Ley NIS2 en España: estado de la transposición y plazos

La Ley de Coordinación y Gobernanza de la Ciberseguridad es la norma con la que España transpone la Directiva NIS2. A fecha de julio de 2026 sigue en tramitación: el Consejo de Ministros aprobó el anteproyecto el 14 de enero de 2025, pero todavía no se ha publicado en el BOE. Crea el Centro Nacional de Ciberseguridad como autoridad nacional, reparte la supervisión entre varios ministerios y convivirá con el ENS. Aquí te explico qué añade a la directiva, qué plazos maneja y qué conviene hacer mientras tanto.

Cada pocas semanas alguien me escribe con la misma duda: «¿ya es obligatoria la NIS2 en España?». La respuesta corta es que la directiva europea marca el rumbo desde 2022, pero quien te va a exigir cosas concretas —registrarte, notificar incidentes, responder con tu patrimonio si eres directivo— es la ley española que la transpone. Y esa ley, la de Coordinación y Gobernanza de la Ciberseguridad, lleva más de un año dando vueltas. Te cuento en qué punto está de verdad, qué añade a la directiva y por qué esperar sentado a que se publique es la peor estrategia.

¿Qué es la Ley de Coordinación y Gobernanza de la Ciberseguridad?

Es la norma con la que España incorpora a su ordenamiento la Directiva (UE) 2022/2555, conocida como NIS2, que sustituye a la primera directiva de seguridad de redes y sistemas de información. El nombre no es casual: describe sus dos objetivos. Por un lado, la coordinación, porque hasta ahora las competencias de ciberseguridad estaban repartidas entre organismos que no siempre hablaban entre sí; por otro, la gobernanza, es decir, definir quién manda, quién supervisa y quién responde.

El anteproyecto es una propuesta conjunta de tres ministerios —Interior, Defensa y Transformación Digital y Función Pública—, lo que ya anticipa el reparto de poder que verás más abajo. Frente a la NIS2 anterior, que se centraba en operadores de servicios esenciales de sectores muy concretos, esta amplía el perímetro a muchas más organizaciones y, por primera vez, alcanza de lleno a empresas medianas del sector privado que antes ni se planteaban estar reguladas.

¿Está aprobada la ley? Estado de la transposición de NIS2 en España (julio de 2026)

No, todavía no está aprobada. Este es el estado real, con fechas, para que no te fíes de titulares:

• 17 de octubre de 2024: plazo límite que fijaba la directiva para que todos los Estados miembros la hubieran transpuesto. España lo incumplió.
• 14 de enero de 2025: el Consejo de Ministros aprueba el anteproyecto de ley en primera vuelta y opta por la tramitación de urgencia.
• Mayo de 2025: la Comisión Europea envía a España un dictamen motivado por no haber notificado la transposición completa, dentro del expediente de infracción INFR(2024)0270.
• Mayo de 2026: ante la falta de avance, la Comisión da un paso más con un nuevo requerimiento formal, la antesala de llevar al Estado ante el Tribunal de Justicia de la UE, con posibles multas económicas.
• Julio de 2026: el proyecto sigue su tramitación parlamentaria y no se ha publicado en el BOE. La previsión es que entre en vigor a lo largo de 2026, previsiblemente al día siguiente de su publicación y sin un periodo transitorio largo.

Conviene tener clara una distinción jurídica que a menudo se pasa por alto: mientras la ley no se publique, las obligaciones concretas de NIS2 no son directamente exigibles a la mayoría de empresas privadas, porque una directiva necesita transposición para desplegar efectos sobre los particulares. Lo que sí sigue vigente es el marco de la primera directiva NIS —transpuesta en su día por el Real Decreto-ley 12/2018 y el Real Decreto 43/2021—, que continuará aplicándose hasta que la nueva ley lo reemplace. Es decir: no hay vacío legal, pero sí un cambio de escala inminente.

España ya está ante el Tribunal de Justicia de la UE

El 9 de julio de 2026 la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la Unión Europea por no haber notificado las medidas de transposición de NIS2, dentro del expediente INFR(2024)0270. En la misma decisión iban Irlanda, Francia y los Países Bajos.

Importa cómo se pide la sanción: la Comisión solicita al Tribunal una cantidad a tanto alzado más multas diarias hasta que se notifique la transposición completa. No es un importe que se fije y se olvide, sigue corriendo mientras la ley no exista. Las cifras las determina el Tribunal, así que hoy no hay importe oficial que citar.

Para tu empresa esto no crea obligación nueva alguna: la multa la pagaría el Reino de España. Pero cambia el ritmo, porque una multa diaria a la vista es el incentivo más fuerte que ha tenido el legislador desde 2024 para cerrar el texto.

Anteproyecto, proyecto de ley, ley: la distinción que cambia el pronóstico

Se lee con frecuencia que la norma «sigue su tramitación parlamentaria». Conviene ser preciso, porque la fase determina cuánto falta de verdad.

Lo que el Consejo de Ministros aprobó el 14 de enero de 2025 fue un anteproyecto, y un anteproyecto no está en el Congreso: está en fase administrativa, recabando informes preceptivos y el dictamen del Consejo de Estado. Cuando ese recorrido termina, el Consejo de Ministros se reúne otra vez —la segunda vuelta— y aprueba la remisión a las Cortes. Ahí nace el proyecto de ley, con número de expediente, plazo de enmiendas y el recorrido Congreso-Senado que acaba en el BOE.

A 31 de julio de 2026 no constaba que ese salto se hubiera dado, y es el dato que conviene mirar antes que ningún otro, porque fija el pronóstico. El paso 2 del apartado siguiente lo resuelve en un minuto, y la lectura es esta: si sigue siendo anteproyecto, quedan la segunda vuelta, dos cámaras y las mayorías que lo permitan; si ya es proyecto de ley, el plazo se acorta mucho; si ya está en el BOE, toca leer su disposición final para saber cuánto margen te queda.

Cómo comprobar tú mismo si ya está en el BOE

Esta página se actualiza con cada movimiento, pero puedes verificarlo en tres minutos sin depender de nadie:

1. Busca en el BOE por título. En el buscador de legislación del BOE, busca «ciberseguridad» en el campo de título. Si la ley existe, aparece como Ley X/20XX, de …, de Coordinación y Gobernanza de la Ciberseguridad, con su identificador BOE-A. Si no aparece, no hay ley. Este paso es el único definitivo.
2. Mira si ha entrado en las Cortes. En la búsqueda de iniciativas del Congreso de los Diputados, un proyecto de ley del Gobierno lleva expediente de la serie 121. Si lo hay, el texto está en sede parlamentaria y puedes seguir enmiendas y calendario.
3. Consulta el expediente europeo. La Representación de la Comisión en España publica cada mes las decisiones de infracción que afectan al país. Cuando España notifique la transposición completa, el caso INFR(2024)0270 se archiva.

Un aviso que ahorra disgustos: desconfía de los titulares que anuncian «aprobada la ley de ciberseguridad». Casi siempre se refieren a la aprobación del anteproyecto en Consejo de Ministros, que es un acto de gobierno, no una ley.

Qué añade la ley española a la Directiva NIS2

Una directiva fija el «qué» y deja a cada país el «cómo». Ahí es donde esta ley aporta lo suyo. La directiva obliga a designar autoridades, montar equipos de respuesta y sancionar; la ley española concreta esas piezas con nombre y apellidos:

El valor real de la ley está en esa columna de la derecha: sin ella, las obligaciones de NIS2 quedan en el aire porque falta quién las vigila, dónde te registras y qué te pasa si incumples.

Centro Nacional de Ciberseguridad: la autoridad nacional prevista

La pieza central de la ley es el Centro Nacional de Ciberseguridad (CNC), adscrito a la Presidencia del Gobierno. Según el anteproyecto, será la autoridad nacional competente única encargada de dirigir, impulsar y coordinar toda la actividad prevista en la ley, además de actuar como punto de contacto único con las instituciones europeas y como autoridad nacional de gestión de crisis de ciberseguridad. Importante: el CNC todavía no existe; lo crea esta futura ley. Hasta entonces, esas funciones de interlocución las asume el Departamento de Seguridad Nacional.

¿Quién supervisará cada sector?

La ley no concentra toda la vigilancia en un solo organismo. Reparte la supervisión sectorial entre tres ministerios, cada uno a través de su brazo especializado:

• Ministerio del Interior, mediante la Oficina de Coordinación de Ciberseguridad.
• Ministerio de Defensa, a través del Centro Criptológico Nacional (CCN), que ya es la referencia técnica del sector público.
• Ministerio para la Transformación Digital y de la Función Pública, mediante las secretarías de Estado competentes.

Mientras la ley no esté en vigor, el mapa provisional es el que ya funciona: el punto de contacto único recae en el Consejo de Seguridad Nacional a través del Departamento de Seguridad Nacional, el CCN y su CCN-CERT cubren el sector público, e INCIBE-CERT atiende al tejido empresarial. Este reparto de competencias es también una de las críticas habituales al modelo: cuantos más actores, más importa que la coordinación —lo que da nombre a la ley— funcione de verdad.

Plazos y sanciones de la ley de ciberseguridad

Es la parte que más preguntas genera, porque afecta directamente al bolsillo y a la responsabilidad personal de quien dirige la empresa.

¿Qué sanciones prevé para las empresas?

El régimen sancionador sigue las horquillas que marca NIS2, que distingue dos categorías de entidades:

• Entidades esenciales: multas de hasta 10 millones de euros o el 2 % de la facturación anual mundial total, la cifra que resulte mayor.
• Entidades importantes: multas de hasta 7 millones de euros o el 1,4 % de la facturación anual mundial total, la que sea mayor.

Más allá de la cuantía, hay un cambio de fondo: la responsabilidad de los órganos de dirección. La normativa hace responsables a los administradores de aprobar y supervisar las medidas de ciberseguridad, con posibilidad de responsabilidad personal. La ciberseguridad deja de ser «cosa de informática» para convertirse en una obligación del consejo. Si quieres una panorámica de cómo encaja todo esto con el RGPD y DORA, la tienes en mi guía de normativa de ciberseguridad en España.

¿Qué pasa mientras no se aprueba la ley?

Pasan dos cosas a la vez. Para el Estado, el reloj corre: el expediente de infracción de la Comisión Europea puede acabar en el Tribunal de Justicia de la UE con multas al Reino de España por el retraso. Para las empresas, la incertidumbre no es excusa para no prepararse, porque cuando la ley se publique la previsión es que entre en vigor casi de inmediato, sin los años de margen a los que nos tiene acostumbrados otra normativa. Quien empiece el día de la publicación llegará tarde.

Relación entre la ley de ciberseguridad, NIS2 y el ENS

Es la confusión más frecuente que veo, así que la aclaro de raíz. Son tres capas que se complementan, no alternativas entre las que elegir:

• NIS2 es la directiva europea: el marco común que obliga a España a legislar.
• La Ley de Coordinación y Gobernanza de la Ciberseguridad es su transposición: convierte ese marco en obligaciones exigibles aquí, tanto al sector público como a un amplio grupo de empresas privadas.
• El ENS, el Esquema Nacional de Seguridad regulado por el Real Decreto 311/2022, es el marco de seguridad del sector público y de las empresas que le prestan servicios.

La buena noticia si ya trabajas con el ENS: muchos de sus controles se solapan con las medidas de gestión de riesgos que exige el artículo 21 de NIS2 (análisis de riesgos, gestión de incidentes, continuidad, seguridad de la cadena de suministro, cifrado, control de accesos). No es una equivalencia automática, pero un sistema adecuado al ENS te deja buena parte del camino andado para NIS2. Si eres proveedor de la Administración, esta convivencia te interesa especialmente, porque tu conformidad con el ENS ya cubre exigencias que la nueva ley reforzará. Y si operas en el sector financiero, recuerda que ahí manda además el reglamento DORA, con reglas propias sobre resiliencia operativa.

Qué debe hacer tu empresa mientras se aprueba la ley

Prepararse ahora no es adelantarse por deporte: es la única forma de llegar a tiempo cuando el texto se publique. Estos son los pasos que recomiendo, por orden:

• Averigua si te afecta. El primer filtro es saber si serás entidad esencial o importante por tu sector y tamaño. Te dejé un test rápido para saber si NIS2 te obliga que resuelve la duda en pocos minutos.
• Haz un análisis de riesgos serio. Es la base de todo lo demás y la primera evidencia que te van a pedir. Si no sabes por dónde empezar, un plan director de seguridad ordena las prioridades sin gastar de más.
• Monta tu protocolo de notificación de incidentes. NIS2 maneja plazos exigentes —alerta temprana en 24 horas, notificación en 72 e informe final en un mes—, así que necesitas el circuito interno definido antes, no durante la crisis.
• Revisa tu cadena de suministro. Tus proveedores tecnológicos entran en tu análisis de riesgos; conviene tener sus compromisos de seguridad por escrito.
• Involucra a la dirección. Como la responsabilidad recae en los órganos de gobierno, la ciberseguridad tiene que estar en la agenda del consejo, con presupuesto y con alguien que responda.
• Apóyate en lo que ya tengas. Si cuentas con ENS o con ISO 27001, reutiliza esos controles: son el atajo más fiable hacia NIS2.

El retraso no te protege: tres vías por las que NIS2 ya te llega

Que no haya ley española no significa que no haya exigencias. Además del marco NIS1 vigente, que resumo en NIS2 para pymes en España, hay tres canales operando.

El contractual

Tus clientes europeos sí están sujetos a una NIS2 transpuesta en su país, y la directiva les obliga a gestionar la seguridad de su cadena de suministro. Te trasladan las exigencias por contrato —notificación, auditoría, niveles de servicio— sin esperar a que España legisle. Si te llegan cuestionarios de seguridad que antes no te llegaban, ya estás dentro; en cláusulas de ciberseguridad en contratos con proveedores desgloso qué se pide y qué es razonable aceptar.

El de la contratación pública

Los pliegos incorporan requisitos de seguridad al margen del calendario de NIS2, y buena parte de lo que exigirá la futura ley se solapa con lo que ya acreditas por el Esquema Nacional de Seguridad: cómo encajan los dos marcos, sin duplicar trabajo, está en ENS y NIS2 en la misma empresa.

El del reglamento europeo

Es el que casi nadie menciona. El Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024, desarrolla la directiva para un grupo concreto de prestadores digitales. Al ser reglamento y no directiva, es directamente aplicable sin pasar por el BOE: si prestas servicios de ese tipo, comprueba en el propio texto si entras en su ámbito.

Un matiz que suele confundirse: una directiva con el plazo vencido y sin transponer puede invocarse frente al propio Estado y sus organismos, pero no crea por sí sola obligaciones exigibles a una empresa privada. Esa es la razón técnica de que hoy nadie te pueda multar por NIS2 en España.

Lo que no va a cambiar cuando se publique

Prepararse ahora tiene poco riesgo, y conviene explicar por qué: la directiva fija un suelo que el legislador español puede endurecer, pero no rebajar. Lo que venga de ese suelo es terreno seguro:

• Las medidas de gestión de riesgos del artículo 21, que no dependen de cómo quede la ley española. Las tienes desglosadas en las diez medidas del artículo 21 de NIS2, y una de ellas, la de tratamiento de vulnerabilidades, con su procedimiento en gestión de vulnerabilidades y parcheo.
• Los plazos de notificación: alerta temprana en 24 horas, notificación en 72 e informe final en un mes. La ley concretará el canal y la autoridad receptora, no el reloj. El detalle, en cómo notificar incidentes bajo NIS2.
• Los criterios de clasificación, que salen de los anexos y los umbrales de tamaño de la directiva. Sal de dudas con el test para saber si eres entidad esencial o importante.
• La responsabilidad de los órganos de dirección, que la directiva atribuye expresamente: la ley concretará procedimiento y cuantías, no su existencia. Lo desarrollo en la responsabilidad personal de los directivos bajo NIS2.

Lo que sigue abierto, y por tanto no conviene presupuestar aún, es el registro nacional de entidades, los plazos de inscripción, el reparto final de la supervisión y el procedimiento sancionador.

Cómo presupuestar 2027 sin saber la fecha

Parte el presupuesto en dos. En la partida comprometida, lo que harías igual aunque la ley no llegase nunca: análisis de riesgos, procedimiento de incidentes con responsables y teléfonos reales, copias probadas, segundo factor de autenticación e inventario de proveedores críticos. En la partida en reserva, lo que depende de un articulado que aún no existe: inscripción en el registro, adaptación al canal de notificación y auditorías formales; deja el importe estimado y el proveedor identificado, pero no firmes hasta el BOE.

Para defender esa partida ante quien no distingue una norma de otra, el mapa de qué te aplica y por dónde se solapa está en normativa de ciberseguridad en España: RGPD, ENS, NIS2 y DORA; la definición corta, en el glosario de NIS2; y el marco completo, en la guía de cumplimiento en ciberseguridad.

Preguntas frecuentes

¿Está ya publicada en el BOE la Ley de Coordinación y Gobernanza de la Ciberseguridad?

A la fecha de esta actualización, no consta publicada. Compruébalo en un minuto: busca «ciberseguridad» por título en el buscador de legislación del BOE. Si no devuelve una ley con ese nombre y su identificador BOE-A, no existe. Que el Consejo de Ministros aprobara el anteproyecto en enero de 2025 no es lo mismo.

¿Me pueden sancionar por NIS2 si la ley española todavía no existe?

Por NIS2 como tal, no: falta la transposición que la convierta en obligación interna y falta la autoridad que instruya el expediente. Sí te aplican el marco NIS1 vigente si eras operador de servicios esenciales, el RGPD en brechas de datos personales y lo que hayas firmado con tus clientes.

¿Qué supone que la Comisión haya llevado a España al Tribunal de Justicia?

Que el retraso puede acabar costando dinero público: se ha pedido al Tribunal una cantidad a tanto alzado más multas diarias hasta que se notifique la transposición. Para tu empresa no genera obligaciones nuevas, pero acorta el plazo probable.

¿Cuánto margen tendré desde que se publique en el BOE?

No hay fecha oficial y depende de la disposición final que se apruebe, así que cualquier cifra sería una suposición. Lo prudente es no contar con un periodo transitorio largo: el retraso acumulado y el procedimiento europeo abierto empujan en la dirección contraria.

Conclusión: una ley inminente que conviene no esperar

La Ley de Coordinación y Gobernanza de la Ciberseguridad lleva demasiado tiempo en el limbo, pero eso no la hace menos seria: cuando se apruebe, traerá un registro nacional, una autoridad con capacidad sancionadora y responsabilidad personal para los directivos, y lo hará con poco margen de adaptación. La tramitación se retrasa; las amenazas, no. Las empresas que están usando este tiempo para ordenar sus riesgos y sus procedimientos serán las que cumplan el primer día; las que esperen al BOE, las que corran.

Si no tienes claro si tu empresa entra en el perímetro de NIS2 o por dónde empezar a prepararte, cuéntame tu caso y lo vemos juntos, sin compromiso. Y si prefieres un enfoque integral, conoce mi servicio de consultoría de ciberseguridad para empresas que quieren cumplir la normativa sin sobredimensionar.

Fuentes

• Directiva (UE) 2022/2555, de 14 de diciembre de 2022: artículo 21 (medidas), artículo 23 (notificación), artículo 34 (multas) y artículo 41 (transposición el 17 de octubre de 2024).
• Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024, que desarrolla la directiva para determinados prestadores digitales.
• Comisión Europea, Representación en España: paquete de infracciones de 9 de julio de 2026 — remisión de Irlanda, España, Francia y los Países Bajos al TJUE, expediente INFR(2024)0270, con cantidad a tanto alzado y multas diarias.
• Real Decreto-ley 12/2018 (BOE-A-2018-12257) y Real Decreto 43/2021 (BOE-A-2021-1192), el marco NIS1 aún vigente.
• La Moncloa, Consejo de Ministros de 14 de enero de 2025, y Ministerio del Interior, audiencia pública del anteproyecto.