La directiva NIS2 en España lleva más de un año pendiente de transposición, y Bruselas ha perdido la paciencia. El 1 de junio de 2026, el diario Moncloa desveló que la Comisión Europea ha enviado una segunda advertencia formal al Gobierno de Pedro Sánchez exigiéndole transponer «con urgencia» la directiva de ciberseguridad NIS2, cuyo plazo venció el 17 de octubre de 2024. La carta, firmada por Henna Virkkunen, vicepresidenta ejecutiva de Soberanía Tecnológica de la UE, es el paso previo a demandar a España ante el Tribunal de Justicia de la Unión Europea, con la posibilidad de imponer multas diarias de hasta 30.000 euros. Mientras el Anteproyecto de Ley español sigue bloqueado en el Congreso, los ciberataques en España crecieron un 26% en 2025.
Para las empresas españolas, el retraso legislativo no es una excusa: las obligaciones de la directiva NIS2 son aplicables desde que venció el plazo, y los inspectores ya están activos en 2026. ¿Sabe tu empresa si está dentro del ámbito de NIS2, y qué debe hacer para cumplir?
Qué ha pasado: Bruselas da un ultimátum a España por el retraso en NIS2
La noticia publicada el 1 de junio de 2026 confirma que la Comisión Europea ha escalado formalmente su presión sobre España. El expediente de infracción INFR(2024)0270, abierto en noviembre de 2024, sigue su curso y la segunda carta de advertencia enviada por Virkkunen el 19 de mayo de 2026 es el último aviso antes del recurso judicial.
El plazo para que los Estados miembros incorporaran la Directiva NIS2 (UE 2022/2555) a sus ordenamientos jurídicos nacionales venció el 17 de octubre de 2024. El Consejo de Ministros español aprobó un Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, pero la norma lleva más de un año paralizada en el Congreso de los Diputados por falta de mayoría parlamentaria.
Las consecuencias del bloqueo son graves en términos de seguridad nacional. Según el CCN-CERT, España sufrió más de 122.000 incidentes de ciberseguridad en 2025, un 26% más que el año anterior, con cerca de 2.000 ciberataques semanales. Organismos clave como la Policía Nacional, la Guardia Civil o el Consejo de Seguridad Nacional han sufrido brechas graves en los últimos meses. La directiva NIS2, de haber estado ya traspuesta, habría obligado a notificar estos incidentes en 24 horas y a auditar previamente los proveedores tecnológicos implicados.
Puedes consultar la cobertura completa de esta situación en el reportaje de Moncloa sobre el ultimátum de Bruselas a España.
Por qué el retraso en la transposición de NIS2 afecta directamente a tu empresa
El debate político en el Congreso no exime a las empresas españolas de sus obligaciones. Aunque España no haya publicado todavía la ley nacional de trasposición de NIS2, el principio de efecto directo de las directivas europeas es claro: una vez vencido el plazo de trasposición, las empresas no pueden invocar la inacción del legislador nacional para evitar el cumplimiento de las obligaciones que derivan directamente de la propia directiva.
Dicho de forma práctica: si tu empresa entra dentro del ámbito de aplicación de NIS2, está obligada a cumplir sus exigencias aunque la ley española no esté publicada. Las inspecciones ya han comenzado en 2026 y la excusa de «estamos esperando a la ley nacional» no es válida.
¿A qué empresas obliga NIS2 en España?
La directiva NIS2 amplía significativamente el ámbito de aplicación respecto a su predecesora NIS1. En España quedan obligadas las organizaciones que cumplan simultáneamente dos condiciones:
- Tamaño: más de 50 empleados O facturación superior a 10 millones de euros anuales.
- Sector: operar en uno de los 18 sectores recogidos en los Anexos I y II de la directiva.
Los sectores de alta criticidad (Anexo I) incluyen: energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable, aguas residuales, infraestructuras digitales, gestión de servicios TIC, administración pública y espacio. Los sectores críticos (Anexo II) comprenden: servicios postales, gestión de residuos, fabricación de productos químicos, producción y distribución alimentaria, fabricación de determinados productos industriales, proveedores de servicios digitales e investigación.
Si tienes dudas sobre si tu empresa queda afectada, el INCIBE ofrece una herramienta para verificarlo en su página de FAQ sobre NIS2, donde también puedes consultar las obligaciones específicas.
Qué exige la Directiva NIS2 a las empresas obligadas
La directiva NIS2, cuyo texto completo puede consultarse en EUR-Lex, establece un conjunto de obligaciones concretas que las organizaciones afectadas deben implementar:
1. Gestión de riesgos de ciberseguridad
Las entidades deben adoptar medidas técnicas, operativas y organizativas para gestionar los riesgos que amenacen la seguridad de sus redes y sistemas de información. Esto incluye políticas de seguridad de la información, evaluaciones de riesgo periódicas, planes de continuidad de negocio y procedimientos de recuperación ante desastres.
2. Notificación de incidentes en 24 horas
Uno de los cambios más exigentes es el plazo de notificación. Los incidentes significativos deben comunicarse a las autoridades competentes en un máximo de 24 horas desde su detección (alerta temprana), con un informe de incidente completo en 72 horas. Esta obligación implica contar con sistemas de detección y protocolos de respuesta bien definidos.
3. Auditoría y gestión de proveedores tecnológicos
Las empresas obligadas deben evaluar y gestionar los riesgos de ciberseguridad asociados a su cadena de suministro tecnológica. Esto significa revisar los contratos con proveedores de software, hardware y servicios en la nube, e incluir cláusulas de ciberseguridad y auditoría. En el contexto español, esta obligación adquiere especial relevancia ante el debate sobre el uso de tecnología de proveedores considerados de alto riesgo por la UE.
4. Responsabilidad personal de los directivos
NIS2 introduce un cambio cultural de gran calado: los órganos de dirección son personalmente responsables del cumplimiento de las obligaciones de ciberseguridad. Los CEOs y consejos de administración pueden ser inhabilitados temporalmente si se acredita negligencia demostrable en la gestión de los riesgos que haya derivado en un incidente grave. La ciberseguridad deja de ser «un problema del departamento de IT» para convertirse en una responsabilidad de la alta dirección.
5. Formación obligatoria en ciberseguridad
Los miembros de los órganos de dirección deben recibir formación específica en ciberseguridad. La directiva exige que las organizaciones también promuevan formación similar entre todos sus empleados para estar en condiciones de evaluar y reducir los riesgos de manera informada.
Qué deben hacer las empresas españolas ante el retraso en la transposición de NIS2
La clave es no esperar a la aprobación de la ley española. Estas son las medidas prioritarias que toda empresa potencialmente afectada debe tomar ahora:
- Verificar si la empresa entra en el ámbito de NIS2: Revisar el número de empleados, la facturación y el sector de actividad frente a los Anexos I y II de la directiva.
- Realizar una auditoría de brecha (gap analysis): Comparar el estado actual de ciberseguridad de la empresa con las exigencias de NIS2 para identificar las áreas de mejora prioritarias.
- Implantar una política de gestión de incidentes: Establecer protocolos claros para detectar, responder y notificar incidentes en los plazos que exige la directiva.
- Revisar contratos con proveedores TIC: Actualizar los acuerdos con proveedores de tecnología para incluir cláusulas de ciberseguridad, auditoría y gestión del riesgo en la cadena de suministro.
- Formar al equipo directivo: Asegurar que los órganos de gobierno conocen sus responsabilidades bajo NIS2 y reciben la formación adecuada.
En DataIbérica contamos con servicios de adecuación normativa que incluyen análisis de brecha NIS2, revisión de políticas de ciberseguridad y asesoramiento en gestión del riesgo tecnológico adaptados a las necesidades de cada empresa.
Preguntas frecuentes sobre NIS2 y las empresas españolas
¿Cuándo entra en vigor NIS2 para las empresas españolas si la ley nacional no está publicada?
Las obligaciones de NIS2 son exigibles desde el 17 de octubre de 2024, fecha en que venció el plazo de trasposición. Aunque España no haya publicado aún su ley nacional, el principio de efecto directo de las directivas europeas permite a las autoridades exigir el cumplimiento una vez superado ese plazo. Las empresas afectadas no deben esperar a la aprobación de la norma española para empezar a cumplir.
¿Qué sanciones puede imponer NIS2 a las empresas incumplidoras?
La directiva establece multas de hasta 10 millones de euros o el 2% de la facturación mundial anual (la mayor de las dos cifras) para las entidades de alta criticidad del Anexo I, y hasta 7 millones de euros o el 1,4% del volumen de negocio para las entidades del Anexo II. Además, los directivos pueden ser inhabilitados personalmente si se prueba negligencia grave.
¿Obliga NIS2 a las pequeñas empresas con menos de 50 empleados?
En principio, NIS2 no aplica a microempresas y pequeñas empresas (menos de 50 empleados y menos de 10 millones de euros de facturación), salvo excepciones para determinadas entidades críticas por su singularidad o posición en la cadena de suministro. Sin embargo, las pequeñas empresas que actúan como proveedoras de entidades obligadas deberán cumplir con los requisitos contractuales de seguridad que estas les impongan.
¿Cuál es la diferencia entre NIS2 y el Esquema Nacional de Seguridad (ENS)?
El ENS es una normativa española aplicable a las Administraciones Públicas y sus proveedores, mientras que NIS2 es una directiva europea que aplica a empresas privadas de sectores críticos. Aunque comparten objetivos de ciberseguridad, tienen ámbitos de aplicación y obligaciones distintas. Muchas organizaciones tendrán que cumplir simultáneamente con ambas normativas.
Conclusión
El ultimátum de Bruselas a España por el retraso en NIS2 es una llamada de atención que las empresas españolas no pueden ignorar. Con más de 122.000 incidentes de ciberseguridad registrados en 2025 y las inspecciones ya en marcha, el plazo para adaptarse se acorta. Los directivos que ignoren las obligaciones de NIS2 se exponen a sanciones millonarias y a una responsabilidad personal que puede llegar a la inhabilitación. La ciberseguridad ha dejado de ser una opción y se ha convertido en una obligación legal con consecuencias directas. Si necesitas revisar el cumplimiento de tu empresa con NIS2 u otras normativas, contacta con DataIbérica.
