Estado de NIS 2 en España
Qué exige la directiva, en qué punto está la transposición española, y cómo encajan el CCN e INCIBE mientras tanto.
Resumen
La directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluida España, con un único suelo de ciberseguridad para las entidades esenciales e importantes. España tiene que incorporar ese suelo al Derecho español y aplicar un régimen de supervisión bajo él.
España incumplió el plazo de transposición del 17 de octubre de 2024 fijado en el artículo 41 de NIS 2. El Consejo de Ministros aprobó un Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025. En marzo de 2026 el Gobierno dijo que los ministerios seguían tramitando el texto como Anteproyecto (un borrador del Gobierno), y no se ha publicado en el Boletín Oficial del Estado.
Hasta que el proyecto se convierta en ley, el anterior Real Decreto-ley 12/2018 (la transposición de NIS 1) sigue aplicándose. Conforme a él, la supervisión se reparte: el Ministerio del Interior (CNPIC) para los operadores designados como críticos, el ministerio competente para los demás operadores de servicios esenciales, la Secretaría de Estado de Digitalización para los proveedores de servicios digitales y el CCN para el sector público. INCIBE-CERT y CCN-CERT son los equipos de respuesta a incidentes, no supervisores. La Comisión envió un dictamen motivado el 7 de mayo de 2025 y el 8 de julio de 2026 remitió a España al Tribunal de Justicia de la UE, pidiendo una suma a tanto alzado y multas diarias hasta que España notifique la transposición completa.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad de toda la UE. Fija las obligaciones que todo Estado miembro debe transponer, incluidas las pruebas de tamaño y sector para las entidades esenciales e importantes. La versión española auténtica se publica en EUR-Lex.
Implementación de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Medidas técnicas y metodológicas para los proveedores de infraestructura digital. Directamente aplicable en España sin transposición nacional.
Transposición española (en proceso)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Aprobado por el Consejo de Ministros el 14 de enero de 2025. El texto crea un Centro Nacional de Ciberseguridad, adscrito a la Secretaría General de la Presidencia del Gobierno, como punto de contacto único con la UE y autoridad para las crisis de ciberseguridad. La supervisión correspondería a tres autoridades de control: la Oficina de Coordinación de Ciberseguridad del Ministerio del Interior, el Centro Criptológico Nacional (Defensa) y la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales. En marzo de 2026 el texto seguía siendo un Anteproyecto (un borrador del Gobierno) y no se ha publicado en el BOE; hasta que se promulgue, el anterior Real Decreto-ley 12/2018 (transposición de NIS 1) continúa aplicándose.
Ley de Coordinación y Gobernanza de la Ciberseguridad (proyecto)
El proyecto incorpora las obligaciones de NIS 2 al Derecho español, define las entidades esenciales e importantes, fija competencias de supervisión, deberes de notificación de incidentes y sanciones. Hasta que la ley se publique en el BOE, la directiva vincula al Estado español, no a las empresas españolas; lo que se aplica hoy a las empresas es el Real Decreto-ley 12/2018, para las designadas conforme a él.
Centro Nacional de Ciberseguridad propuesto y autoridades de control
El proyecto crea un Centro Nacional de Ciberseguridad, adscrito a la Secretaría General de la Presidencia del Gobierno, como punto de contacto único con la UE y autoridad para las crisis de ciberseguridad. La supervisión correspondería a tres autoridades de control: la Oficina de Coordinación de Ciberseguridad del Ministerio del Interior, el Centro Criptológico Nacional (Defensa) y la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales. En el ínterin, el decreto de NIS 1 reparte la supervisión entre el Ministerio del Interior (CNPIC) para los operadores críticos, el ministerio competente para los demás operadores de servicios esenciales, la Secretaría de Estado de Digitalización para los proveedores de servicios digitales y el CCN para el sector público. INCIBE-CERT y CCN-CERT son los equipos de respuesta a incidentes, no supervisores.
Plazo del artículo 41 incumplido
El artículo 41 de NIS 2 fijó el plazo de transposición en el 17 de octubre de 2024. España no ha cumplido ese plazo. La Comisión envió un dictamen motivado el 7 de mayo de 2025 y el 8 de julio de 2026 remitió a España al Tribunal de Justicia de la UE, pidiendo una suma a tanto alzado y multas diarias hasta que España notifique la transposición completa.
El Derecho local se aplica dentro de España
Las entidades establecidas en España siguen la transposición española una vez promulgada. Un Geschäftsführer alemán que dirige una filial española leerá la eventual Ley de Coordinación y Gobernanza de la Ciberseguridad para esa filial, no la BSIG alemana. En el periodo intermedio, el Real Decreto-ley 12/2018 se aplica a las empresas designadas conforme a él; la directiva vincula al Estado español, no a la filial.
España no puede bajar del suelo de la UE
La directiva es un instrumento de armonización mínima. El hecho de que la transposición española esté retrasada no rebaja el suelo: una vez promulgada, la ley española deberá recoger como mínimo los deberes de las entidades esenciales e importantes, los plazos de notificación de incidentes y la responsabilidad del órgano de dirección de la directiva. Hasta entonces la directiva vincula al Estado español, no a las empresas españolas: la jurisprudencia de la UE es clara en que una directiva no puede por sí sola imponer obligaciones a una empresa.
INCIBE e INCIBE-CERT
El Instituto Nacional de Ciberseguridad, adscrito al Ministerio para la Transformación Digital. INCIBE-CERT es el centro de respuesta a incidentes de referencia para ciudadanos y entidades de Derecho privado. Para los incidentes que afectan a operadores críticos, INCIBE-CERT es operado conjuntamente por INCIBE y el CNPIC del Ministerio del Interior.
CCN y CCN-CERT
El Centro Criptológico Nacional, adscrito al Centro Nacional de Inteligencia (CNI). CCN-CERT, creado en 2006, es el CERT gubernamental para el sector público. El CCN se rige por la Ley 11/2002 y el Real Decreto 421/2004; el Real Decreto 311/2022 regula el Esquema Nacional de Seguridad (ENS).
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es un supervisor de las entidades españolas. Conforme al decreto de NIS 1, los supervisores son el Ministerio del Interior (CNPIC), los ministerios sectoriales, la Secretaría de Estado de Digitalización y el CCN; el proyecto de ley daría la supervisión a tres autoridades de control, con el Centro Nacional de Ciberseguridad como punto de contacto único con la UE.
Si Alemania tiene la BSIG, España tiene una ley similar en vigor.
La ley alemana de NIS 2 se aplica desde el 6 de diciembre de 2025. España todavía no tiene una ley promulgada: el Anteproyecto superó el Consejo de Ministros el 14 de enero de 2025, pero no se ha publicado nada en el BOE. Las filiales españolas no pueden apuntar a una ley nacional finalizada; lo que se les aplica hoy es el anterior Real Decreto-ley 12/2018, para las designadas conforme a él, mientras que la directiva muestra lo que tendrá que contener la ley española.
No hay una ley española en vigor, así que aún no hay nada que hacer.
La directiva está en vigor desde enero de 2023. Los Estados miembros tenían que aplicar sus normas nacionales desde el 18 de octubre de 2024. Hasta que España promulgue su ley, la directiva vincula al Estado español, no a las empresas españolas: la jurisprudencia de la UE es clara en que una directiva no puede por sí sola imponer obligaciones a una empresa. Lo que se aplica hoy a las empresas es el decreto de NIS 1 (Real Decreto-ley 12/2018), para las designadas conforme a él. El plazo del 17 de abril de 2025 para que los Estados miembros puedan identificar a las entidades esenciales e importantes es vinculante para España con independencia del proyecto. Preparar ahora las comprobaciones de ámbito, los procesos de notificación de incidentes y la firma del órgano de dirección sigue siendo sensato, porque el proyecto sigue de cerca la directiva.
Nuestro regulador sectorial nos dirá qué hacer.
Algunos sectores tienen un regulador claro (las finanzas con el Banco de España para las entidades de crédito y DORA como lex specialis, la energía con el Ministerio para la Transición Ecológica). Muchos no tienen todavía una única línea de visión porque el proyecto de ley no ha terminado de definir la arquitectura de supervisión. Una vez promulgada la ley, sus obligaciones se aplican con independencia de qué organismo nacional acabe haciéndolas cumplir.
La mayoría de los operadores españoles de mercado medio que vemos tratan NIS 2 como un problema que pueden posponer hasta que el Boletín publique la ley final. Esa es una apuesta cara. El plazo del 17 de octubre de 2024 de la directiva ya ha pasado, la Comisión envió un dictamen motivado el 7 de mayo de 2025 y remitió a España al Tribunal de Justicia de la UE el 8 de julio de 2026, y las obligaciones sustantivas (aprobación de las medidas de riesgo por el órgano de dirección, alerta temprana en 24h, notificación en 72h, cláusulas de la cadena de suministro) no cambian entre el proyecto y cualquier texto final plausible.
El movimiento práctico es el mismo que en cualquier otro lugar de la UE: confirmar el ámbito conforme a la directiva, prepararse para el registro una vez que la ley de España designe el organismo y el portal de registro, poner en marcha las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, gestión del riesgo de la cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. La orientación existente del CCN e INCIBE más los canales de notificación del Real Decreto-ley 12/2018 siguen siendo utilizables mientras la nueva ley está pendiente.
- Directiva (UE) 2022/2555 (NIS 2), artículo 41 plazo de transposición. EUR-Lex.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Comisión Europea, dictamen motivado a España por no notificar la transposición completa de NIS 2, 7 de mayo de 2025; remisión de España al Tribunal de Justicia de la UE, 8 de julio de 2026 (IP/26/1499).
- Real Decreto-ley 12/2018, transposición de NIS 1, Boletín Oficial del Estado.
- CCN-CERT (creado en 2006): Centro Criptológico Nacional, regido por la Ley 11/2002 y el Real Decreto 421/2004; Real Decreto 311/2022 sobre el Esquema Nacional de Seguridad.
- INCIBE-CERT: Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
