Dónde está exactamente el expediente
Las fechas, sin adornos:
- 17 de octubre de 2024 — vencía el plazo para transponer la Directiva (UE) 2022/2555. España no lo cumplió.
- 14 de enero de 2025 — el Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es el vehículo elegido.
- 7 de mayo de 2025 — dictamen motivado de la Comisión a 19 Estados miembros, España entre ellos.
- 8 de julio de 2026 — la Comisión remite a España, Irlanda, Francia y Países Bajos al Tribunal de Justicia de la UE, y pide sanciones: una suma a tanto alzado más multas diarias hasta que se notifique la transposición completa.
El anteproyecto sigue sin publicarse en el BOE. No hay fecha cierta, y conviene desconfiar de quien la dé: el procedimiento judicial y el legislativo avanzan por separado.
Lo que la falta de ley NO significa
Aquí toca ser preciso, porque se argumenta en las dos direcciones y ambas exageran.
No es cierto que no pase nada. Pero tampoco es cierto —como sí ocurre con la transparencia salarial— que un particular pueda invocar hoy la directiva contra tu empresa. NIS2 impone sobre todo obligaciones al Estado: designar autoridades, montar el registro, articular la supervisión. Sin esa arquitectura nacional no hay quien supervise ni a quién notificar.
Dicho de otro modo: hoy no hay un régimen sancionador nacional operativo. Quien te diga que ya te pueden multar con 10 millones está vendiendo miedo.
Por dónde llega la exigencia de verdad
Por los contratos. Es la parte práctica que se cuenta poco.
Las entidades que sí están claramente en el ámbito de NIS2 —energía, banca, sanidad, transporte, infraestructura digital, administraciones— tienen que responder de la seguridad de su cadena de suministro. Y lo trasladan a sus proveedores por la única vía que tienen: el contrato.
Por eso muchas empresas que no aparecen en ningún anexo están recibiendo cuestionarios de seguridad, cláusulas de notificación de incidentes y exigencias de evidencias. No porque una ley española se lo imponga, sino porque su cliente sí está obligado.
Ese es el calendario que de verdad manda, y no espera al BOE.
Qué construir ahora, sin sobredimensionar
Lo que pedirá la ley cuando llegue y ya piden los contratos:
- Saber si estás en el ámbito. Los anexos I y II cubren dieciocho sectores, con umbral general de 50 personas o 10 M€. Muchas organizaciones descubren que entran y muchas otras que no.
- Capacidad de notificar rápido. La directiva plantea tres pasos: alerta temprana en 24 horas, notificación en 72 y un informe final. Sin un procedimiento escrito, 24 horas no dan.
- Cadena de suministro. Verificación, no solo cláusula firmada. Es donde más falla la práctica actual.
- Implicación de la dirección. NIS2 exige formación y responsabilidad del órgano de gobierno, con trazabilidad de sus decisiones. Un acta que recoja qué se decidió y cuándo vale más que un informe técnico sin firmar.
Y algo que ya tienes si has trabajado el RGPD: el artículo 32 exige seguridad del tratamiento, y la notificación de brechas de datos ya te obliga a detectar y comunicar incidentes. El solape es grande y no hay que empezar de cero.
Preguntas frecuentes
¿Está NIS2 transpuesta en España?
No. Verás fuentes que dicen lo contrario, pero el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación y sin publicarse en el BOE. La Comisión Europea remitió a España al Tribunal de Justicia de la UE el 8 de julio de 2026 por esa falta de transposición.
Entonces, ¿pueden multarme ya?
No hay un régimen sancionador nacional operativo mientras no exista la ley que designe autoridades y articule la supervisión. Quien afirme que hoy te pueden multar con 10 millones te está vendiendo miedo.
¿Por qué me pide entonces mi cliente evidencias de ciberseguridad?
Porque él sí está obligado y debe responder de la seguridad de su cadena de suministro. Traslada la exigencia por contrato, y ese calendario no espera a la ley española.
¿Cuándo se aprobará la ley?
No hay fecha cierta y conviene desconfiar de quien la dé. El procedimiento ante el Tribunal aumenta la presión política, pero avanza por separado del trámite parlamentario.
Contenido revisado contra las fuentes oficiales el 2026-08-24. Las normas cambian: si lees esto mucho después, confirma las fechas.