La Directiva NIS2 (UE 2022/2555) refuerza la ciberseguridad en Europa y amplía el número de empresas obligadas a proteger sus sistemas frente a ciberataques. Su objetivo es mejorar la prevención, la respuesta ante incidentes y la continuidad de servicios esenciales para la economía y la sociedad.
El plazo para incorporar la Directiva a la legislación española terminó el 17 de octubre de 2024. Sin embargo, España todavía no ha completado la transposición. En enero de 2025, el Gobierno aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, pero la norma sigue pendiente. En julio de 2026, la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la Unión Europea por este incumplimiento.
¿A qué empresas afectará?
Actualmente, España dispone de un marco normativo propio, basado principalmente en el Real Decreto-ley 12/2018 y su normativa de desarrollo, que afecta a operadores de servicios esenciales y determinados proveedores de servicios digitales. La transposición de NIS2 ampliará el alcance de estas obligaciones a más entidades públicas y privadas.
La Directiva contempla 18 sectores, entre ellos la energía, el transporte, la banca, la sanidad, el suministro de agua, las infraestructuras digitales, los servicios postales, la gestión de residuos, la industria química, la producción y distribución de alimentos y determinados fabricantes y proveedores tecnológicos.
En general, quedarán incluidas las empresas medianas y grandes que desarrollen actividades en los sectores contemplados, así como determinadas entidades con independencia de su tamaño. Por ello, compañías que hasta ahora no estaban sujetas directamente a obligaciones específicas de este tipo deberán evaluar si entran en el nuevo marco.
¿Qué cambiará con la transposición?
Las empresas afectadas tendrán que implantar medidas técnicas y organizativas para gestionar los riesgos de ciberseguridad. Esto incluye proteger sus sistemas, controlar las vulnerabilidades, garantizar la seguridad de sus proveedores y disponer de planes de respuesta y recuperación ante incidentes.
También deberán notificar los incidentes significativos conforme a los plazos establecidos por la Directiva: una alerta inicial en un máximo de 24 horas y una notificación posterior en un máximo de 72 horas, seguida de un informe final según los requisitos aplicables.
Otro cambio fundamental será el papel de la dirección. Los órganos de administración deberán aprobar y supervisar las medidas de ciberseguridad, además de adquirir los conocimientos necesarios para comprender y evaluar los riesgos. El incumplimiento podrá dar lugar a inspecciones, medidas correctoras y sanciones económicas.
¿Qué deben hacer las empresas?
Aunque España todavía no ha aprobado la ley de transposición, las organizaciones pueden empezar a evaluar su posible inclusión en el ámbito de NIS2, revisar sus medidas de seguridad e identificar deficiencias en la gestión de riesgos, la respuesta a incidentes y el control de proveedores.
La nueva regulación supone un cambio importante: la ciberseguridad deja de ser únicamente una cuestión técnica para convertirse también en una responsabilidad de gestión y cumplimiento normativo. Anticiparse permitirá a las empresas prepararse para las nuevas exigencias, reducir su exposición a ciberataques y limitar posibles consecuencias legales y operativas.