¿Está en vigor la NIS2 en España en octubre de 2026?
No como ley española. La Directiva (UE) 2022/2555 entró en vigor en la Unión en enero de 2023 y los Estados tenían hasta el 17 de octubre de 2024 para incorporarla. España no lo ha hecho: a 18 de octubre de 2026 no hay ley de transposición en el BOE.
2 años
de retraso: el artículo 41 de la NIS2 fijaba el 17 de octubre de 2024 como límite para publicar la ley nacional.
Una directiva no es un reglamento: según el artículo 288 del Tratado de Funcionamiento de la UE, obliga al Estado en cuanto al resultado y le deja la forma y los medios. La ley española dirá qué empresas quedan dentro, quién las supervisa y con qué multas.
¿Qué ha pasado con la NIS2 en España desde 2022?
Cinco fechas explican el estado actual: el plazo incumplido (17-10-2024), el anteproyecto de ley (14-01-2025), el dictamen motivado de la Comisión (07-05-2025), la decisión de llevar a España al Tribunal de Justicia (08-07-2026) y la disolución de las Cortes (06-10-2026). Ninguna ha producido todavía una ley.
14-12-2022
Se adopta la Directiva (UE) 2022/2555
En vigor desde enero de 2023 (art. 45).
17-10-2024
Vence el plazo de transposición
La ley nacional debía aplicarse desde el 18-10-2024 (art. 41).
28-11-2024
Carta de emplazamiento de la Comisión Europea
Primer paso del procedimiento de infracción.
14-01-2025
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
No llega a remitirse a las Cortes.
07-05-2025
Dictamen motivado de la Comisión
Segundo paso, con plazo para cumplir.
08-07-2026
La Comisión decide llevar a España ante el Tribunal de Justicia
Pide una suma a tanto alzado y multas diarias. También a Irlanda, Francia y Países Bajos.
06-10-2026
Se disuelven el Congreso y el Senado
Real Decreto 806/2026. Lo pendiente caduca.
29-11-2026
Elecciones generales
El Gobierno queda en funciones y no puede presentar proyectos de ley.
23-12-2026
Se constituyen las nuevas Cortes
El proyecto de ley tendrá que presentarlo el nuevo Gobierno.
Fuente: Comisión Europea, 8-7-2026, consultado el .
¿En qué punto está la Ley de Coordinación y Gobernanza de la Ciberseguridad?
Sigue siendo un anteproyecto. El Consejo de Ministros lo aprobó el 14 de enero de 2025 para que pasara por los informes previos, y no llegó a aprobarlo como proyecto de ley. En los datos abiertos del Congreso no figura entre los 115 proyectos de ley de la legislatura que acaba de terminar.
El procedimiento tiene dos vueltas (artículo 26 de la Ley 50/1997, del Gobierno): en la primera se aprueba el anteproyecto y se piden informes; en la segunda, el proyecto de ley sale hacia el Congreso. La segunda no llegó.
0 de 115
proyectos de ley de la XV Legislatura son la ley de ciberseguridad. Los que seguían en trámite figuran como caducados.
Del contenido se sabe lo que publicó el Departamento de Seguridad Nacional: crea un Centro Nacional de Ciberseguridad, adscrito a la Presidencia del Gobierno, como autoridad competente única. Es un borrador: el próximo Gobierno puede retomarlo, cambiarlo o redactar otro.
¿Qué cambia para la NIS2 con la disolución de las Cortes y las elecciones del 29 de noviembre?
Deja la ley española de la NIS2 para la próxima legislatura. El Real Decreto 806/2026, publicado en el BOE el 6 de octubre, disolvió el Congreso y el Senado, convocó elecciones para el 29 de noviembre y cita a las nuevas Cámaras el 23 de diciembre. Lo que estaba en trámite caduca.
Elecciones el 29 de noviembre. Lo pendiente en el Congreso ya caducó (art. 207 de su Reglamento).
Las nuevas Cortes se constituyen el 23 de diciembre de 2026.
Investidura. Hasta entonces, el Gobierno en funciones no puede presentar proyectos de ley (art. 21.5.b de la Ley 50/1997).
¿El nuevo Gobierno retoma el anteproyecto de 2025?
- Sí
- Lo aprueba como proyecto de ley y lo envía al Congreso.
- No
- Prepara otro texto, que empieza de nuevo el procedimiento.
Tramitación en el Congreso y el Senado, y publicación en el BOE.
Queda una vía excepcional: el real decreto-ley de «extraordinaria y urgente necesidad» (artículo 86 de la Constitución), que con las Cámaras disueltas convalida la Diputación Permanente (art. 78.2). Desde la disolución, el BOE no ha publicado ninguno sobre la NIS2.
¿Qué ha hecho la Comisión Europea con España por no transponer la NIS2?
Ha seguido los tres pasos del procedimiento de infracción. Envió una carta de emplazamiento el 28 de noviembre de 2024, un dictamen motivado el 7 de mayo de 2025 y, el 8 de julio de 2026, decidió llevar a España ante el Tribunal de Justicia, junto con Irlanda, Francia y Países Bajos.
La Comisión pide una suma a tanto alzado y multas diarias. Si el Tribunal las impone, las paga el Estado, no las empresas (artículo 260.3 del Tratado de Funcionamiento de la UE). El pleito no te crea obligaciones nuevas.
¿Qué norma de ciberseguridad se aplica hoy en España si no hay ley de la NIS2?
La de 2018. El Real Decreto-ley 12/2018 y su reglamento, el Real Decreto 43/2021, siguen vigentes para los operadores de servicios esenciales y para los proveedores de mercados en línea, buscadores y nube de tamaño mediano o grande. Además rigen el RGPD y, para quien da servicio al sector público, el ENS.
| Norma | A quién obliga | Qué exige, en resumen |
|---|---|---|
| Real Decreto-ley 12/2018 | Operadores de servicios esenciales y proveedores digitales medianos o grandes (mercados en línea, buscadores y nube) | Medidas proporcionadas y notificar los incidentes significativos |
| Real Decreto 43/2021 | Operadores de servicios esenciales | Política de seguridad aprobada por la dirección y un responsable de seguridad designado |
| RGPD, artículo 32 | Toda empresa que trate datos personales | Medidas apropiadas al riesgo y capacidad de restaurar los datos |
| Esquema Nacional de Seguridad (Real Decreto 311/2022) | Sector público y empresas que le prestan servicios | Conformidad con el ENS, que el pliego puede pedir acreditar |
Si la NIS2 te alcanzará cuando haya ley lo dicen el umbral de la NIS2 y los sectores por CNAE. Para la Administración, mira el Esquema Nacional de Seguridad.
¿Quién supervisa la ciberseguridad en España mientras no hay ley de la NIS2?
Las autoridades del Real Decreto-ley 12/2018. Los equipos de respuesta de referencia son INCIBE-CERT para las empresas privadas y CCN-CERT para el sector público. Supervisa la autoridad de cada sector, el CNPIC si el operador es crítico, o la Secretaría de Estado de Digitalización e Inteligencia Artificial si es un proveedor digital.
| Papel | Hoy (Real Decreto-ley 12/2018) | Anteproyecto de 2025 |
|---|---|---|
| Autoridad competente | Varias según el caso: sectorial, CNPIC, Digitalización o CCN (art. 9) | Un Centro Nacional de Ciberseguridad como autoridad única |
| Equipo de respuesta a incidentes | INCIBE-CERT (privadas) y CCN-CERT (sector público), art. 11 | La nota oficial no lo detalla |
| Punto de contacto único con la UE | El Departamento de Seguridad Nacional (art. 13) | El Centro Nacional de Ciberseguridad |
Para consultas, INCIBE atiende en el 017. Si el incidente afecta a datos personales, el plazo del RGPD está en la guía de la brecha de datos en 72 horas.
¿Qué significa para una pyme que la NIS2 no tenga ley española?
Menos de lo que parece. Sin ley, ninguna autoridad española puede multarte por la NIS2. Pero tus clientes sí pueden exigirte medidas por contrato, sobre todo si están en otro país de la UE con ley propia o si se preparan para la española. Esa exigencia llega como cuestionario, cláusula u homologación.
La puerta de entrada es el artículo 21 de la NIS2: cada entidad debe cuidar la seguridad de su cadena de suministro. Y según la Comisión, la mayoría de los Estados ya la ha transpuesto: un cliente de otro país de la UE puede aplicarla ya.
| Situación | Qué te pueden pedir | Qué te conviene tener a mano |
|---|---|---|
| Empresa española mediana o grande de un sector de la NIS2 | Cuestionario o cláusulas que se adelantan a la ley | Las medidas del artículo 21.2, con una prueba de cada una |
| Cliente de otro país de la UE que ya tiene su ley | Los requisitos de su ley, por contrato | Evidencias fechadas de lo que pide el contrato |
| Administración pública | Conformidad con el ENS en el pliego | Declaración o certificación de conformidad con el ENS |
| Ninguno de los anteriores | Nada por la NIS2 | Lo básico: copias probadas, doble factor y equipos al día |
Si el cuestionario ya ha llegado, tienes una plantilla para responderlo y qué contestar cuando no cumples un control.
¿Qué conviene hacer mientras no hay ley española de la NIS2?
Preparar lo que no va a cambiar. Las diez medidas del artículo 21.2 y los plazos de aviso de 24 horas, 72 horas y un mes ya están en la directiva, y la ley española tendrá que recogerlos. Lo que falta saber es quién te supervisará y con qué multas.
Saber si te toca
- Calcula tu tamaño con personal, facturación y balance
- Comprueba si tu actividad está en los anexos I o II
- Haz la lista de clientes que sí pueden estar obligados
Tener las medidas
- Análisis de riesgos y política de seguridad aprobada por la dirección
- Copias de seguridad con restauración probada
- Doble factor en correo, accesos remotos y cuentas de administración
- Un plan para dar la alerta de un incidente en 24 horas
Poder demostrarlo
- Una prueba fechada por cada medida
- El registro de la formación, también la de la dirección
La lista completa está en el checklist de la NIS2, y lo que se pide a quien dirige, en la responsabilidad de la dirección. Talvit aplica las medidas y te entrega cada mes el dossier con las pruebas, con presupuesto aparte de la cuota de 29 € por puesto y mes (IVA no incluido).
Lo que esta guía no cubre
- Si la directiva puede invocarse directamente contra una empresa sin ley española: es una cuestión jurídica que debe valorar un abogado.
- El articulado del anteproyecto de 2025: es un borrador y la ley final puede ser distinta.
- Las normas sectoriales de banca y seguros (Reglamento DORA) o de operadores críticos (Ley 8/2011).
Preguntas frecuentes
¿Desde cuándo será obligatoria la NIS2 en España?
Desde la fecha que fije la ley española, cuando se apruebe. Hoy no hay ninguna: el texto de 2025 era un anteproyecto y las Cortes están disueltas. Esta página se actualiza en cuanto haya un paso nuevo en el Consejo de Ministros, el Congreso o el BOE.
¿Puedo esperar a que haya ley antes de hacer nada?
Puedes, si ningún cliente te lo pide. Pero un cuestionario o una cláusula pueden llegar antes que la ley, y responderlos exige medidas puestas y pruebas fechadas.
¿Qué multas tendrá la NIS2 en España?
Las fijará la ley española. Según el artículo 34 de la directiva, cada país fija un máximo de, como mínimo, 10 millones de euros o el 2 % del volumen de negocio mundial anual, lo que sea mayor, en las entidades esenciales; en las importantes, 7 millones o el 1,4 %. Hoy rigen las del Real Decreto-ley 12/2018, de hasta 1 millón.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), consultado el
- Directiva (UE) 2022/2555, art. 41, consultado el
- Directiva (UE) 2022/2555, art. 21, consultado el
- Comisión Europea, 8-7-2026, consultado el
- Departamento de Seguridad Nacional, anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, consultado el
- Congreso, datos abiertos de iniciativas, consultado el
- Real Decreto 806/2026, de disolución de las Cortes (BOE de 6-10-2026), consultado el
- Ley 50/1997, del Gobierno, art. 26 (elaboración de las leyes), consultado el
- Ley 50/1997, del Gobierno, art. 21 (Gobierno en funciones), consultado el
- Reglamento del Congreso de los Diputados, art. 207, consultado el
- Constitución Española, arts. 78 y 86, consultado el
- Tratado de Funcionamiento de la UE, art. 288, consultado el
- Tratado de Funcionamiento de la UE, art. 260, consultado el
- Real Decreto-ley 12/2018 (BOE), consultado el
- Real Decreto 43/2021, que desarrolla el Real Decreto-ley 12/2018, consultado el
- Real Decreto 311/2022, Esquema Nacional de Seguridad, art. 2, consultado el
- Reglamento (UE) 2016/679 (RGPD), art. 32, consultado el
Registro de cambios
- : Publicación.
- : Las multas máximas, dichas como el artículo 34: «como mínimo» y «lo que sea mayor». Y una nota sobre lo que un cliente puede comprobar desde fuera.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
