El 8 de julio de 2026 la Comisión Europea decidió llevar a España, Irlanda, Francia y Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición de la Directiva NIS2. No es un trámite simbólico: la Comisión pide al Tribunal que imponga una suma a tanto alzado y multas coercitivas diarias hasta que cada Estado comunique la transposición completa. El plazo original venció el 17 de octubre de 2024.
Para un comité de dirección español la lectura fácil podría ser: si no hay ley publicada en el BOE, no hay obligación que cumplir. Es una lectura equivocada, y bastante cara. Las obligaciones de NIS2 ya están llegando a las empresas españolas, solo que por una vía distinta a la que se esperaba: los contratos, las cadenas de suministro y los reguladores sectoriales que sí tienen base legal propia.
Lo esencial
- La Comisión llevó a cuatro Estados miembros al TJUE el 8 de julio de 2026 por no transponer NIS2, con petición expresa de sanciones económicas.
- España aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025 y sigue sin texto publicado.
- La ausencia de ley nacional no congela las obligaciones: llegan por contrato, por DORA, por el ENS y por clientes radicados en países que ya transpusieron.
- Los controles del artículo 21 de la Directiva no dependen del legislador español. Se pueden construir hoy.
- Lo que más se rompe cuando por fin llega la ley no son los controles técnicos, sino el reloj de notificación de incidentes.
Qué ha pasado exactamente
La secuencia es sencilla de reconstruir y conviene tenerla clara antes de discutirla en un comité.
- 17 de octubre de 2024: fecha límite de transposición de la Directiva (UE) 2022/2555. España no notifica medidas.
- 14 de enero de 2025: el Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que designa autoridades competentes y reparte la supervisión entre varios ministerios.
- 7 de mayo de 2025: la Comisión envía dictamen motivado a 19 Estados miembros, España entre ellos, por no notificar la transposición completa, según la página oficial de seguimiento de la transposición.
- 8 de julio de 2026: la Comisión decide remitir a Irlanda, España, Francia y Países Bajos al Tribunal de Justicia, y pide sanciones económicas. Lo recogieron, entre otros, The Record y Agence Europe.
Conviene notar un matiz que se pierde en los titulares: Países Bajos aparece en la lista pese a que su Senado aprobó la Cyberbeveiligingswet el 7 de julio de 2026, con entrada en vigor el 15 de agosto. La remisión se decide sobre lo notificado formalmente a la Comisión, no sobre lo que está en marcha en cada parlamento. La consecuencia práctica es que el estado real de cada país puede cambiar en semanas, mientras el procedimiento judicial sigue su curso.
Por qué “sin ley no hay obligación” es una lectura peligrosa
Una directiva no transpuesta no crea, por sí sola, obligaciones directas exigibles a una empresa privada por parte de la Administración. Hasta ahí el razonamiento se sostiene. El problema es que la exigencia no está llegando por esa vía.
Llega por contrato
Una entidad esencial alemana, italiana o belga ya está sujeta a su ley nacional, y su obligación de gestionar el riesgo de la cadena de suministro se traslada a sus proveedores como cláusula contractual: derechos de auditoría, plazos de notificación de incidentes, requisitos de continuidad, evidencias de control. El proveedor español no está sujeto a NIS2 en España, pero sí a un contrato que reproduce NIS2. Es exactamente el mismo trabajo con otro título jurídico, y es el motivo por el que la gestión de riesgo de terceros se ha convertido en el frente que más pronto se activa.
Llega por reguladores que ya tienen base legal
En banca, seguros y mercados, DORA es un reglamento y aplica desde enero de 2025 sin necesidad de transposición. En el sector público y en sus proveedores, el Esquema Nacional de Seguridad ya impone un régimen de control y auditoría con categorías definidas. Una empresa que atiende a ambos mundos suele descubrir que el 70 % de lo que NIS2 le pedirá ya se lo está pidiendo alguien más, con otro vocabulario. Ese solapamiento se puede aprovechar: mantener ENS y DORA como marcos vivos reduce mucho el trabajo posterior.
Llega por el mercado
Aseguradoras, entidades financiadoras y clientes grandes preguntan por madurez de seguridad en fases de homologación. Ninguna de esas preguntas espera al BOE.
El espejo alemán: qué pasa cuando la ley sí existe
Alemania transpuso y ofrece un anticipo útil de lo que viene. El registro de entidades ante el BSI venció legalmente el 6 de marzo de 2026. La respuesta del mercado no fue la esperada: a finales de mayo, en torno a 18.500 de aproximadamente 29.000 entidades afectadas se habían registrado, según las cifras del BSI recogidas por heise. El BSI envió entonces una carta a las asociaciones sectoriales señalando el 31 de julio de 2026 como fecha para regularizar.
El detalle jurídico importa: ese 31 de julio no es un plazo legal nuevo, es una señal de tolerancia en la supervisión. La fecha exigible seguía siendo marzo. Traducido a lo que interesa a un CISO español: cuando llegue la ley, el primer choque no será con los controles técnicos, sino con la identificación de si la organización está o no en el alcance, y con el registro administrativo. Un tercio del tejido empresarial alemán, con ley publicada y autoridad activa, no llegó a tiempo a un trámite de identificación.
La pregunta que hay que resolver antes de que exista la ley no es “¿cumplimos?”, sino “¿somos entidad esencial, importante o ninguna de las dos, y con qué criterio lo hemos determinado?”.
Qué se puede construir hoy sin depender del texto final
El artículo 21 de la Directiva enumera las medidas mínimas de gestión de riesgos. Ese contenido no lo redacta el legislador español: lo redacta Bruselas y ya está publicado. El margen nacional está en las autoridades competentes, los umbrales, los procedimientos de registro y el régimen sancionador, no en la sustancia de los controles. Todo lo siguiente es trabajo estable, no especulativo.
Alcance y gobierno
- Determinar la condición de entidad esencial o importante por sector y tamaño, y documentar el razonamiento con fecha. Cuando llegue la ley se revisa, no se empieza de cero.
- Aprobación formal por el órgano de dirección del marco de gestión de riesgos. NIS2 hace responsable a la dirección, y esa responsabilidad no se delega en el departamento de sistemas.
- Formación específica para el órgano de administración, con registro de asistencia. Es uno de los pocos requisitos que se audita con un documento y que casi nadie tiene preparado.
Controles con evidencia
- Inventario de activos y de servicios críticos, con propietario identificado. Sin esto no hay análisis de impacto que se sostenga.
- Autenticación multifactor resistente a suplantación en accesos administrativos y remotos, y cifrado en tránsito y en reposo para la información sensible.
- Continuidad de negocio y recuperación probada: copias inmutables y pruebas de restauración documentadas, con tiempos reales medidos, no objetivos declarados.
- Gestión de vulnerabilidades con criterio de priorización explicable y acuerdos de nivel de servicio de remediación. La gestión de vulnerabilidades medida en tiempo de exposición, no en número de hallazgos.
- Seguridad de la cadena de suministro: clasificación de proveedores por criticidad, cláusulas de notificación e inventario de dependencias tecnológicas críticas.
El reloj de notificación es lo que primero se rompe
De todas las obligaciones de NIS2, la que más organizaciones incumplen en su primer incidente real no es un control preventivo: es el calendario de notificación. La Directiva establece una alerta temprana en 24 horas desde que se tiene conocimiento del incidente significativo, una notificación con evaluación inicial en 72 horas y un informe final en un mes. Ese primer tramo de 24 horas es el que revienta los procedimientos improvisados.
La razón es operativa, no normativa. En las primeras horas de un incidente el equipo no sabe todavía qué ha pasado, y aun así tiene que decidir si el suceso es significativo y comunicarlo. Eso exige tener resuelto de antemano lo siguiente:
- Un criterio escrito de “incidente significativo” traducido a umbrales propios: número de usuarios afectados, servicios interrumpidos, duración, alcance geográfico, posible impacto en terceros.
- Capacidad de reconstruir una línea temporal en horas, lo que implica retención de registros suficiente y correlación centralizada. Si los registros del punto final caducan a los siete días, la línea temporal no existe.
- Una persona con autoridad para declarar, disponible fuera de horario, y una suplente. El plazo de 24 horas corre también en agosto y en fin de semana.
- Plantillas de comunicación preparadas y validadas por asesoría jurídica, para no redactar bajo presión. En comunicación de crisis las primeras 24 horas se decide buena parte del daño reputacional.
Un SOC gestionado con retención adecuada y un procedimiento de respuesta a incidentes ensayado resuelven la parte mecánica del problema. La parte de criterio, quién declara y con qué umbral, es una decisión de gobierno que no se puede subcontratar.
Lo que no recomendamos hacer
Dos reacciones habituales que suelen salir mal.
La primera es esperar al texto definitivo para empezar. Cuando la ley se publique, el plazo de registro será corto y coincidirá con el mismo cuello de botella para todo el mercado: los mismos auditores, los mismos consultores, las mismas semanas. El caso alemán muestra que ni siquiera con ley publicada el registro se completa a tiempo.
La segunda es contratar una certificación como sustituto del trabajo. Una ISO 27001 bien implantada cubre buena parte del artículo 21 y es un punto de partida excelente, pero NIS2 añade elementos que un sistema de gestión genérico no resuelve solo: la responsabilidad personal del órgano de dirección, los plazos de notificación a la autoridad y el tratamiento específico de la cadena de suministro. Sirve como base, no como coartada.
Cómo lo estamos planteando
El enfoque que nos está funcionando con organizaciones en esta situación tiene tres capas y una regla: nada que dependa del texto final entra en la primera capa.
- Determinación de alcance documentada y análisis de diferencias contra el artículo 21, reutilizando lo que ya exista de ENS, ISO 27001 o DORA en vez de duplicarlo. La consolidación de marcos es donde se gana tiempo, y es lo que hace NormexAI.
- Cierre de las carencias que además reducen riesgo real hoy: autenticación reforzada, restauración probada, exposición externa controlada, registros con retención suficiente.
- Preparación del expediente: evidencias fechadas, actas de aprobación por dirección, procedimiento de notificación con responsables nombrados. Cuando llegue el registro, el expediente ya existe.
Nada de esto es trabajo perdido si la ley cambia de redacción. Es trabajo que reduce probabilidad de incidente y tiempo de recuperación, con independencia de qué acabe publicando el BOE. Si su organización presta servicio a entidades esenciales en otros países, ese trabajo ya se lo están pidiendo, aunque el contrato no mencione NIS2.
Puede ampliar el detalle de obligaciones y alcance en nuestra página de NIS2 y en el análisis sobre obligaciones prácticas para proveedores.