El 17 de octubre de 2024 terminó el plazo para que los países de la UE incorporaran la directiva NIS2 a sus leyes. Hoy se cumplen dos años y España sigue sin hacerlo. Pero que la ley no exista no significa que tu empresa pueda olvidarse del asunto.
La NIS2 es una directiva europea de ciberseguridad: fija qué deben hacer las empresas de sectores considerados importantes para proteger sus sistemas y cómo deben comunicar los incidentes. Como toda directiva, no se aplica sola. Cada país tiene que aprobar su propia ley para incorporarla, y eso es lo que en España está pendiente.
El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en el Consejo de Ministros en enero de 2025. Desde entonces no ha completado su tramitación ni se ha publicado en el BOE. Es decir, sabemos aproximadamente qué viene, pero no cuándo llegará.
En julio de 2026, la Comisión Europea decidió llevar a España, junto con Irlanda, Francia y los Países Bajos, ante el Tribunal de Justicia de la UE por no haber trasladado la directiva. Y no se limita a pedir un pronunciamiento: solicita que se impongan una multa a tanto alzado y multas diarias hasta que la transposición esté completa.
Ese paso cambia el tono del asunto. Mientras el retraso era una cuestión de calendario, podía alargarse. Con un procedimiento judicial en marcha y sanciones diarias sobre la mesa, la presión para aprobar la ley es mucho mayor. Y cuando una norma se aprueba con prisa, el margen de adaptación para las empresas suele ser corto.
La respuesta corta es no. Mientras no exista la ley española que defina las infracciones, no hay sanciones por NIS2. Pero quedarse con esa respuesta sería un error, porque la seguridad ya se exige por otras vías:
Este último punto es el que más está notando la pyme. La NIS2 obliga a las empresas afectadas a vigilar también la seguridad de su cadena de suministro, y muchas han empezado a hacerlo sin esperar al BOE. El resultado es un cuestionario que aparece un día en la bandeja de entrada del departamento de compras.
Imagina un taller de 30 personas que fabrica piezas para una gran empresa energética. Nunca ha oído hablar de la NIS2, pero su cliente le pregunta si usa doble factor, cada cuánto hace copias de seguridad y cómo avisaría de un incidente. De cómo responda puede depender la renovación del contrato. Para esa empresa, la NIS2 ya está aquí, aunque no le afecte directamente.
Prepara ahora un documento breve con tus medidas de seguridad: si tienes doble factor, cómo son tus copias, quién gestiona los parches y a quién se avisa ante un incidente. Cuando llegue el próximo cuestionario de un cliente, responderás en una tarde y con datos ciertos, en lugar de improvisar.
Cuando la ley se publique, entrará en vigor con poco margen. Y las medidas que exigirá no se improvisan en unas semanas:
Todo eso lleva meses de trabajo. Y, en cualquier caso, son buenas prácticas que reducen el riesgo hoy, con ley o sin ella. Un ataque no espera a que el BOE publique nada.
La ley llegará tarde. Los atacantes y los clientes exigentes, no.
El primer paso no es comprar nada, sino entender la situación. ¿Tu empresa estará obligada directamente o lo estará a través de sus clientes? ¿Qué medidas tienes ya funcionando y cuáles faltan? Con esas respuestas puedes ordenar el trabajo por prioridad y repartirlo en el tiempo, en lugar de afrontarlo todo de golpe cuando la ley tenga fecha.
En OLATIC hacemos ese análisis previo: si la NIS2 os afecta y en qué medida, qué cumplís ya y qué falta, ordenado por prioridad. Así, cuando llegue la ley, el trabajo estará hecho en su mayor parte y el próximo cuestionario de un cliente dejará de ser un problema.
Más de 1.400 correcciones en un solo mes y un fallo de Windows que ya se usa en ataques reales. Qué conviene parchear primero y qué versiones se quedan sin actualizaciones.
YAM Store vendía cuentas robadas de Microsoft 365 y kits para engañar a usuarios en tiempo real, incluso para pedirles el código de verificación. Qué aprender de ello.
Las empresas españolas víctimas de ransomware crecieron un 19 % en un año, según Zscaler. Cómo entran hoy los atacantes y las cinco medidas que más reducen el riesgo.
El calendario lo gestiona HubSpot. ¿No se ve bien? Ábrelo en una pestaña nueva
Detecta puntos débiles antes de que se conviertan en un incidente.
Te enviamos la checklist a . Si no la ves, mira en la carpeta de correo no deseado.
