores estratégicos entran en la norma por primera vez, no solo los grandes operadores de energía o banca de siempre.

Qué puedes hacer ya, aunque la ley siga sin aprobar

Esperar al BOE para empezar a prepararse es la peor estrategia posible: cuando la ley se publique, el plazo de adaptación no va a ser generoso, y las empresas que ya tengan su gestión de riesgos, su plan de respuesta a incidentes y la auditoría de proveedores en marcha no tendrán que improvisar bajo presión. En Optima Quantum ayudamos a pymes y medianas empresas a hacer justo ese diagnóstico antes de que llegue la obligación: qué parte de la NIS2 ya te afecta por contrato con clientes europeos, dónde están los huecos reales en la gestión de incidentes y qué hace falta para que la dirección pueda demostrar, si hace falta, que tomó la decisión informada. Puedes empezar por nuestra auditoría de ciberseguridad o revisar cómo lo enfocamos para pymes en ciberseguridad para pymes.

Preguntas frecuentes

¿La NIS2 ya es obligatoria en España? No como ley nacional: el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue sin publicarse en el BOE. Hoy las obligaciones exigibles por ley española siguen siendo las del RD-ley 12/2018 (NIS1), más limitadas. La directiva europea, en cambio, es derecho vigente desde 2022 y ya influye en contratos y auditorías con clientes de otros países de la UE.

¿A quién va a afectar la NIS2 cuando se apruebe? A entidades esenciales e importantes de sectores como energía, transporte, banca, salud, agua, infraestructura digital y administración pública, y por primera vez a empresas medianas de sectores estratégicos que hoy quedan fuera del RD-ley 12/2018.

¿Qué pasa si mi empresa no cumple cuando la ley entre en vigor? Las multas previstas en el anteproyecto llegan a 10 millones de euros o el 2% de la facturación global para entidades esenciales, y a 7 millones de euros o el 1,4% de la facturación para entidades importantes.

¿Por qué España va a juicio si la multa es para las empresas? No lo es: el TJUE no multa a las empresas españolas, multa (con penalizaciones diarias) al Estado español por no haber aprobado la ley a tiempo. Las obligaciones para las empresas solo serán exigibles por ley cuando el anteproyecto se publique en el BOE.

¿Cuándo se espera que la ley esté aprobada? No hay fecha oficial. El adelanto electoral al 29 de noviembre de 2026 paraliza la tramitación parlamentaria del anteproyecto hasta que haya nuevo Gobierno, lo que aleja la aprobación, como mínimo, a bien entrado 2027.

El coste de no cumplir obligaciones como estas ya es real y medible, no solo una amenaza futura: la AEPD multó a Aena con más de 10 millones de euros por lanzar un sistema sin evaluar antes el riesgo, el mismo tipo de descuido que la NIS2 quiere evitar a otra escala.

Si tu empresa trabaja con clientes o proveedores en la UE, o pertenece a un sector que ya hoy está bajo el RD-ley 12/2018, el momento de revisar tu ciberseguridad no es cuando salga la ley: es antes. En Optima Quantum ayudamos a diagnosticar y cerrar esos huecos con un plan concreto, no con una lista de buenas intenciones.