España todavía no ha transpuesto la Directiva NIS2. El vehículo elegido es el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado en primera vuelta por el Consejo de Ministros en enero de 2025 y que sigue en tramitación, sin publicarse en el BOE. La Comisión Europea llevó a España ante el Tribunal de Justicia de la Unión Europea el 8 de julio de 2026 por ese retraso. Mientras no haya ley, siguen vigentes el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que transponen la primera directiva NIS, junto con el Esquema Nacional de Seguridad (ENS) del Real Decreto 311/2022. La futura ley impondrá obligaciones de ciberseguridad a entidades esenciales e importantes en sectores como energía, transporte, sanidad, servicios financieros, agua potable, infraestructura digital, administración pública y espacio. La supervisión y la respuesta a incidentes corresponden hoy al CCN-CERT (Centro Criptológico Nacional) y al INCIBE-CERT (Instituto Nacional de Ciberseguridad), junto con autoridades sectoriales. Situación jurídica en octubre de 2026. Esto no es asesoramiento jurídico.
En qué punto está la transposición española
El 17 de enero de 2023 entró en vigor la Directiva NIS2 (Network and Information Security 2) como sucesora de NIS1. NIS2 amplió drásticamente el alcance, de unos pocos miles a decenas de miles de organizaciones en Europa, e introdujo la responsabilidad directa del órgano de gobierno en materia de ciberseguridad. Los Estados miembros debían transponer NIS2 al derecho nacional a más tardar el 17 de octubre de 2024, para aplicarla desde el 18 de octubre de 2024.
España ha incumplido ese plazo con holgura. El Consejo de Ministros aprobó en primera vuelta el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, pero el texto sigue en tramitación y no se ha publicado en el BOE. No se trata de un Real Decreto-ley, como se lee a menudo, sino de una ley ordinaria. Cuando entre en vigor sustituirá el marco de la primera directiva NIS (Real Decreto-ley 12/2018 y Real Decreto 43/2021) y se articulará con el Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, que sigue siendo la referencia para el sector público.
En la práctica, una organización española no puede todavía ser supervisada ni sancionada al amparo de NIS2, porque no hay norma nacional en la que fundar un control. Lo que sí es exigible hoy es el marco vigente, es decir el Real Decreto-ley 12/2018 para los operadores de servicios esenciales y el ENS para el sector público y sus proveedores. La Directiva indica ya el alcance, las medidas y los plazos de notificación que traerá la futura ley, así que esperar no hace el trabajo más pequeño.
Quién está bajo el alcance
El anteproyecto recoge la distinción de la Directiva entre entidades esenciales e importantes. Las esenciales quedarán sujetas a supervisión proactiva (auditorías sin previo aviso); las importantes a supervisión reactiva (intervención ante señales o tras un incidente). Las listas siguientes son las de la Directiva y pueden cambiar en el texto definitivo.
- Sectores esenciales: energía, transporte, banca, infraestructura del mercado financiero, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública, espacio.
- Sectores importantes: servicios postales y de mensajería, gestión de residuos, fabricación y distribución de productos químicos, producción y transformación alimentaria, fabricación (maquinaria, vehículos, productos sanitarios), proveedores de servicios digitales, organizaciones de investigación.
- Umbrales: con carácter general, 50+ empleados o más de €10M de facturación anual o balance. Determinadas entidades críticas (operadores de servicios esenciales, infraestructuras críticas) quedan sujetas con independencia del tamaño.
Las obligaciones principales
El anteproyecto recoge los tres pilares de la Directiva:
- Gestión de riesgos. Medidas técnicas y organizativas proporcionadas: análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, gestión de vulnerabilidades, criptografía, control de accesos, autenticación multifactor y formación del personal.
- Notificación de incidentes. Los incidentes significativos deben notificarse en tres fases: alerta temprana en 24 horas, informe intermedio en 72 horas, informe final en un mes. La notificación se canaliza a través del CSIRT competente (CCN-CERT, INCIBE-CERT u otro según el sector).
- Obligaciones del órgano de gobierno. El consejo o equivalente deberá aprobar las medidas de gestión de riesgos, supervisar su implantación y completar formación específica en ciberseguridad. Esa obligación viene del artículo 20 de la Directiva, cuyo apartado 2 trata la formación, y lleva aparejada responsabilidad personal por incumplimientos graves.
Relación con el ENS
El Esquema Nacional de Seguridad (ENS), recogido en el Real Decreto 311/2022, sigue siendo la norma de referencia para el sector público español y para los proveedores que le prestan servicios. El ENS establece principios básicos, requisitos mínimos y un esquema de categorización (básica, media, alta) con controles asociados.
La futura ley no sustituirá al ENS, sino que se articulará con él. Para las entidades del sector público y sus proveedores, el ENS sigue siendo de aplicación obligatoria hoy, mientras que la norma NIS2 añadirá obligaciones en materia de notificación, gobernanza y supervisión sectorial. Para el sector privado bajo NIS2, el ENS puede servir como marco de referencia técnico, aunque no sea jurídicamente vinculante fuera del sector público.
En la práctica, muchas organizaciones optan por construir un único programa de cumplimiento que cubra ENS y NIS2 de manera coordinada, aprovechando las coincidencias en controles técnicos y organizativos.
Sanciones
El anteproyecto se alinea con los topes europeos. Las entidades esenciales podrán enfrentarse a multas de hasta €10 millones o el 2 % de la facturación anual mundial (la cifra mayor). Para las entidades importantes, el máximo se situará en €7 millones o el 1,4 %. Mientras no haya ley, ninguna de estas sanciones es aplicable en España.
Además de las multas, las autoridades competentes podrán emitir instrucciones vinculantes, requerir auditorías externas, suspender certificaciones y, en casos graves, suspender temporalmente a miembros del órgano de gobierno de sus funciones. La responsabilidad personal del consejo es la novedad más relevante respecto al marco anterior.
En los primeros meses tras la entrada en vigor cabe esperar un enfoque gradual centrado en demostrar progresos razonables. La obligación de formación del órgano de gobierno, sin embargo, será verificable desde el primer momento, lo que la convierte en el trabajo más sencillo de empezar ya.
Descubra cómo 2LRN4 convierte este tema en un programa de concienciación práctico con resultados medibles.
Ver la página NIS2Artículos relacionados
- La obligación de formación del consejo bajo NIS2 en España
- ¿Qué es la concienciación NIS2?
- Evidencias de auditoría para concienciación
Fuentes
- Cyberbeveiligingswet (texto oficial, NL)
- Digital Trust Center, portal Cbw / NIS2
- Directiva NIS2 (EUR-Lex)
FAQ
¿Cuándo se aplica?
Todavía no se aplica. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en primera vuelta en enero de 2025 y sigue en tramitación, sin publicarse en el BOE, por lo que la Comisión Europea llevó a España ante el Tribunal de Justicia de la Unión Europea el 8 de julio de 2026. Hasta entonces rigen el Real Decreto-ley 12/2018 y el ENS. Desconfíe de las guías que presentan la norma como ya aprobada.
¿Mi organización entra en el alcance?
Depende del sector y del tamaño. Umbral general: 50+ empleados o más de €10M de facturación anual o balance, en un sector designado. Las infraestructuras críticas y determinadas entidades esenciales quedan incluidas con independencia del tamaño. El INCIBE y el CCN-CERT ofrecen herramientas de autoevaluación.
¿Cuál es la relación con el ENS?
El ENS (Real Decreto 311/2022) sigue siendo obligatorio para el sector público y sus proveedores. La futura ley de NIS2 se añadirá a este marco para los sectores cubiertos por la directiva. En la práctica, muchas organizaciones desarrollan un único programa de cumplimiento integrado para evitar duplicidades.
¿Cuál es la relación con el RGPD?
RGPD y NIS2 se solapan parcialmente pero protegen bienes distintos. El RGPD protege los datos personales; NIS2 protege la seguridad de las redes y sistemas de información. Un mismo incidente puede activar ambas obligaciones de notificación, ante la AEPD y ante el CSIRT competente. Conviene coordinar los procedimientos internos para responder a ambos requisitos.
¿Cómo empiezo?
Tres pasos: (1) determinar el alcance (sector, tamaño, clasificación como entidad esencial o importante) y designar un miembro del órgano de gobierno responsable; (2) análisis de brechas frente a las obligaciones de gestión de riesgos, notificación de incidentes y gobernanza; (3) plan de implementación priorizando la formación del órgano de gobierno (exigible de inmediato) y las medidas técnicas y organizativas.
¿Qué autoridad, CCN-CERT, INCIBE o sectorial?
El CCN-CERT es la referencia para el sector público y para infraestructuras críticas, mientras que el INCIBE-CERT atiende al sector privado y a la ciudadanía. Las autoridades sectoriales (CNMV, Banco de España, Ministerio de Sanidad, etc.) mantienen competencias específicas. Para entidades multisectoriales, conviene aclarar desde el inicio la asignación de competencias con cada autoridad implicada.