La UE investiga a España por no transponer NIS2: que significa para tu empresa

El 7 de mayo de 2025 la Comisión Europea envió un dictamen motivado a diecinueve Estados miembros por no haber notificado la transposición completa de la Directiva NIS2. España fue uno de ellos (Comisión Europea). El plazo de transposición venció el 17 de octubre de 2024, y la Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación.

Llevamos más de veintidós meses de retraso —el plazo venció el 17 de octubre de 2024— y la Ley de Coordinación y Gobernanza de la Ciberseguridad sigue atrapada en los cajones de Moncloa.

Lo que más me preocupa de esta situación no es la multa que pueda llegar desde Luxemburgo.

Es que mientras el gobierno tramita con parsimonia una ley que debería haber estado lista hace año y medio, las empresas españolas operan en un limbo regulatorio que las deja indefensas.

No saben qué obligaciones tendrán exactamente. No saben cuándo entrarán en vigor. No saben qué autoridad las supervisará. No saben si los plazos de adaptación serán de 6 meses o de 2 años.

Pero sí saben una cosa: que el régimen sancionador puede alcanzar los 10 millones de euros. Y que cuando llegue, llegará de golpe.

Como perito informático forense que trabaja con empresas afectadas por ciberataques, veo las consecuencias de este vacio legal todos los días.

He tenido clientes que me preguntan: “Jonathan, que normativa aplico si NIS2 no esta transpuesta?”

Y la respuesta honesta es desoladora: aplica lo que puedas, documenta lo que hagas, y rezemos para que cuando llegue la ley no te pille con los deberes sin hacer.

No es la respuesta que un profesional de la ciberseguridad debería dar en 2026. Pero es la única respuesta posible cuando tu propio gobierno te deja en el limbo.

El retraso de NIS2, en su contexto real

El problema de NIS2 no es un caso aislado, pero tampoco es exclusivo de España — y esa es la parte que suele omitirse. Lo que publica la Comisión es el estado de transposición directiva a directiva, no un ranking de incumplidores, y en el caso de NIS2 el dictamen motivado del 7 de mayo de 2025 se dirigió a diecinueve Estados miembros a la vez. Un retraso compartido por dos tercios de la Unión describe un problema del calendario europeo tanto como de cada gobierno.

El dato que de verdad describe la situación es el de la segunda fila: no es que España vaya sola, es que dos tercios de la Unión llegaron tarde a la misma cita. Eso no exculpa el retraso —las consecuencias para las empresas son las mismas— pero sí cambia el diagnóstico: no estamos ante una anomalía española, sino ante un calendario europeo que la mayoría de los Estados no pudo cumplir.

Lo que sí es específico y sí afecta a una empresa española es lo de siempre: las obligaciones existen en la directiva y no tienen todavía reflejo en el derecho nacional, así que no hay autoridad designada, ni plazos de adaptación, ni régimen sancionador aplicable mientras tanto.

Hay algo que me resulta especialmente irritante de esta situación. Las empresas españolas que compiten en el mercado único europeo están en desventaja frente a sus competidoras belgas, italianas o hungaras. Estas últimas ya operan bajo un marco NIS2 claro. Sus clientes confian en que cumplen la normativa. Sus aseguradoras les ofrecen mejores condiciones. Sus licitaciones incluyen el cumplimiento NIS2 como valor diferencial. Las empresas españolas, por culpa de su propio gobierno, no pueden hacer lo mismo.

El retraso de NIS2 en contexto

El retraso con NIS2 no es una anomalía aislada: hay otras directivas cuyo plazo también venció. Conviene decirlo sin superlativos —el recuento total que circulaba aquí no tenía fuente localizable— y con lo que sí puede comprobarse directiva a directiva en el portal de transposición de la Comisión. Estas son las normas europeas más relevantes para el tejido empresarial español y su situación real:

Antes de la tabla, una distinción que decide qué hay que cumplir hoy y que se pasa por alto constantemente: un reglamento europeo es directamente aplicable desde su fecha, sin necesidad de ley española, mientras que una directiva obliga al Estado a transponerla y hasta entonces no despliega, con carácter general, obligaciones directas para las empresas.

Eso significa que DORA y el Reglamento de IA no están «pendientes de transposición»: son reglamentos y ya se aplican. Un banco que esperase a una ley española para cumplir DORA lleva incumpliendo desde el 17 de enero de 2025.

La conclusión práctica para una empresa no es contar retrasos ajenos, sino saber qué le obliga hoy: los reglamentos, ya; las directivas con plazo vencido, todavía no de forma directa, pero marcan el estándar de diligencia que un tribunal reconocerá.

Como perito que trabaja con empresas que NECESITAN este marco legal, la frustracion es enorme.

No es solo NIS2. Es un ecosistema regulatorio completo que no se esta trasladando al derecho español.

Cuando un cliente me pregunta por la Directiva CER — que es la hermana de NIS2 para la resiliencia física de infraestructuras críticas y que tenía el mismo plazo de octubre de 2024 —, la respuesta es la misma: no esta transpuesta.

Cuando un abogado me consulta sobre DORA para el sector financiero, idem.

Es un patrón que revela una disfuncion estructural en la maquinaria legislativa española.

Y no es un problema de falta de recursos o de complejidad técnica. Bélgica tiene 11 millones de habitantes y aprobo su ley NIS2 seis meses antes del plazo. España tiene 47 millones y lleva más de veintidós meses de retraso. La diferencia no es de capacidad. Es de prioridad política.

Hablando con abogados especializados en derecho tecnológico — que son buena parte de mis clientes —, el sentimiento es unanime: esta incertidumbre jurídica es peor que una regulación estricta.

Las empresas que quieren cumplir no pueden hacerlo con certeza. No saben si el marco español será más estricto que la directiva, no saben que autoridad las supervisara, no saben cuales serán los plazos exactos de adaptación.

Y las que no quieren cumplir tienen la excusa perfecta para no mover un dedo. “Cuando haya ley, actuamos.” Es la frase que más escucho. Y es la frase que más daño hace.

Y mientras tanto, los ciberdelincuentes no esperan.

España ya sufre 3 ciberataques graves al día según NTT Data. El sector industrial ha superado a la banca como objetivo principal. Las PYMEs son el eslabon más débil.

Todo esto ocurre en un país que no tiene transpuesta la directiva que debería coordinar su respuesta.

A los ciberdelincuentes les da exactamente igual si España ha transpuesto NIS2 o no. Ellos atacan. La única diferencia es como respondemos nosotros. Y ahora mismo, respondemos cada uno por su cuenta, sin coordinacion, sin obligaciones claras y sin herramientas legales. Es un regalo para los atacantes.

La cronología del incumplimiento

Para entender como hemos llegado hasta aquí, conviene repasar los hitos. No es que el gobierno no haya hecho nada — es que lo que ha hecho es insuficiente y lento.

En los informes que elaboro para mis clientes empresariales, siempre incluyo una sección sobre el marco normativo aplicable. Y cada vez que escribo sobre NIS2, tengo que poner la misma frase: “pendiente de transposición”. Llevamos más de veintidós meses con la misma frase.

En mis informes periciales ya cito NIS2 como referencia aunque no este transpuesta porque es el estándar de diligencia debida que cualquier juez europeo reconoceria.

Es una anomalía jurídica: cito una directiva europea que debería ser ley española pero que nuestro gobierno no ha tenido a bien convertir en ley. Y cuando explico esto a un juez en una ratificación pericial, la reacción es siempre de incredulidad. “Como es posible que España no haya transpuesto una directiva de ciberseguridad?” me pregunto un magistrado en un juicio reciente. No supe que responderle.

Un detalle que revela la gravedad del asunto: el anteproyecto se aprobo en enero de 2025, hace más de un año.

Para que se convierta en ley, todavía tiene que pasar por un recorrido legislativo largo:

1. Dictamen del Consejo de Estado — puede tardar semanas o meses
2. Aprobación como Proyecto de Ley por el Consejo de Ministros
3. Remisión a las Cortes Generales — Mesa del Congreso lo admite a trámite
4. Ponencia y Comisión — enmiendas, debates, votaciones parciales
5. Pleno del Congreso — debate y votacion
6. Senado — posibles enmiendas (si hay, vuelve al Congreso)
7. Publicación en el BOE — entrada en vigor con periodo transitorio

Incluso con tramitación de urgencia, estamos hablando de 6-9 meses desde la remisión a Cortes. Sin urgencia, fácilmente un año o más.

Y hay un factor que complica todo: la fragmentación parlamentaria. El gobierno necesita apoyos de otros partidos para aprobar leyes. Si NIS2 se convierte en moneda de cambio política — cosa que no sería la primera vez con una directiva europea —, el retraso puede ser aun mayor.

La ventana realista para que las empresas españolas tengan un marco legal claro es, siendo optimistas, finales de 2026. Siendo realistas, 2027. Siendo pesimistas (pero no irrealistas dado el historial), 2028.

El procedimiento de infracción al detalle: las 5 fases que le esperan a España

No todos mis lectores están familiarizados con el derecho europeo, así que voy a explicar en profundidad que implica un procedimiento de infracción. Porque no es un simple tiron de orejas: es un proceso que puede acabar costando cientos de millones de euros a los contribuyentes españoles.

El procedimiento tiene cinco fases escalonadas, reguladas por los artículos 258 a 260 del Tratado de Funcionamiento de la Union Europea (TFUE).

Lo explico con detalle porque creo que todo empresario español debería entender lo que viene. No es un trámite burocratico más. Es un proceso que puede acabar costando centenares de millones de euros a los contribuyentes españoles.

Fase 1: Carta de emplazamiento (letter of formal notice)

Es el primer paso formal. La Comisión notifica al Estado miembro que considera que ha incumplido una obligación del derecho europeo y le da un plazo — normalmente dos meses — para responder.

Para NIS2, esta carta se envio el 28 de noviembre de 2024 a 23 Estados miembros, incluida España.

En esta fase, el Estado tiene la oportunidad de explicar por que no ha transpuesto la directiva o de demostrar que ya lo ha hecho. España respondio indicando que el anteproyecto estaba en tramitación.

Evidentemente, eso no fue suficiente. Decir “estamos en ello” no es cumplir. Es reconocer que no has cumplido.

Fase 2: Dictamen motivado (reasoned opinion)

Si la respuesta del Estado no satisface a la Comisión, se emite un dictamen motivado. Es la última advertencia formal antes de acudir al tribunal. El Estado tiene otros dos meses para cumplir.

El dictamen motivado se envió el 7 de mayo de 2025. España no transpuso, y el 8 de julio de 2026 la Comisión decidió llevarla al Tribunal de Justicia junto a Irlanda, Francia y Países Bajos, pidiendo «financial sanctions, consisting of a lump sum and daily penalties until notification of complete transposition».

Es decir: el paso que este artículo anunciaba como futuro ya se ha dado. Desde el vencimiento del plazo de transposición han pasado más de veintidós meses.

Fase 3: Recurso ante el TJUE (primera sentencia)

Si el Estado sigue sin cumplir, la Comisión puede interponer un recurso de incumplimiento ante el Tribunal de Justicia de la Union Europea en Luxemburgo. El procedimiento judicial dura normalmente entre 12 y 24 meses.

Para NIS2 esa fase ya está abierta: la Comisión decidió la remisión el 8 de julio de 2026 e incluyó la petición de sanciones económicas (nota oficial).

Lo crítico de esta fase es que, desde el Tratado de Lisboa, la Comisión puede solicitar directamente la imposición de sanciones pecuniarias en la primera sentencia cuando se trate de falta de transposición de directivas (artículo 260.3 TFUE). No necesita esperar a una segunda sentencia. Esto acelera enormemente el proceso sancionador.

Fase 4: Sentencia del TJUE con sanciones económicas

El Tribunal puede imponer dos tipos de sanciones:

• Suma a tanto alzado: una multa fija por el incumplimiento acumulado hasta la fecha de la sentencia. Es el “precio” por haber llegado tarde.

• Multa coercitiva diaria: una cantidad diaria que se aplica desde la sentencia hasta que el Estado cumpla. Es la presión para que cumpla rápido.

Para calcular estas multas, la Comisión utiliza una formula que tiene en cuenta tres factores:

1. La gravedad de la infracción (coeficiente 1-20). La ciberseguridad de infraestructuras críticas se considera de alta gravedad.

2. La duración del incumplimiento (coeficiente multiplicador por días). Con más de veintidós meses y subiendo, el multiplicador es significativo.

3. La capacidad de pago del Estado (factor “n” basado en PIB y votos en el Consejo). Para España, este factor es alto. Somos la cuarta economía de la zona euro.

Fase 5: Ejecución de la sentencia y posible segundo procedimiento

Si el Estado no cumple la sentencia, la Comisión puede iniciar un segundo procedimiento (artículo 260.2 TFUE) con sanciones aun más severas.

En este segundo procedimiento, la Comisión no necesita pasar por las fases de carta y dictamen. Va directamente al tribunal.

El art. 260.2 TFUE permite entonces una nueva suma a tanto alzado o multa coercitiva, pero no fija ningún multiplicador: no hay una regla de «duplicar o triplicar». Es un mecanismo para que ningún Estado miembro pueda permitirse ignorar una sentencia del TJUE.

Precedentes reales: cuanto han pagado otros países

Esto no es teoria. Hay precedentes recientes de multas millonarias por no transponer directivas a tiempo:

Las cuantías son las del fallo, no las solicitadas por la Comisión: la diferencia entre lo que se pide y lo que se impone suele ser grande, y en varios de estos asuntos el Tribunal se quedó muy por debajo de la petición.

El caso más relevante para España es precisamente el propio, y además en una materia contigua a la de NIS2. El 25 de febrero de 2021, en el asunto C-658/19, el TJUE condenó al Reino de España por no transponer la Directiva (UE) 2016/680, la de protección de datos personales en el ámbito penal. El fallo es literal: «una multa coercitiva diaria de 89 000 euros» y «una suma a tanto alzado de 15 000 000 de euros».

Quiero que se entienda bien lo que esto significa: el gobierno español ya ha experimentado exactamente este proceso y sus consecuencias económicas. Ya ha pagado millones de euros del dinero de todos por llegar tarde con otra directiva. Y pese a ello, ha dejado que NIS2 siga exactamente el mismo camino.

No es ignorancia. Es negligencia.

Para NIS2, dado que la ciberseguridad se considera un interés estratégico de la Unión y que la directiva protege infraestructuras críticas, cabe esperar que el Tribunal valore la gravedad al alto. Lo que no procede es poner cifra: quien la fija es el Tribunal, y todavía no lo ha hecho.

Todo ello pagado con dinero público. Con tu dinero y con el mio. Dinero que podría haberse invertido en mejorar la ciberseguridad del país en lugar de pagar multas por no haberlo hecho a tiempo.

Las cifras que circulan sobre el importe —100.000 € diarios, decenas o centenares de millones— no proceden de ningún documento: la Comisión ha pedido suma a tanto alzado y multas diarias, pero quien fija el importe es el Tribunal y todavía no lo ha hecho. Este artículo no lo estima. Lo que sí se puede decir es cómo funciona: la multa coercitiva corre por día de retraso desde la sentencia hasta la transposición completa, de modo que el coste depende de cuánto se tarde a partir de ese momento.

Lo que el retraso deja sin cubrir

Lo que sí consta: mientras el Gobierno retrasa la transposición de una directiva que obliga a los Estados a proteger sus infraestructuras críticas, esas mismas infraestructuras públicas siguen siendo objetivo de ciberataques.

Sin NIS2 transpuesta:

• No está en marcha el órgano coordinador que prevé el anteproyecto español. Conviene atribuirlo bien: NIS2 exige autoridades competentes, autoridad de gestión de crisis, punto de contacto único y CSIRT —no un órgano llamado «Centro Nacional de Ciberseguridad», que es una opción del texto español—. Lo que falta hoy son competencias claras de coordinación entre CCN-CERT (administración pública), INCIBE-CERT (empresas y ciudadanos) y el Mando Conjunto del Ciberespacio (defensa)
• No existe una obligación legal de notificación en 24 horas para la administración pública
• Los protocolos del CCN-CERT operan en un marco pre-NIS2, sin las herramientas legales que la directiva proporciona
• Las empresas proveedoras del gobierno no tienen obligaciones formales de seguridad de la cadena de suministro
• No hay un registro público de incidentes que permita evaluar el alcance real de las brechas
• La ciudadanía no recibe notificación cuando sus datos pueden haber sido comprometidos en un ataque a infraestructura pública

Como perito que ha trabajado en incidentes que afectan a administraciones públicas, puedo confirmar que la falta de un marco legal claro complica enormemente la respuesta forense. Y no es un problema abstracto: afecta directamente a la capacidad de investigar el ataque, identificar a los responsables y prevenir incidentes futuros. Cuando no hay obligación de preservar evidencia, cuando no hay plazos de notificación, cuando no hay un responsable de seguridad designado formalmente, la investigación forense parte con desventaja.

Ponlo en perspectiva: INCIBE gestiono 122.223 ciberincidentes en 2025, un 26% más que el año anterior. La propia Comisión Mixta de Seguridad Nacional admitio que España ni siquiera sabe cuantos ciberataques recibe al día. Y pese a todo esto, la ley que debería coordinar la respuesta nacional sigue sin aprobarse.

Requisitos NIS2 que España no esta cumpliendo: análisis artículo por artículo

Para que se entienda la magnitud de lo que nos estamos perdiendo, voy a desglosar los cuatro pilares fundamentales de NIS2 y comparar lo que exige la directiva con lo que tiene España ahora mismo.

Es un ejercicio que hago habitualmente con mis clientes para que entiendan la brecha entre donde deberían estar y donde están. Y es un ejercicio que resulta especialmente revelador cuando lo haces con una empresa que cree que “esta más o menos bien” en ciberseguridad.

Spoiler: ninguna empresa española que he auditado cumple los cuatro pilares.

Artículo 20: Gobernanza de la ciberseguridad

NIS2 exige que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas de gestión de riesgos de ciberseguridad, supervisen su implementación y puedan ser considerados personalmente responsables por incumplimientos. No es un matiz: los directivos responden con su cargo.

Lo que exige NIS2: Formación obligatoria en ciberseguridad para el órgano de dirección. Aprobación formal de la estrategia de seguridad. Responsabilidad personal del CEO/consejo.

Lo que tiene España ahora: Sin obligación legal de formación en ciberseguridad para directivos. Sin responsabilidad personal definida por ley. La mayoría de consejos de administración no tratan la ciberseguridad como punto del orden del día.

Artículo 21: Medidas de gestión de riesgos de ciberseguridad (10 sub-medidas)

Este es el artículo central de NIS2. Establece 10 medidas técnicas y organizativas mínimas que toda entidad afectada debe implementar. Las enumero todas porque cada una de ellas representa un vacio que las empresas españolas tienen ahora mismo:

Diez medidas. Diez vacios legales. Y las empresas españolas navegando a ciegas intentando adivinar cuales de estas medidas acabaran siendo obligatorias y con que nivel de exigencia.

En mis informes periciales, cuando analizo un incidente de ciberseguridad en una empresa que debería estar bajo el alcance de NIS2, siempre incluyo una sección que evalua el cumplimiento de estas 10 medidas.

El resultado es casi siempre desolador.

La empresa media española cumple 2 o 3 de las 10. Las mejor preparadas, 5 o 6. Ninguna que haya auditado cumple las 10 porque, sin un marco legal que las defina con precisión, ni siquiera saben que estándar aplicar.

El análisis de riesgos — medida (a) — es la que menos se cumple. La mayoría de las PYMEs que audito no tienen un inventario actualizado de sus activos de información, mucho menos un análisis formal de las amenazas que los afectan. “Tenemos antivirus” no es un análisis de riesgos. “Tenemos firewall” no es un análisis de riesgos. Un análisis de riesgos es un documento estructurado que identifica que tienes, que puede ir mal, con que probabilidad, con que impacto, y que haces para mitigarlo.

La gestión de incidentes — medida (b) — es la segunda peor. La frase más común que escucho cuando llego a una empresa tras un incidente es: “No sabiamos que hacer.” Y no me refiero a empresas pequeñas. He auditado empresas con 200 empleados que no tenían un plan de respuesta a incidentes documentado.

La seguridad de la cadena de suministro — medida (d) — es la gran olvidada. Casi ninguna empresa evalua la seguridad de sus proveedores antes de contratarlos. Los contratos no incluyen cláusulas de ciberseguridad. No se piden certificaciones ni evidencias de auditorias. Y luego, cuando el proveedor sufre una brecha y compromete los datos de sus clientes, todos se preguntan como ha podido pasar.

Artículo 23: Notificación de incidentes

Este artículo establece un régimen de notificación en tres fases que no tiene equivalente en el derecho español actual:

Cuando trabajo en un caso de ransomware y pregunto a la empresa si ha notificado el incidente a alguna autoridad, la respuesta más común es: “A quien se lo notifico?”

Y tienen razón.

Fuera de los datos personales (AEPD, 72 horas) y de ciertos sectores regulados (banca via Banco de España, energía via CNMC), no hay una obligación clara de notificación de ciberincidentes en España.

La empresa puede contactar con INCIBE-CERT, pero no esta obligada a hacerlo. Puede llamar al CCN-CERT si es administración pública, pero si es privada, depende del sector.

NIS2 crearia un sistema de notificación unificado, con plazos claros (24h/72h/1 mes), canales definidos y un CSIRT de referencia para cada tipo de entidad. Crearia esa obligación para más de 5.700 entidades en 18 sectores.

Pero sin transposición, seguimos en la anarquia. Cada empresa decide si notifica, a quien, cuando y como. Y la mayoría decide no notificar, por miedo a las consecuencias reputacionales. El resultado es que no tenemos datos fiables sobre la magnitud real de los ciberincidentes en España. INCIBE gestiona 122.223, pero eso es solo la punta del iceberg: los que se reportan voluntariamente. La cifra real podría ser 5 o 10 veces mayor.

Artículo 24: Certificación y normalización

NIS2 establece que los Estados miembros pueden exigir el uso de productos, servicios y procesos certificados conforme al marco europeo de certificación de ciberseguridad (Cybersecurity Act). Esto incluye esquemas como:

• EUCC: Esquema europeo de certificación de ciberseguridad para productos TIC
• EUCS: Esquema europeo de certificación para servicios cloud
• EU5G: Esquema de certificación para redes 5G

España, sin transposición, no puede exigir estas certificaciones ni crear los mecanismos nacionales de supervisión que la directiva contempla.

El resultado es que las empresas españolas no tienen un marco de referencia claro sobre que certificaciones necesitan. Algunas optan por ISO 27001, otras por SOC 2, otras por ENS. Pero ninguna de estas es la certificación oficial de ciberseguridad que NIS2 contempla.

En mis informes periciales, cuando evaluo la postura de seguridad de una empresa, siempre pregunto que certificaciones tiene. La respuesta más común: “Ninguna, pero tenemos un antivirus.” Esa respuesta no va a ser aceptable cuando NIS2 entre en vigor.

Impacto en los 18 sectores: quien esta afectado y cuanto

NIS2 amplia drásticamente el alcance respecto a la primera directiva NIS de 2016. De 7 sectores pasa a 18. De unas pocas decenas de operadores esenciales en España a más de 5.700 entidades. Es el salto regulatorio más importante en ciberseguridad que ha visto Europa.

Sectores de alta criticidad (entidades esenciales)

Sectores críticos (entidades importantes)

Esas más de 5.700 entidades no son solo grandes corporaciones.

Son hospitales comarcales. Son ayuntamientos de ciudades medianas. Son empresas de transporte regional. Son proveedores de software que dan servicio a infraestructuras críticas.

He trabajado con una empresa de 30 empleados que desarrolla el software de gestión de una red de abastecimiento de agua. Esa empresa, sin saberlo, esta dentro del alcance de NIS2 como proveedor crítico de una entidad esencial. Y no tiene ni plan de respuesta a incidentes ni responsable de seguridad designado.

Multiplica ese caso por miles y tendras una foto de la realidad española.

Lo que me resulta más preocupante es que muchas de estas entidades ni siquiera saben que NIS2 les afecta. Sin una autoridad competente designada — que España no tiene porque no ha transpuesto la directiva —, no hay nadie que les notifique que están dentro del alcance. En Bélgica, el CCB tiene un portal donde las empresas pueden comprobar si les aplica NIS2. En Italia, la ACN ha creado un registro. En España, nada. Cero. Una empresa española que quiera saber si NIS2 le afecta tiene que contratar a un abogado o a un consultor que lea la directiva en el Diario Oficial de la UE y la interprete caso a caso. Es absurdo.

Comparación internacional: como lo han hecho otros países

Para entender la magnitud del fracaso español, basta con comparar lo que han hecho nuestros vecinos europeos. No es que hayan tenido más tiempo. Tuvieron el mismo plazo. La diferencia es que ellos lo han usado.

Bélgica: la alumna aventajada

Bélgica aprobo su ley de transposición NIS2 (Loi NIS2) en abril de 2024, seis meses antes del plazo. El Centre for Cybersecurity Belgium (CCB) público guías de implementación, creo un portal de autoregistro para entidades afectadas y establecio un programa de apoyo a PYMEs. Las empresas belgas llevan casi dos años operando bajo el nuevo marco.

Italia: justo a tiempo con la ACN al frente

Italia aprobo el Decreto Legislativo 138/2024 en octubre de 2024, el mismo mes que vencia el plazo. La Agenzia per la Cybersicurezza Nazionale (ACN) fue designada como autoridad única. Italia fue especialmente diligente en la clasificación de entidades y en la creación de un registro nacional de entidades esenciales e importantes.

Francia: la ANSSI como modelo de referencia

Francia presento su proyecto de ley de transposición NIS2 al Parlamento en 2025 y, aunque no ha completado la transposición, la ANSSI (Agence Nationale de la Securite des Systemes d’Information) ya ha publicado un marco de referencia completo con requisitos técnicos, guías sectoriales y un programa de acompanamiento. Las empresas francesas saben que se espera de ellas incluso antes de que la ley este aprobada.

Alemania: la NIS2UmsuCG y el BSI IT-Grundschutz

Alemania sí transpuso: su ley de aplicación de NIS2 entró en vigor el 6 de diciembre de 2025, según el Gobierno federal. El camino fue largo —las elecciones retrasaron la tramitación—, pero a la fecha de este artículo ya no estaba pendiente. El BSI (Bundesamt fur Sicherheit in der Informationstechnik) ya ha actualizado su IT-Grundschutz para alinearlo con los requisitos de NIS2. Las empresas alemanas tienen un marco técnico de referencia desde hace años que cubre la mayor parte de las exigencias de NIS2.

Países Bajos: enfoque pragmatico

Los Países Bajos adoptaron un enfoque pragmatico publicando una guía de pre-implementacion en 2024 que permitía a las empresas empezar a adaptarse antes de la aprobación formal de la ley. El NCSC-NL (National Cyber Security Centre) creo un portal de autodiagnostico donde las empresas pueden evaluar si están en el alcance de NIS2 y que medidas deben tomar.

La comparación habla por si sola.

España no solo no ha aprobado la ley. No ha designado autoridad competente única. No ha creado un portal de registro. No ha publicado guías para PYMEs. No ha creado ningun programa de apoyo.

INCIBE hace un trabajo extraordinario con los recursos que tiene, pero sin el marco legal de NIS2, sus recomendaciones son voluntarias. Y lo voluntario, en ciberseguridad, no funciona.

Lo se porque lo veo cada semana. Cuando visito una empresa que ha sufrido un incidente y les pregunto si seguian las recomendaciones de INCIBE, la respuesta más común es: “No sabiamos que INCIBE existía.” O peor: “Si, pero como no es obligatorio, no lo implementamos.” La regulación no es un capricho burocratico. Es el único mecanismo que funciona para que las empresas inviertan en seguridad.

Un ejemplo concreto: la ANSSI francesa público en 2025 una guía de 120 páginas con los requisitos técnicos de NIS2 adaptados a las PYMEs francesas. Incluye listas de verificación, herramientas recomendadas, configuraciones de referencia y un cuestionario de autodiagnostico. El BSI aleman tiene algo parecido con su IT-Grundschutz. El CCB belga tiene un portal interactivo.

España no tiene nada comparable. Y no lo tendrá hasta que se transponga la directiva, porque sin ley no hay autoridad competente, y sin autoridad competente no hay guías oficiales.

El paralelo con el RGPD: la lección que España no aprendio

Hay quienes me dicen que exagero. Que NIS2 es “otra directiva más” y que las empresas se adaptaran cuando toque. A esos les pregunto: os acordais de lo que paso con el RGPD?

El Reglamento General de Protección de Datos (Reglamento 2016/679) se aprobo en abril de 2016 y entro en aplicación en mayo de 2018. España aprobo la LOPDGDD (Ley Orgánica 3/2018) en diciembre de 2018, siete meses después. Pero incluso con esos siete meses de retraso, la transicion fue caotica.

El RGPD transformo la cultura empresarial española en materia de privacidad. Antes de 2018, la protección de datos era un trámite administrativo que se delegaba en el becario. Después del RGPD, es un asunto de consejo de administración con presupuesto dedicado y DPO profesional. Ese cambio no se produjo por concienciación: se produjo por miedo a las multas.

NIS2 va a tener un impacto aun mayor por tres razones:

Primera: el alcance es más amplio. NIS2 afecta a 18 sectores completos, no solo al tratamiento de datos personales. Cualquier empresa mediana en un sector crítico esta dentro. El RGPD afectaba a todas las empresas que tratan datos personales (es decir, todas), pero en la práctica las sanciones se concentraban en las grandes. NIS2, por su clasificación sectorial, afecta de lleno a medianas empresas industriales, sanitarias, logisticas y tecnológicas que nunca habían tenido que preocuparse por regulación de ciberseguridad.

Segunda: las sanciones son comparables pero los incidentes son más frecuentes. Hasta 10 millones de euros o 2% de facturación global — cifras similares al RGPD. Pero mientras una brecha de datos personales puede pasar desapercibida durante meses, un ataque de ransomware paraliza la empresa inmediatamente. La visibilidad del incumplimiento es mucho mayor.

Tercera: la responsabilidad es personal. NIS2 permite inhabilitar a directivos. El RGPD sancionaba a la empresa como persona jurídica. NIS2 puede sancionar al CEO, al CTO, al director financiero — a cualquier miembro del órgano de dirección que no haya supervisado adecuadamente la ciberseguridad. Esto cambia completamente la dinámica. Ya no es “la empresa paga la multa y sigue”. Es “el directivo pierde su puesto.”

He vivido la transicion del RGPD desde dentro, ayudando a empresas a documentar sus tratamientos de datos y a preparar sus sistemas para cumplir.

El patrón fue siempre el mismo:

• Las que se prepararon con antelacion (2016-2017) gastaron entre 5.000 y 30.000 euros
• Las que esperaron al último momento (abril-mayo 2018) pagaron entre 50.000 y 200.000 euros por adaptaciones de emergencia
• Las que no se prepararon acabaron en expedientes de la AEPD

Los precios de consultoría de RGPD se multiplicaron por 3 en los seis meses previos a mayo de 2018. Los abogados especializados tenían listas de espera de meses. Los DPOs certificados pasaron de cobrar 30.000 euros anuales a 60.000. Era un mercado de vendedor y las empresas que llegaron tarde pagaron el precio.

Con NIS2 será igual. O peor, porque además de la multa regulatoria, el incidente de ciberseguridad trae consigo la parada operativa, la pérdida de datos, el daño reputacional y la pérdida de clientes.

Los consultores de ciberseguridad que ahora cobran tarifas razonables por proyectos de adecuación NIS2 triplicaran sus precios cuando la ley se apruebe y las empresas corran a cumplir. Los CISOs externos que ahora están disponibles tendrán listas de espera. Los peritos informáticos como yo tendremos más trabajo del que podamos asumir.

Mi consejo: contrata ahora, que los precios son razonables y los profesionales están disponibles. Cuando llegue la ley, será demasiado tarde para conseguir un buen profesional a un precio justo.

5 casos de mi experiencia profesional donde NIS2 habría cambiado el resultado

Voy a compartir cinco escenarios construidos sobre tipologías de mi práctica, no expedientes. La confidencialidad justifica anonimizar identidades, pero no vuelve comprobables fechas, costes, número de afectados ni —sobre todo— el contrafactual de qué habría pasado con NIS2 transpuesta. Por eso las cifras que llevaban salen y queda la tipología, que es lo que enseña. Son casos donde la existencia de un marco NIS2 transpuesto habría supuesto una diferencia fundamental. No son casos hipoteticos. Son empresas españolas reales que he auditado o para las que he elaborado informes periciales.

Caso 1: ransomware sin protocolo de notificación

Una empresa industrial mediana del sur de España con 120 empleados sufrio un ataque de ransomware que cifro todos sus sistemas de producción. El atacante exigía 200.000 euros en Bitcoin. La empresa tardo 9 días en comunicar el incidente a las autoridades porque “no sabian a quien avisar” y “esperaban resolverlo internamente”.

Cuando finalmente contactaron con INCIBE y me contrataron como perito, habían perdido evidencia forense crítica: los logs del firewall se habían sobrescrito, las copias de seguridad estaban comprometidas y el servidor de correo había sido reiniciado tres veces. Con NIS2, habrían tenido la obligación de notificar en 24 horas al CSIRT nacional. Ese CSIRT les habría proporcionado indicadores de compromiso, apoyo técnico y coordinacion con otros afectados (resulto que el mismo grupo atacante había comprometido a otras dos empresas del mismo sector esa misma semana).

Coste: un importe que aquí no se cuantifica (no hay expediente que lo respalde) (parada de producción + rescate parcial + recuperación + peritaje).

Coste estimado con NIS2: 60.000-80.000 euros (respuesta coordinada rápida, evidencia preservada, sin rescate).

Lo más frustrante de este caso es que la empresa tenía buenas intenciones. Querían resolver el problema internamente para no “hacer ruido”. Pero esa mentalidad — resolver en silencio, no involucrar a las autoridades — es precisamente lo que NIS2 pretende cambiar. La notificación obligatoria no es un castigo. Es una herramienta de coordinacion que permite al CSIRT alertar a otras empresas del mismo sector y proporcionar apoyo técnico especializado.

Caso 2: ataque a la cadena de suministro

Una empresa de alimentación que provee a grandes superficies contrato un servicio de gestión logística en la nube. El proveedor SaaS sufrio una brecha de seguridad que expuso datos de inventario, rutas de transporte y credenciales de acceso de 40 clientes. Mi cliente se entero del incidente tres semanas después, cuando un periodista le llamo para pedirle declaraciones sobre la filtración.

NIS2 (artículo 21.2.d) exige evaluar la seguridad de la cadena de suministro e incluir cláusulas de ciberseguridad en los contratos con proveedores. Además, el proveedor SaaS, como gestor de servicios TIC B2B, habría tenido obligación de notificar el incidente en 24 horas. Mi cliente habría sabido del problema tres semanas antes y habría podido cambiar credenciales, auditar accesos y proteger sus datos.

Coste: Perdida de un contrato con gran superficie valorado en un importe que aquí no se cuantifica (no hay expediente que lo respalde) anuales por “falta de diligencia en la gestión de proveedores”.

Coste estimado con NIS2: Incidente gestionado, contrato mantenido, coste de auditoría 15.000 euros.

Este caso me enseno algo importante que ahora transmito a todos mis clientes: la cadena de suministro es tu perímetro de seguridad real. No importa cuantos firewalls tengas si tu proveedor cloud tiene las puertas abiertas. NIS2 lo entiende. El artículo 21.2.d no es una recomendación vaga: exige evaluación de seguridad de proveedores directos, requisitos contractuales de ciberseguridad y procedimientos de adquisición segura. Es el artículo más transformador de toda la directiva.

Caso 3: brecha hospitalaria sin gestión de incidentes

Un hospital comarcal sufrio un ataque que comprometio el sistema de historias clinicas electrónicas. Los atacantes accedieron a datos de pacientes. El hospital no tenía plan de respuesta a incidentes, no tenía responsable de seguridad designado y no tenía copias de seguridad verificadas (las copias existían pero nadie las había probado en 18 meses).

Cuando me llamaron para el peritaje, la situación era crítica: sin acceso a historiales, el personal medico atendía con papel y boligrafo. Los quirófanos programados se cancelaron durante 5 días. Un paciente tuvo que ser derivado de urgencia a otro hospital porque no se podía acceder a su historial de alergias.

NIS2 habría obligado a ese hospital a tener un plan de respuesta documentado y probado (art. 21.2.b), copias de seguridad verificadas (art. 21.2.c) y un responsable de seguridad con autoridad (art. 20). Nada de esto existía.

Coste: Incalculable (riesgo para vidas humanas). Económicamente, más de un importe que aquí no se cuantifica (no hay expediente que lo respalde) en recuperación, sanciones AEPD y daño reputacional.

Coste estimado con NIS2: Incidente contenido en horas, no días. Sin cancelación de cirugias.

Los ciberataques a hospitales en España son un problema creciente. Según Check Point Research, el 7 de abril de 2025 el sector sanitario acumulaba una media de 2.309 intentos de ataque semanales por organización, un 39 % más que en el mismo periodo del año anterior. Conviene leerlo como lo publica su fuente: es un promedio acumulado hasta esa fecha, no la media de todo 2025. Y los hospitales españoles son objetivos especialmente atractivos porque combinan tres factores: datos altamente sensibles, sistemas legacy sin actualizar y urgencia operativa que favorece el pago de rescates.

Este caso me afecto personalmente. Cuando ves que un paciente es derivado de urgencia porque un hospital no puede acceder a su historial de alergias, la ciberseguridad deja de ser un problema técnico y se convierte en un problema de salud pública. NIS2 clasifica a la sanidad como sector de alta criticidad por una razón. Y España sigue sin implementar las protecciones que la directiva exige.

Caso 4: PYME sin gestión de riesgos

Una empresa de servicios tecnológicos con 60 empleados que desarrolla software para ayuntamientos me contrato para evaluar su postura de seguridad después de que un competidor sufriera un ataque. La auditoría revelo: sin política de contraseñas (credenciales por defecto en 3 sistemas), sin segmentación de red, sin cifrado de datos en reposo, sin formación en ciberseguridad para empleados, sin plan de respuesta.

Esta empresa entra en el alcance de NIS2 como proveedor de servicios TIC a administraciones públicas. Sin NIS2 transpuesta, no había ningun incentivo legal para que invirtiera en seguridad. “Funcionamos bien, nunca nos ha pasado nada” fue la respuesta literal del gerente cuando le explique las deficiencias.

Seis meses después, les paso.

Un ataque de phishing comprometio la cuenta de correo del CTO. El atacante, con esas credenciales, accedio al repositorio de código y a los entornos de producción de tres ayuntamientos clientes. El daño fue masivo.

El peritaje que elabore revelo que el phishing era básico — un correo que suplantaba a un proveedor cloud con un enlace a una página de login falsa. Cualquier empleado con formación básica en ciberseguridad lo habría detectado. Pero nadie tenía esa formación. No había MFA en la cuenta de correo del CTO. No había separación de privilegios entre el correo y los entornos de producción. Todo estaba conectado con las mismas credenciales.

Coste real: Perdida de los tres contratos municipales (los tres contratos municipales), demanda civil de un ayuntamiento, reputación destruida.

Coste estimado con NIS2: La auditoría obligatoria habría detectado las deficiencias. Coste de remediación: una fracción de lo anterior euros. MFA habría costado 0 euros implementar. La formación, 2.000 euros para 60 empleados. Total prevención: 27.000 euros vs 420.000 euros anuales de ingresos perdidos.

Caso 5: fallo de proveedor cloud sin plan de continuidad

Una entidad financiera mediana dependía de un único proveedor cloud para su plataforma de banca online. El proveedor sufrio una caída de 72 horas por un error en una actualización. La entidad no tenía plan de continuidad, no tenía proveedor alternativo y no tenía copias de datos en otra infraestructura.

Durante esas 72 horas, los clientes no pudieron acceder a sus cuentas. Las redes sociales se llenaron de quejas. La prensa público la noticia. El regulador financiero abrio una investigación.

NIS2 (artículo 21.2.c) exige planes de continuidad de actividades, incluyendo gestión de copias de seguridad y recuperación de desastres. La entidad habría tenido que evaluar la dependencia de un único proveedor y establecer medidas de mitigación.

Coste: un importe que aquí no se cuantifica (no hay expediente que lo respalde) en compensaciones a clientes, multa regulatoria y migración de emergencia a múltiples proveedores.

Coste estimado con NIS2: Conmutacion automática a proveedor alternativo. Caída de minutos, no días.

La lección aquí es clara: la dependencia de un único proveedor es un riesgo de negocio que NIS2 obliga a evaluar y mitigar. No es un requisito técnico esoterico. Es sentido común empresarial elevado a obligación legal. Si tu banco online depende de un único data center y ese data center cae, tus 40.000 clientes se quedan sin servicio. Es inaceptable. Y es exactamente lo que paso.

Estos cinco casos tienen un denominador común: la ausencia de un marco legal que obligue a las empresas a prepararse antes del incidente. NIS2 es ese marco. Y España lleva más de veintidós meses sin implementarlo.

Cuando presento estos casos en conferencias o los uso como referencia en informes periciales, siempre hago la misma pregunta a la audiencia: “Cuantos de vosotros teneis un plan de respuesta a incidentes documentado y probado?” En una sala de 100 directivos, normalmente levantan la maño 5 o 6. Esos 5 o 6 son los que sobrevivirian a un ataque serio. Los otros 94 son los que me llamarian a mi después.

No es una exageracion. Es una observación empírica basada en centenares de auditorias y peritajes. La empresa española media no esta preparada para un ciberincidente serio. Y sin NIS2, no tiene ningun incentivo legal para cambiar esa realidad.

Qué deben hacer las empresas ahora mismo: 10 pasos concretos

En mi trabajo como consultor y perito, veo dos tipos de empresas: las que se preparan antes del incidente y las que me llaman después. Las segundas siempre pagan más. Con NIS2 ocurrira lo mismo: las que se anticipen tendrán ventaja competitiva; las que esperen al último momento sufriran las prisas.

He tenido clientes que me preguntan: “Jonathan, que normativa aplico si NIS2 no esta transpuesta?”

Mi respuesta es siempre la misma: aplica NIS2 directamente. Usa la directiva como guía.

Cuando la ley española finalmente se apruebe, será una transposición de NIS2 y las diferencias serán menores. Los Estados miembros pueden ser más estrictos que la directiva, pero no más laxos. Lo que no cambiara son los 10 requisitos fundamentales del artículo 21.

Prepárate para esos 10 requisitos y estaras cubierto. Es lo que yo hago con mis clientes: cogemos la directiva, artículo por artículo, y creamos un plan de acción basado en los requisitos europeos. Cuando la ley española se apruebe, solo habrá que ajustar los detalles de implementación nacional. El 90% del trabajo ya estará hecho.

Cada uno de estos pasos tiene un coste. Pero comparado con las sanciones de NIS2 — o peor, con el coste de una brecha de datos sin plan de respuesta — es una inversión mínima.

Y lo más importante: estas medidas te protegen independientemente de cuando se apruebe la ley. Porque los ciberataques no esperan al BOE.

El angulo del ciberseguro: NIS2 cambia las reglas del juego

Hay una dimensión de NIS2 que no se discute lo suficiente y que afecta directamente al bolsillo de las empresas: el seguro de ciberriesgos.

En mi experiencia como perito, el patrón se repite una y otra vez: la empresa sufre el ataque, llama al seguro, el seguro pide documentación de medidas de seguridad previas, la empresa no puede demostrar que tenía un plan, y la indemnización se reduce drásticamente o se deniega.

Las aseguradoras han endurecido drásticamente sus requisitos en los últimos tres años. Munich Re, Swiss Re y las principales aseguradoras europeas ya exigen a sus clientes medidas alineadas con NIS2 para mantener la cobertura. En la práctica, esto significa:

Las empresas que demuestren cumplimiento NIS2 pueden obtener reducciones de prima de entre el 20% y el 40%. He visto casos concretos donde la reducción de prima del ciberseguro pago por si sola el coste de la adaptación a NIS2 en menos de dos años.

Y al reves: las empresas que no puedan demostrar un nivel mínimo de madurez en ciberseguridad se van a encontrar con que las aseguradoras les deniegan la cobertura o les cobran primas prohibitivas.

El ciberseguro ya no es un producto que se compra rellenando un formulario. Es un producto que requiere evidencia de madurez en seguridad. NIS2 proporciona el marco de referencia para esa evidencia.

Voy a compartir un caso que lo ilustra perfectamente. Un cliente mio, una empresa de logística con 80 empleados, tenía un ciberseguro con una cobertura de 500.000 euros. Sufrio un ataque de ransomware que paralizo sus operaciones durante 10 días. Coste total: unos 280.000 euros entre parada operativa, recuperación de sistemas y peritaje forense.

Cuando reclamo al seguro, la aseguradora pidio evidencia de tres cosas: plan de respuesta a incidentes, copias de seguridad verificadas y formación en ciberseguridad para empleados. La empresa no tenía ninguna de las tres documentadas. La aseguradora pago solo el 40% del siniestro — unos 112.000 euros — alegando “falta de medidas de seguridad razonables”.

Con NIS2 transpuesta, esa empresa habría tenido las tres cosas documentadas. El seguro habría pagado el 100%. Y probablemente el ataque ni siquiera habría tenido éxito, porque la formación en ciberhigiene habría evitado el phishing que lo inicio.

Las aseguradoras lo tienen claro: NIS2 es el nuevo mínimo. Las empresas que lo cumplan tendrán mejores condiciones. Las que no, pagaran más o directamente no tendrán cobertura.

Coste de compliance vs coste de no-compliance

Voy a poner cifras a la decisión que tiene que tomar cada empresa, porque es lo que mejor funciona para convencer a los consejos de administración:

Coste de prepararse para NIS2

Coste de no prepararse

La matemática es sencilla. Prepararse cuesta órdenes de magnitud menos que sufrir las consecuencias de no hacerlo.

Para una PYME de 80 empleados, la inversión en preparación NIS2 ronda los 25.000 euros. El coste medio de un único incidente de ransomware en una empresa de ese tamaño supera los 200.000 euros. La sanción máxima de NIS2 es de 7 millones de euros (entidad importante) o 10 millones (entidad esencial). La responsabilidad personal del administrador no tiene precio.

Y con un gobierno que lleva más de veintidós meses de retraso, las empresas no pueden depender de que alguien les avise a tiempo. Tienes que tomar la decisión tu. Ahora.

Un dato que comparto con mis clientes y que suele cambiar la conversación: el 57 % de las organizaciones atacadas recupera menos de la mitad de sus datos, y solo el 10 % recupera más del 90 % (Veeam, Ransomware Trends 2025). Y España es ya el sexto país del mundo más atacado por ransomware. Estas no son estadísticas abstractas. Son empresas reales que cierran o sufren daños irreparables porque no tenían un plan de respuesta. NIS2 esta diseñada precisamente para evitar esto.

Mi opinion profesional sobre esta situación

Llevo años trabajando como perito informático forense en casos que van desde fraudes bancarios hasta ciberataques a infraestructuras críticas. Y lo que veo con NIS2 me recuerda a lo que ocurrio con el RGPD en 2018: las empresas que esperaron al último momento sufrieron un tsunami de multas y costes de adaptación acelerada. Las consultoras hicieron su agosto cobrando precios desorbitados por adaptaciones de emergencia. Los abogados acumularon expedientes sancionadores. Y los peritos informáticos como yo recibimos una avalancha de encargos de empresas que necesitaban demostrar compliance de la noche a la mañana.

Pero hay una diferencia fundamental. Con el RGPD, España aprobo la LOPDGDD solo siete meses después de la fecha limite. Con NIS2, no solo no hemos aprobado la ley: estamos siendo investigados por la Comisión Europea por no hacerlo. El mensaje que esto envía a las empresas españolas es devastador: el propio Estado que debería protegerlas y guiarlas en materia de ciberseguridad no cumple con sus propias obligaciones europeas.

Y la paradoja de fondo se sostiene sin necesidad de ilustrarla con un incidente concreto: el Estado que no traspone la norma es el mismo que queda sin el marco que ella pretende prevenir. He escrito un análisis del refuerzo anti-APT en la Moncloa que recomiendo leer en conjunción con este artículo.

También quiero señalar algo que no se discute lo suficiente: el impacto en la confianza internacional. Cuando una empresa española compite por un contrato con una empresa alemana, holandesa o francesa, la pregunta sobre el cumplimiento regulatorio surge inevitablemente. Y no poder demostrar que operas bajo un marco NIS2 transpuesto es una desventaja competitiva real. He visto licitaciones públicas en las que se exige cumplimiento NIS2 como requisito previo. Las empresas españolas no pueden demostrar ese cumplimiento porque su propio gobierno no ha creado el marco para ello.

El ecosistema de ciberseguridad español — CISOs, consultores, peritos, abogados especializados — esta preparado. Las herramientas existen, la formación existe, los profesionales existen. Lo que falta es la voluntad política de aprobar una ley que llevamos más de veintidós meses esperando.

Hay quien argumenta que la ciberseguridad no debería depender de leyes, que las empresas deberían protegerse por puro sentido común.

Es un argumento bonito pero profundamente ingenuo.

Si el sentido común funcionara, no tendriamos 122.223 ciberincidentes al año en España. Si el sentido común funcionara, las PYMEs no usarian “123456” como contraseña. Si el sentido común funcionara, los hospitales tendrían copias de seguridad verificadas.

Pero el sentido común no funciona. No en ciberseguridad. No cuando el coste de protegerse es inmediato y visible, y el coste de no hacerlo es futuro e incierto.

La regulación existe porque el mercado, por si solo, no genera los incentivos suficientes para que las empresas inviertan en seguridad. NIS2 crea esos incentivos. Convierte la inversión en ciberseguridad de gasto discrecional a obligación legal.

Y España lleva más de veintidós meses sin aplicarlos.

Los tres escenarios posibles

Si gestionas una empresa en los sectores afectados, mi recomendación es clara: no esperes al gobierno. Prepara tu organización como si NIS2 ya estuviera en vigor. Porque cuando finalmente lo este, los plazos de adaptación serán cortos y las sanciones, inmediatas.

Y un último apunte que me parece relevante: la responsabilidad personal de los administradores. NIS2 introduce la posibilidad de inhabilitar a los directivos de entidades esenciales que no cumplan con las obligaciones de ciberseguridad. Esto no es una amenaza teórica. En Alemania, que ya ha transpuesto parcialmente la directiva, los consejos de administración ya están incorporando la ciberseguridad como punto fijo del orden del día. En España, la mayoría de los consejos ni siquiera lo mencionan. Y cuando llegue la ley, tendrán que ponerse al día de golpe.

Es una situación que genera una frustracion profunda en todo el sector. Los profesionales de ciberseguridad llevamos años alertando de que España necesita un marco regulatorio serio. NIS2 era esa oportunidad. Y la estamos desperdiciando.

El impacto en el tejido económico español

Quiero cerrar esta sección con una reflexion que rara vez se hace pero que me parece fundamental.

El retraso en NIS2 no solo afecta a la ciberseguridad. Afecta a la competitividad del país.

Las empresas españolas que exportan servicios digitales a otros países de la UE se encuentran en una situación imposible. Sus clientes europeos les exigen cumplimiento NIS2. Pero España no ha creado el marco para que puedan demostrarlo. No hay certificaciones nacionales. No hay registro de entidades conformes. No hay autoridad que valide el cumplimiento.

He visto licitaciones europeas en las que se descarto a empresas españolas por no poder acreditar un marco NIS2 nacional. No porque no cumplieran técnicamente — muchas de ellas tenían medidas de seguridad impecables —, sino porque no podían presentar la documentación oficial que los países con NIS2 transpuesta exigen.

El coste económico de esta situación es imposible de cuantificar, pero es real. Cada contrato perdido, cada cliente que elige a un proveedor belga o italiano en lugar de uno español, cada licitacion en la que no podemos competir en igualdad de condiciones, es un coste directo del retraso legislativo.

Y hay otro efecto perverso: la fuga de talento. Los profesionales de ciberseguridad españoles — CISOs, consultores, peritos — ven que en otros países hay un marco regulatorio que da sentido a su trabajo, que crea demanda de sus servicios, que dignifica su profesión. En España, la ciberseguridad sigue siendo un gasto discrecional que las empresas recortan cuando aprieta el presupuesto. NIS2 cambiaría eso. Pero sin NIS2, los mejores profesionales emigran a países donde su trabajo tiene respaldo legal.

Un mensaje para los que toman las decisiones

Si alguin del equipo legislativo del gobierno lee esto — que lo dudo, pero la esperanza es lo último que se pierde —, quiero transmitir un mensaje claro.

Cada día que pasa sin transponer NIS2:

• Una empresa española pierde un contrato europeo por no poder acreditar cumplimiento
• Una PYME sufre un ciberataque sin tener la obligación de notificarlo ni las herramientas para responder
• Un hospital opera sin las medidas mínimas de ciberseguridad que la directiva exige
• Un directivo toma decisiones sin saber que pronto podrá ser personalmente responsable
• Los contribuyentes acumulamos más deuda en forma de futuras multas del TJUE

Esto no es un problema técnico. Es un problema político. Y la solución es aprobar la ley. Ahora. No mañana. No en el próximo periodo de sesiones. Ahora.

Para una guía detallada sobre las obligaciones concretas de NIS2, consulta mi análisis completo de la ley y sus requisitos.

Preguntas frecuentes

¿Puede la UE multar directamente a España por no transponer NIS2?

Si, y el proceso ya esta muy avanzado. El procedimiento de infracción tiene cinco fases que he detallado en la sección correspondiente de este artículo:

1. Carta de emplazamiento — completada en noviembre 2024
2. Dictamen motivado — completado en mayo 2025
3. Recurso ante el TJUE — remisión decidida el 8 de julio de 2026
4. Sentencia con multas
5. Posible segundo procedimiento

Para NIS2, la Comisión puede solicitar multas directamente en la primera sentencia gracias al artículo 260.3 del TFUE. No necesita una segunda sentencia. Esto es un cambio importante introducido por el Tratado de Lisboa que muchos desconocen.

Para España, la cuantía la fija el Tribunal y todavía no lo ha hecho: la Comisión ha pedido una suma a tanto alzado y multas coercitivas diarias, pero el importe no está determinado.

No es un escenario hipotético. En 2021, el TJUE ya condenó a España a una suma a tanto alzado de 15 millones de euros y a una multa coercitiva de 89.000 euros diarios por no transponer a tiempo la Directiva (UE) 2016/680, de protección de datos en el ámbito penal (asunto C-658/19).

El precedente existe. Es español. Y es reciente.

¿Si NIS2 no esta transpuesta, pueden sancionarme como empresa?

Mientras no exista ley nacional, no hay base jurídica para sancionar directamente a las empresas por incumplimiento de NIS2 en España.

Sin embargo, esto no significa que puedas ignorar la ciberseguridad. El marco legal actual sigue vigente:

• RGPD/LOPDGDD: Obligaciones de seguridad de datos personales, con multas de hasta 20M euros
• Ley 8/2011: Protección de Infraestructuras Críticas (para operadores designados)
• ENS (RD 311/2022): Esquema Nacional de Seguridad (para administración pública y proveedores)
• PCI DSS: Sector de pagos con tarjeta
• Normativa sectorial: Banco de España, CNMC, etc.

Además, cuando la ley se apruebe, las empresas tendrán plazos cortos de adaptación. Las que no se hayan preparado no podrán cumplir a tiempo.

Y hay un matiz jurídico importante que muchos ignoran: si tu empresa opera en un Estado miembro que ya ha transpuesto NIS2, puedes ser sancionado por ese país. No necesitas tener sede allí. Basta con que prestes servicios en su territorio.

¿Cómo afecta esto a las empresas españolas que operan en otros países de la UE?

Si tu empresa presta servicios en Francia, Alemania, Italia o cualquier otro Estado miembro que ya ha transpuesto NIS2, estas sujeto a las obligaciones de NIS2 en ese país. Independientemente de lo que haga España.

El derecho europeo permite que las autoridades competentes de un Estado miembro actuen sobre entidades que prestan servicios en su territorio. Esto es especialmente relevante para:

• Empresas SaaS que venden a clientes en la UE
• Proveedores de servicios gestionados (MSP) con clientes europeos
• Empresas de servicios cloud que alojan datos de entidades europeas
• Consultoras tecnológicas que trabajan para clientes en otros países
• Proveedores de ciberseguridad que dan servicio a entidades esenciales europeas

He visto a empresas españolas de tecnología que perdieron contratos con clientes alemanes porque no podían demostrar cumplimiento NIS2. No porque no tuvieran medidas de seguridad — las tenían —, sino porque no existía un marco nacional español que las respaldara.

La inaccion del gobierno español tiene un coste competitivo directo para las empresas que operan en el mercado único europeo. Y ese coste crece cada día que pasa sin transposición.

¿Cuánto tiempo tendremos para adaptarnos cuando se apruebe la ley?

El anteproyecto de la Ley de Coordinación y Gobernanza de la Ciberseguridad contempla un periodo de adaptación que dependera de si la entidad es esencial o importante.

Sin embargo, dado el retraso acumulado (más de veintidós meses), es probable que los plazos sean más cortos de lo habitual. El gobierno sabe que esta bajo presión de Bruselas y querrra demostrar que las empresas españolas cumplen lo antes posible.

La experiencia del RGPD sugiere que el gobierno podría dar entre 6 y 12 meses. Pero con el RGPD, las empresas tuvieron 2 años de aviso previo (desde la aprobación del reglamento en 2016 hasta su aplicación en 2018). Con NIS2, cuando la ley se apruebe, las empresas habrán tenido como mucho unos meses de preaviso.

Mi recomendación: no esperes al periodo de adaptación. Empieza ahora. Cada mes que inviertas en preparación ahora te ahorrara tres meses de prisas cuando la ley se apruebe. Y llegaras con ventaja competitiva frente a los que esperen al último momento.

¿Qué pasa si soy proveedor de una entidad esencial pero tengo menos de 50 empleados?

NIS2 tiene un criterio de tamaño general (más de 50 empleados o 10 millones de facturación), pero incluye excepciones importantes.

Independientemente del tamaño, están dentro del alcance:

• Proveedores de servicios DNS
• Registros de nombres de dominio de primer nivel (TLD)
• Proveedores de servicios de confianza (certificados digitales, firma electrónica)
• Proveedores de redes públicas de comunicaciones electrónicas
• Cualquier entidad que los Estados miembros identifiquen individualmente como crítica

Pero hay un efecto cascada que muchos no ven: las entidades esenciales tienen la obligación de evaluar a sus proveedores. Esto significa que aunque tu empresa de 20 empleados no entre formalmente en NIS2, si tu cliente es una entidad esencial (un hospital, un banco, una empresa energética), te exigira cumplimiento NIS2 contractualmente.

He visto ya cláusulas contractuales de grandes empresas españolas que exigen a sus proveedores “cumplimiento con los requisitos de la Directiva NIS2” como condición para renovar contratos. Es un efecto multiplicador: NIS2 afecta directamente a 5.700 entidades, pero indirectamente a decenas de miles de proveedores.

¿NIS2 se aplica a la administración pública española?

Si. NIS2 incluye expresamente a la administración pública como sector de alta criticidad.

En España, esto afectaria a:

• Ministerios y organismos de la Administración General del Estado
• Comunidades autónomas y sus organismos dependientes
• Ayuntamientos de ciudades grandes y medianas
• Organismos públicos: AEAT, Seguridad Social, SEPE, etc.
• Empresas públicas: Renfe, Correos, Aena, etc.

La ironia es evidente: el gobierno que no transpone la ley sería una de las primeras entidades obligadas a cumplirla.

Pero más alla de la ironia, la realidad es preocupante. Muchas administraciones públicas españolas tienen un nivel de madurez en ciberseguridad muy bajo. El refuerzo anti-APT desplegado en la Moncloa da cuenta de esa preocupación.

El ENS (Esquema Nacional de Seguridad, RD 311/2022) cubre parte de los requisitos de NIS2 para la administración pública. Pero NIS2 va más alla en tres aspectos fundamentales: obligaciones de notificación con plazos estrictos, gobernanza con responsabilidad personal de los directivos y supervisión por una autoridad externa independiente. El ENS no tiene nada de eso.

¿Qué diferencia hay entre NIS2 y la Directiva CER?

NIS2 (Directiva 2022/2555) se centra en la ciberseguridad — protección de redes y sistemas de información.

La Directiva CER (Directiva 2022/2557) se centra en la resiliencia física de las infraestructuras críticas — protección contra riesgos naturales, terrorismo, sabotaje y accidentes.

Ambas directivas:

• Se aprobaron el mismo día (14 de diciembre de 2022)
• Tenían el mismo plazo de transposición (17 de octubre de 2024)
• Ambas están sin transponer en España
• Son complementarias: una entidad crítica podría necesitar cumplir con ambas

En la práctica, un hospital debería cumplir NIS2 para proteger sus sistemas informáticos y CER para proteger sus instalaciones físicas, suministro eléctrico y cadena de suministro de medicamentos. Sin ninguna de las dos transpuestas, opera en un doble vacio regulatorio.

¿Qué relación tiene NIS2 con DORA para el sector financiero?

DORA (Reglamento 2022/2554) es el Reglamento de Resiliencia Operativa Digital para el sector financiero.

Hay una diferencia jurídica fundamental: DORA es un reglamento europeo, no una directiva. Esto significa que se aplica directamente en todos los Estados miembros sin necesidad de transposición. DORA entro en aplicación en enero de 2025 y ya es vinculante para todas las entidades financieras españolas.

Las entidades financieras deben cumplir tanto DORA como NIS2, aunque DORA prevalece como lex specialis en el ámbito financiero.

En la práctica:

• Si tu empresa es un banco, aseguradora o entidad de pago: DORA es tu marco principal
• NIS2 actua como red de seguridad en lo que DORA no cubra
• Los proveedores de servicios TIC del sector financiero (no financieros ellos mismos) caen bajo NIS2
• Si eres una fintech que además presta servicios a entidades no financieras, necesitas cumplir ambos

¿He leido que la directiva tiene efecto directo. Que significa exactamente?

El efecto directo es un principio del derecho europeo que permite a los particulares invocar directamente disposiciones de una directiva ante los tribunales nacionales cuando el Estado miembro no la ha transpuesto a tiempo.

Para que una disposición tenga efecto directo, debe cumplir tres requisitos:

1. Ser clara en su contenido
2. Ser precisa en sus obligaciones
3. Ser incondicional (no depender de medidas nacionales de implementación)

Algunas disposiciones de NIS2 podrían cumplir estos requisitos. En particular:

• Los plazos de notificación del artículo 23 (24h/72h/1 mes) son claros, precisos e incondicionales
• La obligación de designar un responsable del artículo 20 es igualmente clara
• La lista de sectores afectados de los Anexos I y II no deja margen de interpretación

Pero es una cuestion jurídica compleja que dependera de la interpretación del TJUE caso a caso.

Lo que si es seguro — y esto lo uso habitualmente en mis informes periciales — es que un juez español podría usar NIS2 como criterio interpretativo del nivel de diligencia exigible a una empresa. Si una empresa es demandada por negligencia tras un ciberataque, el juez puede razonar: “NIS2 define el estándar europeo de diligencia en ciberseguridad. Aunque no este transpuesta en España, es el marco de referencia. Esta empresa no cumplia ni una de las 10 medidas del artículo 21. Por tanto, actuo sin diligencia.”

No es teoria. He visto a jueces españoles usar directivas no transpuestas como criterio interpretativo en otros ámbitos. Y lo harán también con NIS2.

¿Qué diferencia hay entre este artículo y la guía de obligaciones NIS2?

Este artículo analiza el procedimiento de infracción de la UE contra España y sus consecuencias políticas, económicas y empresariales. Es una pieza de opinion crítica y análisis de contexto.

Si lo que necesitas es una guía práctica sobre que obligaciones concretas tendrá tu empresa cuando NIS2 entre en vigor, consulta mi análisis detallado con plazos, sectores afectados, requisitos técnicos y pasos de preparación.

Ambos artículos son complementarios: este explica el “por que estamos donde estamos” y el otro explica el “que tienes que hacer”.

Preguntas relacionadas

Si has llegado hasta aquí, estos artículos complementan el análisis:

• Cuales son las obligaciones concretas de NIS2 para empresas españolas y como prepararse paso a paso — la guía práctica que complementa este artículo

• El refuerzo anti-APT en Moncloa y la seguridad de datos de altos cargos del gobierno — el caso que demuestra por que NIS2 era urgente

• Por que España sufre 3 ciberataques graves al día y que sectores son los más afectados — el contexto de amenazas que hace NIS2 imprescindible

• Que revela el balance de INCIBE 2025 con 122.223 ciberincidentes sobre la madurez de ciberseguridad en España — las cifras que el gobierno debería haber tenido en cuenta

• Por que el 57 % de las organizaciones atacadas recupera menos de la mitad de sus datos y como evitarlo — la realidad de las empresas sin plan de respuesta

• Que servicios de consultoría y asesoramiento en ciberseguridad necesita tu empresa para cumplir con NIS2 — como puedo ayudarte a prepararte

Este artículo refleja mi opinion profesional basada en la experiencia acumulada como perito informático forense. Los casos descritos han sido anonimizados por confidencialidad. Las cifras de coste son estimaciones basadas en datos públicos y en mi experiencia directa con empresas españolas. Las referencias a normativa europea son precisas a la fecha de la última actualización (agosto de 2026).

Si tu empresa necesita prepararse para NIS2, puedes contactarme directamente para una evaluación inicial sin compromiso.

Referencias y fuentes

1. ⚠️ Retirada: se citaba un artículo de El Español con ese titular, pero el enlace apuntaba a la portada del periódico, no al artículo. De él salían el «101 directivas» y el «92 expedientes» que encabezaban este post.
2. ⚠️ Retirada: enlace a la portada de RedesZone, no al artículo citado.
3. ⚠️ Retirada: enlace a la portada de Computing, no al artículo citado.
4. European Commission (noviembre 2024). “NIS2 Directive - Transposition status and infringement procedures”. digital-strategy.ec.europa.eu
5. Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad — su tramitación la publica el Ministerio para la Transformación Digital, en el apartado de participación pública. ⚠️ No se enlaza la página concreta porque su ruta cambia con cada legislatura y no se deduce. La referencia anterior enlazaba a la portada de La Moncloa.
6. CCN-CERT (2026). “Informes de ciberamenazas y respuesta a incidentes en la administración pública”. ccn-cert.cni.es
7. INCIBE (2025). “Balance de ciberseguridad 2025: 122.223 ciberincidentes gestionados”. incibe.es
8. BOE (2025). “Estrategia de Ciberseguridad Nacional y Consejo de Seguridad Nacional”. boe.es
9. Directiva (UE) 2022/2555 (NIS2), de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en la Unión. Plazo de transposición: 17 de octubre de 2024.
10. IBM Security (2025). “Cost of a Data Breach Report 2025 - Spain”. ibm.com/security
11. Interior.gob.es (2025). “Trámite de audiencia pública - Anteproyecto de Ley de Ciberseguridad”. interior.gob.es ⚠️ Enlace a la portada, no al documento: el título y el año anunciados no bastan para localizarlo.
12. Tribunal de Justicia de la Unión Europea, asunto C-658/19, Comisión/España (Directiva de datos personales — ámbito penal), sentencia de la Sala Octava de 25 de febrero de 2021 (ECLI:EU:C:2021:138): España condenada a una suma a tanto alzado de 15.000.000 euros y a una multa coercitiva de 89.000 euros diarios por no transponer la Directiva (UE) 2016/680 ni comunicar las medidas de transposición. Texto en EUR-Lex
13. Tribunal de Justicia de la Unión Europea, asunto C-823/21, Comisión/Hungría (Declaración de intenciones previa a una solicitud de asilo), sentencia de la Sala Cuarta de 22 de junio de 2023 (ECLI:EU:C:2023:504): recurso por incumplimiento estimado en materia de procedimientos de protección internacional (Directiva 2013/32/UE). Ficha en CURIA
14. ANSSI — La directive NIS 2, página oficial de la agencia francesa sobre la transposición.
15. BSI - Bundesamt fur Sicherheit in der Informationstechnik (2025). “NIS2-Umsetzungsgesetz und IT-Grundschutz”. bsi.bund.de ⚠️ Enlace a la portada, no al documento: el título y el año anunciados no bastan para localizarlo.
16. ACN (Agenzia per la Cybersicurezza Nazionale) — NIS · Network Information Security, donde Italia publica su marco de transposición.
17. Centre for Cybersecurity Belgium (2024). “Loi NIS2 - Cadre belge de cybersecurite”. ccb.belgium.be ⚠️ Enlace a la portada, no al documento: el título y el año anunciados no bastan para localizarlo.
18. NTT Data (febrero 2026). “Global Threat Intelligence Report H2 2025 - Spain: 3 major cyberattacks per day”. nttdata.com
19. Sophos (2025). “The State of Ransomware 2025 - SMB Recovery Statistics”. sophos.com ⚠️ Enlace a la portada, no al documento: el título y el año anunciados no bastan para localizarlo.
20. Munich Re. Global Cyber Risk and Insurance Survey — encuesta anual sobre el mercado de ciberseguro. munichre.com ⚠️ Enlace a la portada, no al documento: el título y el año anunciados no bastan para localizarlo.
21. Microsoft Security (2025). “Multi-factor authentication: 99.9% effectiveness against account compromise”. microsoft.com/security
22. El Correo Gallego (febrero 2026). “El Estado no conoce cuantos ciberataques recibe España cada día”. elcorreogallego.es ⚠️ Enlace a la portada, no al documento: el título y el año anunciados no bastan para localizarlo.
23. Thales — Data Threat Report, informe anual. ⚠️ La referencia anterior enlazaba a la portada corporativa y anunciaba un desglose por país que hay que comprobar en la edición concreta que se cite.
24. Veeam (2025). From Risk to Resilience: 2025 Ransomware Trends and Proactive Strategies —fabricante de software de copias de seguridad—. Las estadísticas de recuperación tras un cifrado están en este informe, no en el Data Protection Trends Report al que se atribuían aquí.
25. Tratado de Funcionamiento de la Unión Europea, arts. 258 a 260 — procedimiento por incumplimiento: dictamen motivado de la Comisión, recurso ante el TJUE y, en caso de persistencia, multa coercitiva y suma a tanto alzado.