Dónde está realmente el proceso
La directiva NIS2 debía transponerse en las legislaciones nacionales antes de octubre de 2024. España incumplió ese plazo, y aunque el Consejo de Ministros aprobó el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, el texto sigue sin convertirse en ley. El 19 de mayo de 2026 la Comisión Europea envió un segundo requerimiento formal dentro del expediente INFR(2024)0270: la antesala directa de un recurso ante el TJUE si España no legisla.
La futura norma obligará a entidades esenciales e importantes a implantar medidas de gestión de riesgos, notificar incidentes en plazos escalonados y exigir responsabilidad a nivel de dirección, con sanciones de hasta 10 millones de euros. El alcance de NIS2 es además mucho mayor que el de su predecesora: el número de organizaciones cubiertas en la UE pasa de unas 4.500 bajo NIS1 a cerca de 29.500 bajo NIS2 — sectores como sanidad, gestión de aguas, espacio, administración pública y proveedores digitales entran ahora en el perímetro regulatorio.
El mismo error que ya vimos con DORA
En banca, el debate sobre si "esperar a la ley nacional" era una estrategia válida se cerró hace tiempo: DORA es un reglamento de aplicación directa, y los supervisores no aceptaron el retraso legislativo como excusa para no tener gestión de riesgo de terceros, pruebas de resiliencia digital ni notificación de incidentes en marcha. En nuestro análisis de las seis decisiones técnicas de Zero Trust bajo DORA, la lección central era que la arquitectura debía anticiparse al calendario normativo, no perseguirlo.
NIS2 es una directiva, no un reglamento — de ahí el requerimiento a España por no transponerla — pero el contenido sustantivo (gestión de riesgos, notificación de incidentes en 24/72 horas, responsabilidad del órgano de dirección) ya está definido a nivel europeo desde 2024 y no depende de qué diga el BOE. Una entidad esencial o importante que espere a la ley española para empezar a construir estos controles llegará tarde de todas formas, porque el problema no es legal: es operativo, y los procesos de gestión de incidentes, terceros y gobierno no se construyen en semanas.
La pregunta que debería hacerse cualquier comité de riesgos ahora mismo: si NIS2 entrara en vigor mañana en España con el texto ya aprobado por el Consejo de Ministros, ¿cuántas de las obligaciones (notificación temprana en 24h, informe intermedio en 72h, informe final en un mes) podría cumplir la organización hoy? Si la respuesta es "no lo sé", ese es el punto de partida real, no el BOE.
Qué construir ya, sin esperar a la ley
Sectores que entran nuevos bajo NIS2 y no lo saben todavía
| Sector | Estaba bajo NIS1 | Situación bajo NIS2 |
|---|---|---|
| Energía, banca, salud, transporte | Sí, como sectores críticos | Se mantiene, con obligaciones ampliadas de gestión de riesgo y gobierno |
| Administración pública | Parcial, criterio no homogéneo | Entra de forma explícita como sector esencial en muchos casos |
| Gestión de aguas residuales y espacio | No cubierto | Nuevo sector esencial bajo NIS2 |
| Proveedores digitales (cloud, data centers, mercados online) | Cubierto parcialmente | Ampliado y reforzado como sector importante |
| Fabricación de dispositivos médicos y productos críticos | No cubierto | Nuevo sector importante bajo NIS2 |
Lo que un CISO debería tener listo antes de octubre
- Determinación de si la organización es esencial o importante bajo los criterios de tamaño y sector de NIS2 — muchas organizaciones que nunca estuvieron bajo NIS1 sí lo están ahora.
- Playbook de notificación de incidentes con los tres plazos escalonados ya documentado y probado con un simulacro, no solo redactado en un documento.
- Responsabilidad explícita del órgano de dirección en la gestión de ciberriesgos, con formación específica — NIS2 traslada responsabilidad personal a consejeros y directivos, no solo al CISO.
- Mapa de dependencias de terceros críticos con cláusulas de seguridad y derecho de auditoría incorporados en la próxima renovación contractual.
El riesgo de fondo no es la multa de 10 millones. Es llegar al día en que la ley española finalmente se publique — probablemente bajo presión del TJUE — sin haber construido nada de lo sustantivo, y descubrir que el plazo de adaptación real fue mucho más corto de lo que el retraso legislativo hacía parecer.