El Gobierno de España tiene previsto culminar la transposición de la Directiva Europea de ciberseguridad NIS2 (Directiva (UE) 2022/2555) al ordenamiento jurídico nacional antes de finales de 2025, con previsión de entrada en vigor efectiva a lo largo de 2026.

Aunque la directiva está vigente desde el 16 de enero de 2023 y debía haberse incorporado a los marcos legales nacionales antes del 17 de octubre de 2024, España aún se encuentra en fase de desarrollo normativo. Esto deja a las organizaciones en una situación transitoria, pero no exenta de responsabilidad: el cumplimiento de NIS2 exige cambios estructurales que requieren tiempo, inversión y adaptación cultural.

NIS2 no es una simple actualización de la normativa anterior, sino un cambio de paradigma regulatorio: las empresas ya no solo deben proteger sus sistemas, sino demostrar de forma verificable que gestionan el riesgo de forma sistemática, gobernada y alineada con estándares europeos.

Marco normativo

La Directiva (UE) 2022/2555 sustituye a la Directiva NIS1 y se articula en coherencia con otros instrumentos regulatorios europeos, como:

• Reglamento DORA (resiliencia digital financiera).
• Reglamento GDPR (protección de datos personales).
• Cyber Resilience Act (seguridad de productos digitales).
• Marco europeo de certificación en ciberseguridad (ENISA).

En España, la transposición se realizará previsiblemente mediante una ley específica que complementará al Esquema Nacional de Seguridad (ENS) y a la Ley 8/2011 de protección de infraestructuras críticas, ampliando su alcance al sector privado no tradicionalmente regulado.

Sectores y organizaciones afectadas

NIS2 amplía significativamente el ámbito subjetivo de aplicación e introduce dos categorías:

• Entidades esenciales
• Entidades importantes

Entre los sectores incluidos destacan:

• Energía, transporte, banca, infraestructuras financieras y mercados de capitales.
• Sanidad, agua potable y aguas residuales.
• Infraestructura digital (proveedores cloud, centros de datos, DNS, telecomunicaciones).
• Administración pública.
• Alimentación, industria química, fabricación, mensajería y logística.
• Proveedores de servicios TIC y empresas que formen parte de cadenas de suministro críticas.

El tamaño es un criterio general, pero no exclusivo. Pymes pueden quedar sujetas si su función es crítica dentro de una cadena de suministro esencial.

Obligaciones técnicas y organizativas

NIS2 impone un marco mínimo obligatorio de gestión de ciberseguridad que incluye:

Gestión de riesgos

• Evaluaciones periódicas de riesgo.
• Controles técnicos, operativos y organizativos proporcionados.
• Políticas formales de seguridad documentadas.

Gestión de incidentes

• Notificación inicial en 24 horas.
• Informe preliminar en 72 horas.
• Informe final en un mes.

Seguridad de la cadena de suministro

• Evaluación de riesgos de terceros.
• Inclusión de cláusulas contractuales de seguridad.
• Supervisión continua de proveedores críticos.

Gobernanza

• Responsabilidad directa del órgano de dirección.
• Formación obligatoria para directivos.
• Designación de responsables de ciberseguridad.

Auditoría y supervisión

• Capacidad de inspección por parte de autoridades.
• Requerimiento de evidencias objetivas de cumplimiento.

Régimen sancionador

Las sanciones previstas son significativas:

• Hasta 10 millones de euros o el 2 % de la facturación anual global, lo que sea mayor.
• Posibles medidas adicionales como órdenes de corrección, auditorías obligatorias o suspensión temporal de actividades.

La responsabilidad no es solo corporativa: la alta dirección puede incurrir en responsabilidad personal por negligencia en el cumplimiento.

Recomendaciones prácticas

Para prepararse adecuadamente, las organizaciones deberían:

• Identificar si están dentro del ámbito de aplicación (directa o indirectamente).
• Realizar un gap analysis entre su estado actual y los requisitos NIS2.
• Integrar NIS2 en su marco de gobierno corporativo y gestión de riesgos.
• Alinear sus controles con estándares como ISO 27001, ISO 22301 y NIST CSF.
• Reforzar la gestión contractual y técnica de proveedores.
• Formar tanto a equipos técnicos como a la dirección ejecutiva.