NIS2 en España: la ley sigue parada en el Congreso, pero la ciberseguridad ya te la pueden estar exigiendo por contrato

La Directiva NIS2 de ciberseguridad lleva en vigor desde enero de 2023, y los países de la UE tenían hasta el 17 de octubre de 2024 para incorporarla a su legislación nacional. España no llegó a ese plazo, y sigue sin hacerlo: el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que transpone la directiva, se aprobó en Consejo de Ministros en enero de 2025, pero continúa en tramitación parlamentaria. La Comisión Europea envió a España un dictamen motivado en mayo de 2025 por el retraso, y el 19 de mayo de 2026 dio un paso más serio: un segundo requerimiento formal exigiendo la transposición "con urgencia", dentro de un expediente de infracción que puede acabar en el Tribunal de Justicia de la UE, con multas al Estado por cada día de incumplimiento. La aplicación plena de la ley española se sigue esperando en torno a octubre de 2026.

Es tentador leer esto como "otra ley que se retrasa, ya nos avisarán cuando toque". Pero esa lectura pasa por alto algo importante: aunque la ley española siga parada, la directiva europea ya es una realidad que empresas grandes, administraciones y proveedores críticos están aplicando —o preparándose para aplicar—, y ese movimiento ya está empezando a llegar a pymes que ni siquiera están directamente obligadas.

Qué es NIS2 y a quién obliga (cuando la ley se apruebe)

NIS2 es la directiva europea que amplía y endurece las obligaciones de ciberseguridad, sustituyendo a la NIS original de 2016. Según el anteproyecto español actual, quedarían obligadas las empresas que superen los 50 empleados o los 10 millones de euros de facturación o balance, y que operen en alguno de los sectores considerados críticos: energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, servicios postales, gestión de residuos, industria química, alimentación, fabricación, proveedores digitales e investigación, entre otros.

Dentro de ese grupo, la norma distingue entre "entidades esenciales" (las de mayor criticidad, con supervisión proactiva e inspecciones programadas, y sanciones de hasta 10 millones de euros o el 2% de la facturación global) y "entidades importantes" (supervisión reactiva tras un incidente, con sanciones de hasta 7 millones o el 1,4% de la facturación). Estas cifras corresponden al anteproyecto tal como está redactado ahora: pueden variar durante el trámite parlamentario, así que conviene tratarlas como orientativas hasta la aprobación definitiva.

El efecto que sí llega ya a las pymes: la cadena de suministro

Aquí está el punto que suele pasar desapercibido. Una pyme puede estar muy por debajo de los umbrales de tamaño y sector, y aun así verse afectada, porque la propia normativa obliga a las empresas reguladas a gestionar la seguridad de su cadena de suministro. En la práctica, eso significa que una entidad esencial o importante empieza a exigir contractualmente a sus proveedores —por pequeños que sean— ciertas garantías de seguridad, aunque esos proveedores nunca lleguen a estar obligados de forma directa por la ley.

Esto ya está pasando, con ley aprobada o sin ella: empresas grandes que se anticipan al marco europeo empiezan a incluir cláusulas de ciberseguridad en sus contratos con proveedores, o a pedir cuestionarios y certificaciones antes de renovar un acuerdo. Una pyme puede recibir esa exigencia sin que nadie le explique de dónde viene, y sin haber oído hablar de NIS2 en ningún otro contexto.

Qué exige la norma en la práctica: diez medidas mínimas

El articulado actual del anteproyecto recoge, siguiendo a la directiva europea, un conjunto de medidas mínimas de gestión de riesgos que las entidades obligadas deben implantar:

• Políticas de análisis y gestión de riesgos.
• Un procedimiento definido para la gestión de incidentes.
• Continuidad de negocio y copias de seguridad, incluida la gestión de crisis.
• Seguridad de la cadena de suministro, incluyendo la relación con proveedores.
• Gestión de vulnerabilidades en los sistemas.
• Evaluación periódica de la eficacia de las medidas de seguridad implantadas.
• Formación en ciberseguridad para el personal.
• Políticas de cifrado, cuando corresponda.
• Control de acceso y gestión de activos.
• Autenticación multifactor u otras soluciones de autenticación segura.

Ninguna de estas medidas es exótica ni exclusiva de grandes corporaciones: son, en esencia, buenas prácticas de seguridad que cualquier empresa que dependa de sus sistemas informáticos —es decir, prácticamente cualquier empresa hoy— debería tener ya, tenga o no una ley que se lo exija.

Notificar un incidente: una cascada de plazos cortos

Uno de los cambios más exigentes de NIS2 frente a la normativa anterior es el calendario de notificación cuando ocurre un incidente de seguridad significativo. La directiva establece una secuencia de avisos al CSIRT de referencia (INCIBE-CERT, en el caso del sector privado en España):

1. Alerta temprana en las primeras 24 horas desde que se tiene constancia del incidente.
2. Notificación más detallada dentro de las 72 horas.
3. Informe final en el plazo de un mes.

Ese ritmo obliga a tener un procedimiento de respuesta a incidentes ya definido de antemano, no improvisado el mismo día que algo falla: en 24 horas apenas hay tiempo para investigar qué ha pasado, así que la única forma de cumplir es saber de antemano a quién avisar, qué información recoger y quién toma cada decisión.

La responsabilidad no se queda solo en el departamento técnico

Otro elemento que distingue a NIS2 de enfoques anteriores es que sitúa una parte explícita de la responsabilidad en los órganos de dirección de la empresa, no únicamente en quien gestiona los sistemas informáticos. El anteproyecto prevé que la dirección deba aprobar y supervisar las medidas de gestión de riesgos, con consecuencias que pueden llegar a sanciones o inhabilitaciones personales en los casos más graves de incumplimiento. La ciberseguridad deja de ser, sobre el papel, un asunto exclusivamente técnico para convertirse también en un asunto de gobierno de la empresa.

Qué puede hacer una pyme ahora, sin esperar a que se apruebe la ley

1. Revisar si alguno de los clientes o socios comerciales de la empresa es una entidad probablemente obligada por NIS2 (banca, energía, sanidad, administración pública, infraestructura digital), porque ahí es donde antes puede llegar una exigencia contractual de seguridad.
2. Hacer un inventario honesto de qué medidas de la lista mínima ya existen hoy —aunque sea de forma informal— y cuáles no existen en absoluto: copias de seguridad, control de acceso, autenticación multifactor, formación del equipo.
3. Documentar por escrito un procedimiento básico de qué hacer si ocurre un incidente: a quién avisar primero, qué información recoger, quién decide los siguientes pasos. No hace falta que sea perfecto ni definitivo el primer día, pero sí que exista en algún sitio accesible, no solo en la cabeza de la persona que lleva la informática.
4. No esperar a la fecha de aprobación de la ley para empezar: las buenas prácticas de seguridad no dejan de tener sentido porque el Congreso vaya con retraso, y las empresas que empiecen ahora llegarán con margen cuando la norma —o la primera exigencia contractual de un cliente— aparezca de verdad.

El retraso legislativo de NIS2 en España no es una señal de que el tema pueda esperar. Es, más bien, la prueba de lo contrario: mientras el marco legal sigue su curso —lento y bajo presión creciente de la Comisión Europea—, la exigencia real de ciberseguridad ya se está moviendo por otra vía, la de los contratos entre empresas, y esa vía no tiene por qué esperar a que nadie firme nada en el Boletín Oficial del Estado.