Seguimiento de NIS2: en qué punto está cada país de la UE con la transposición
A fecha de 16 de octubre de 2026: hay una ley nacional de NIS2 en vigor en 24 de los 27 países de la UE. Todavía sin ley en vigor: España, Francia e Irlanda. El plazo de la UE para la transposición era el 17 de octubre de 2024. La tabla muestra, para cada país, la ley, la autoridad, el CSIRT y el estado.
El estado en cada país de la UE
Para cada país, la ley nacional, la autoridad principal, el CSIRT nacional y el estado. Cuando un país tiene página propia, su nombre enlaza a ella.
| País | Ley nacional | Autoridad competente | CSIRT nacional | Estado |
|---|---|---|---|---|
DEAlemania | NIS2UmsuCG / BSIG Alemania incumplió el plazo de la UE del 17 de octubre de 2024. La Comisión abrió un procedimiento de infracción en mayo de 2025. | BSI (Bundesamt für Sicherheit in der Informationstechnik) | CERT-Bund (BSI) | En vigor |
ATAustria | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) El NISG original (BGBl. I Nr. 111/2018) transponía NIS 1; sustituido por el NISG 2026 (BGBl. I Nr. 94/2025), en vigor el 1 de octubre de 2026. | Bundesamt für Cybersicherheit | GovCERT (public administration, run by the Bundesamt für Cybersicherheit), HealthCERT (health sector), national CSIRT (all other sectors), under §§ 8 to 11 NISG 2026 | En vigor |
BEBélgica | NIS2 Law (Loi NIS2) Uno de los primeros Estados miembros en transponer. Entrada en vigor el 18 de octubre de 2024. | CCB (Centre for Cybersecurity Belgium) | CERT.be (under CCB) | En vigor |
BGBulgaria | Cybersecurity Act (amended) | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | CERT Bulgaria | En vigor |
CZChequia | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti La anterior Ley de Ciberseguridad (Zákon č. 181/2014 Sb.) transponía NIS 1. Fue sustituida por la Ley 264/2025 Sb., en vigor desde el 1 de noviembre de 2025. | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | GovCERT.CZ (NÚKIB), CSIRT.CZ | En vigor |
CYChipre | Law on Security of Networks and Information Systems (Amendment) 2025 | DSA (Digital Security Authority) | CSIRT-CY | En vigor |
HRCroacia | Zakon o kibernetičkoj sigurnosti Adoptado en 2024. Modelo de supervisión sectorial. | NHCSC-HR (National Cybersecurity Center) | CERT.hr (CARNet) | En vigor |
LOV nr 434 af 06/05/2025 (NIS 2-loven) Dinamarca utiliza un modelo de supervisión sectorial. El CFCS, que opera el CSIRT nacional, forma parte de SAMSIK desde el 29 de enero de 2025. | SAMSIK (Styrelsen for Samfundssikkerhed) | CFCS (Centre for Cyber Security) | En vigor | |
Zákon o kybernetickej bezpečnosti | NBÚ (Národný bezpečnostný úrad) | SK-CERT (within NBÚ) | En vigor | |
ZInfV-1 (Information Security Act) | URSIV (Information Security Agency) | SI-CERT | En vigor | |
ESEspaña | - España opera un modelo de dos CSIRT. Supervisión sectorial a través del vigente Real Decreto 43/2021 (NIS 1). | CCN-CERT / INCIBE | CCN-CERT (public sector), INCIBE-CERT (private sector) | En redacción |
EEEstonia | Küberturvalisuse seadus Estonia transpuso rápidamente mediante una modificación de su Ley de Ciberseguridad de 2018. | RIA (Riigi Infosüsteemi Amet) | CERT-EE (within RIA) | En vigor |
Kyberturvallisuuslaki (124/2025) Ley de transposición Kyberturvallisuuslaki (124/2025) en vigor desde el 8 de abril de 2025. | Traficom + sector authorities (NCSC-FI as national CSIRT) | NCSC-FI (Kyberturvallisuuskeskus, within Traficom) | En vigor | |
FRFrancia | Loi Résilience (bundles NIS2 + DORA + CER) Superpuesto al régimen OIV / OSE existente previsto en el Code de la défense. Registro a través de MonEspaceNIS2. La Assemblée nationale retiró el proyecto de ley de transposición de las sesiones plenarias del 7 y 9 de octubre de 2026; no hay nueva fecha fijada (próxima Conférence des présidents el 20 de octubre de 2026). | ANSSI (Agence nationale de la sécurité des systèmes d'information) | CERT-FR (ANSSI) | Adoptada o en tramitación legislativa |
GRGrecia | Law No. 5160/2024 | NCSA (National Cyber Security Authority) | GR-CERT (within NCA) | En vigor |
HUHungría | Act LXIX of 2024 (Hungarian Cybersecurity Act) Hungría transpuso pronto mediante la Ley XXIII de 2023. Superpuesto con la SZTFH como autoridad de supervisión de la ciberseguridad. | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | National Cyber Defence Institute (NBSZ) | En vigor |
IEIrlanda | National Cyber Security Bill (draft) Proyecto de ley en trámite legislativo en las Houses of the Oireachtas; remitido al TJUE el 8 de julio de 2026. | NCSC (National Cyber Security Centre) | NCSC-IE | En redacción |
ITItalia | D.Lgs. 138/2024 Entrada en vigor el 16 de octubre de 2024. Uno de los pocos Estados miembros que cumplió el plazo de la UE. | ACN (Agenzia per la Cybersicurezza Nazionale) | CSIRT Italia (within ACN) | En vigor |
LVLetonia | Nacionālās kiberdrošības likums Letonia adoptó en 2024 la Ley Nacional de Ciberseguridad, transponiendo NIS 2. | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | CERT.LV | En vigor |
LTLituania | Kibernetinio saugumo įstatymas Lituania adoptó el acto de transposición a finales de 2024. | NKSC (National Cybersecurity Center) | CERT-LT (within NKSC) | En vigor |
Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité | ILR (Institut Luxembourgeois de Régulation) | CIRCL (Computer Incident Response Center Luxembourg) | En vigor | |
MTMalta | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) | CIPD (Critical Infrastructure Protection Department) | CSIRTMalta | En vigor |
Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 Cbw publicada el 10 de julio de 2026 (Stb. 2026, 187), en vigor el 15 de agosto de 2026. Sustituye a la Wbni (transposición NIS 1). | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | NCSC-NL | En vigor | |
PLPolonia | Amended KSC Act (ustawa o KSC) Modificación de la Ley sobre el Sistema Nacional de Ciberseguridad (Ustawa o KSC) en vigor desde el 3 de abril de 2026. El autorregistro en el registro se cerró el 3 de octubre de 2026. | Ministry of Digital Affairs / CSIRTs | CSIRT NASK, CSIRT GOV, CSIRT MON | En vigor |
PTPortugal | Decreto-Lei n.º 125/2025 | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | CERT.PT (within CNCS) | En vigor |
RORumanía | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 Rumanía transpuso mediante la OUG 155/2024 en diciembre de 2024. | DNSC (Directoratul Național de Securitate Cibernetică) | DNSC CSIRT | En vigor |
SESuecia | Cybersäkerhetslagen (SFS 2025:1506) | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | CERT-SE (within the NCSC at the FRA since 1 July 2026) | En vigor |
Entradas en vigor más recientes
Los países cuya ley entró en vigor más recientemente, empezando por la más nueva.
- Austria: en vigor desde el 1 de octubre de 2026
- Países Bajos: en vigor desde el 15 de agosto de 2026
- Luxemburgo: en vigor desde el 10 de mayo de 2026
- Polonia: en vigor desde el 3 de abril de 2026
- Portugal: en vigor desde el 3 de abril de 2026
Por qué los países están en fases distintas
NIS2 es una directiva. Se dirige a los Estados miembros. Cada país de la UE tiene que transponerla a su propia ley.
El plazo para ello era el 17 de octubre de 2024. Muchos países llegaron más tarde. Por eso la Comisión Europea abrió procedimientos contra varios países y llevó a algunos ante el Tribunal de Justicia de la UE.
Los deberes para las empresas solo nacen con la ley nacional. Hasta entonces, en un país pueden seguir aplicándose normas anteriores de la primera directiva NIS.
Art. 41(1) NIS 2
Qué significa esto para una empresa de 50 a 150 empleados
Lo más importante para su empresa es el país en el que está establecida. Si solo está establecida en Alemania, se le aplica la Ley del BSI, desde el 6 de diciembre de 2025.
El seguimiento le ayuda si tiene filiales o plantas en otros países de la UE. Allí, la ley de ese país decide si se aplican deberes y desde cuándo.
Una ley en vigor no significa que todos los plazos hayan vencido ya. Cada país fija su propio plazo de registro.
Qué país es competente para su empresaUn ejemplo
Una empresa inventada: un fabricante de maquinaria de embalaje con 110 empleados en Alemania, una planta propia en Polonia y una filial comercial en Irlanda.
La GmbH alemana: la fabricación de maquinaria figura en el Anexo 2 del BSIG y, con 110 empleados, es entidad importante. Se registra ante el BSI.
La planta de Polonia es una sociedad propia. Si el seguimiento muestra una ley en vigor para Polonia, la empresa comprueba si la planta está afectada según la ley polaca y hasta cuándo tiene que registrarse allí.
La filial comercial de Irlanda no fabrica nada por sí misma. Que entre en NIS2 depende de lo que hace. Si el seguimiento todavía no muestra ninguna ley en vigor para Irlanda, de una ley irlandesa de NIS2 aún no nacen deberes allí.
La empresa consulta el seguimiento una vez por trimestre. Eligió ese intervalo por sí misma.
Cómo lo hace el recorrido guiado
El recorrido guiado de nisd2.eu usa los mismos datos que esta tabla.
El paso de registro muestra la autoridad competente de su país y su portal, a partir de la misma lista que esta página.
Explica en qué país de la UE se registra, con las excepciones para las telecomunicaciones y los proveedores digitales.
Las medidas de seguridad siguen la lista mínima de la directiva, que se aplica en todos los países de la UE.
Las explicaciones del recorrido guiado están disponibles en alemán y en inglés.
Páginas sobre países concretos
Bundesamt für Cybersicherheit
CCB (Centre for Cybersecurity Belgium)
Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)
DSA (Digital Security Authority)
NHCSC-HR (National Cybersecurity Center)
SAMSIK (Styrelsen for Samfundssikkerhed)
NBÚ (Národný bezpečnostný úrad)
URSIV (Information Security Agency)
CCN-CERT / INCIBE
RIA (Riigi Infosüsteemi Amet)
Traficom + sector authorities (NCSC-FI as national CSIRT)
ANSSI (Agence nationale de la sécurité des systèmes d'information)
NCSA (National Cyber Security Authority)
SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága)
NCSC (National Cyber Security Centre)
ACN (Agenzia per la Cybersicurezza Nazionale)
NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV
NKSC (National Cybersecurity Center)
ILR (Institut Luxembourgeois de Régulation)
CIPD (Critical Infrastructure Protection Department)
NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor)
Ministry of Digital Affairs / CSIRTs
CNCS (Centro Nacional de Cibersegurança) + CERT.PT
DNSC (Directoratul Național de Securitate Cibernetică)
NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE
Preguntas frecuentes
¿Qué países han transpuesto NIS2?
A fecha de 16 de octubre de 2026, hay una ley nacional de NIS2 en vigor en 24 de los 27 países de la UE. La tabla de arriba muestra, para cada país, la ley, la autoridad y el estado.
¿Qué países todavía no han transpuesto NIS2?
A fecha de 16 de octubre de 2026, todavía no hay ninguna ley nacional en vigor en: España, Francia e Irlanda.
¿Qué es un CSIRT?
Un CSIRT (equipo de respuesta a incidentes de seguridad informática) es un equipo que recibe las notificaciones de incidentes de seguridad en un país y ayuda a gestionarlos. Cada país de la UE designa al menos uno (art. 10 NIS 2). En Alemania es CERT-Bund, en el BSI.
¿Qué tan actualizado está el seguimiento?
La tabla tiene fecha de 16 de octubre de 2026. Las fuentes de referencia son el diario oficial de cada país y la visión general de la Comisión Europea, citados abajo.
Fuentes
- Directiva (UE) 2022/2555 (NIS 2), arts. 10 y 41, EUR-Lex
- Comisión Europea, estado de la transposición de NIS 2: digital-strategy.ec.europa.eu/en/policies/nis-transposition
- Comisión Europea, procedimientos de infracción por no comunicar la transposición (cartas de emplazamiento del 28 de noviembre de 2024, dictámenes motivados del 7 de mayo de 2025, recursos ante el Tribunal de Justicia de la UE del 8 de julio de 2026, IP/26/1499)
- Diarios oficiales nacionales, como el BGBl (DE), el Moniteur belge / Belgisch Staatsblad (BE), la Gazzetta Ufficiale (IT), el BOE (ES), el JORF (FR) o la Sbírka zákonů (CZ)
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
