NIS2 en España: ley pendiente, el Estado ante el TJUE y qué hacer mientras tanto
La NIS2 en España sigue sin ley de transposición y ya no la tendrá en 2026. El 6 de octubre, el Real Decreto 806/2026 disolvió las Cortes y convocó elecciones generales para el 29 de noviembre. Mientras tanto, la Comisión Europea mantiene a España ante el Tribunal de Justicia de la UE. Aquí tienes qué es exigible hoy, qué cambia con las elecciones y qué hacer este trimestre.
En 30 segundos: el plazo para transponer la Directiva (UE) 2022/2555 venció el 17 de octubre de 2024. El anteproyecto de enero de 2025 nunca llegó a las Cortes y, con su disolución, queda parado, así que la ley no se aprobará este año. Hoy nadie puede sancionarte por la NIS2 en España, aunque sigue vigente el Real Decreto-ley 12/2018. Además, sus exigencias ya te llegan por contratos, pliegos y el Reglamento de Ejecución (UE) 2024/2690.
Cronología de la NIS2 en España
Estos son los hitos oficiales de la NIS2 en España, desde la entrada en vigor de la directiva a la constitución de las nuevas Cámaras:
| Fecha | Hito |
|---|---|
| 16/01/2023 | Entra en vigor la Directiva (UE) 2022/2555. |
| 17/10/2024 | Vence el plazo de transposición sin ley española. |
| 28/11/2024 | La Comisión envía la carta de emplazamiento. |
| 14/01/2025 | El Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, con tramitación urgente. |
| 07/05/2025 | Bruselas remite el dictamen motivado. |
| 08/07/2026 | La Comisión lleva a España ante el TJUE y pide sanciones económicas. |
| 06/10/2026 | El Real Decreto 806/2026 disuelve las Cortes y convoca elecciones para el 29/11/2026. |
| 23/12/2026 | Sesiones constitutivas del nuevo Congreso y del nuevo Senado. |
Qué ha pasado: del anteproyecto a la disolución de las Cortes
Primero, el 14 de enero de 2025, el Consejo de Ministros aprobó en primera vuelta el anteproyecto y le dio tramitación urgente. Según el Ministerio del Interior, el texto creaba un Centro Nacional de Ciberseguridad y repartía la supervisión entre Interior, Defensa y Transformación Digital. Sin embargo, esa ley de la NIS2 en España nunca llegó a publicarse en el BOE.
El procedimiento ante el TJUE
La Comisión siguió los pasos del procedimiento de infracción INFR(2024)0270: carta de emplazamiento en noviembre de 2024 y dictamen motivado en mayo de 2025. Después, el 8 de julio de 2026 decidió llevar a España ante el Tribunal de Justicia, junto a Irlanda, Francia y Países Bajos. Además, pidió una suma a tanto alzado y multas diarias hasta que se notifique la transposición completa. Por ahora no hay sentencia, y el importe lo fijará el Tribunal.
Las elecciones del 29 de noviembre
El Real Decreto 806/2026, publicado en el BOE el 6 de octubre de 2026, disolvió el Congreso y el Senado. Con las Cámaras disueltas, ninguna ley puede tramitarse, y las nuevas Cortes no se constituirán hasta el 23 de diciembre. Por eso el anteproyecto queda parado: el Gobierno que salga de las urnas decidirá si lo retoma y lo envía por primera vez a las Cortes.
En la práctica, la ley de la NIS2 en España no llegará en 2026. Solo un real decreto-ley, la vía que se usó en 2018 para la primera NIS, podría acortar los plazos. Pero no hay ningún anuncio oficial en ese sentido. Nuestra estimación es que la ley difícilmente estará antes de bien entrado 2027.
Qué significa la NIS2 en España para tu empresa hoy
Una directiva no obliga directamente a las empresas, sino a los Estados. Por eso necesita una ley nacional con obligaciones concretas, una autoridad que supervise y un régimen sancionador. Por tanto, mientras esa ley no exista, ninguna administración puede abrirte un expediente por la NIS2 en España. Además, la multa del TJUE la pagaría el Estado, no las empresas.
Lo que sí sigue vigente es el marco de la primera directiva NIS: el Real Decreto-ley 12/2018 y el Real Decreto 43/2021. Si eres operador de servicios esenciales o proveedor de servicios digitales, esas obligaciones no han desaparecido. Además, el sector público y sus proveedores deben cumplir el Esquema Nacional de Seguridad. Ese esquema encaja con buena parte de la directiva, como explicamos en qué comparten el ENS y la NIS2.
Tres vías por las que la NIS2 en España ya te llega
El retraso legislativo no te aísla. De hecho, la NIS2 en España ya entra en muchas empresas por tres puertas que no dependen del BOE:
- Por contrato. Tus clientes de países que sí han transpuesto la directiva deben cuidar su cadena de suministro. Por eso te trasladan cuestionarios, cláusulas de notificación y derecho de auditoría.
- Por la contratación pública. Los pliegos ya incluyen requisitos de seguridad, y gran parte de lo que pedirá la ley se solapa con el ENS.
- Por el reglamento europeo. El Reglamento de Ejecución (UE) 2024/2690 detalla las medidas para cloud, centros de datos, DNS, servicios gestionados, plataformas y servicios de confianza.
Ese reglamento es directamente aplicable, aunque sin ley nacional falta la autoridad que lo supervise. Aun así, ya es la referencia técnica que usan clientes y auditores.
Lo que no cambiará cuando llegue la ley
La directiva es de armonización mínima: el legislador podrá endurecerla, pero no rebajarla. Por eso, todo lo que ya está en el texto europeo es terreno seguro para preparar la NIS2 en España:
- Las diez medidas de gestión de riesgos del artículo 21, de la gestión de incidentes a la autenticación multifactor.
- Los plazos de notificación: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
- Los criterios para saber si eres entidad esencial o importante, que salen de los anexos y de los umbrales de tamaño.
- La responsabilidad de la dirección, que aprueba y supervisa las medidas y responde de su incumplimiento.
En cambio, siguen abiertos el registro nacional de entidades, el reparto final de la supervisión y el régimen sancionador concreto. Conviene tenerlos identificados y presupuestados, pero no comprometidos hasta que haya texto definitivo.
Qué hacer este trimestre con la NIS2 en España
Esperar a la ley es la peor estrategia ante la NIS2 en España, porque implantar el artículo 21 con evidencias lleva meses. Este es el orden que proponemos:
- Confirma si estás dentro y como qué tipo de entidad; nuestra guía para comprobar si tu empresa entra en el ámbito lo resuelve en minutos.
- Haz un análisis de riesgos por servicio, no una media de toda la empresa.
- Define el procedimiento de notificación con responsables, plantillas y el reloj de 24/72 horas.
- Inventaría tus proveedores críticos y pon por escrito sus compromisos de seguridad.
- Lleva la ciberseguridad al consejo con acta, presupuesto y un responsable con nombre.
- Reutiliza lo que ya tienes, porque con ISO 27001 o ENS gran parte de los controles sirve.
Si necesitas un calendario, sigue nuestro plan de implantación por fases en 90 días. Y para aprovechar lo que ya tienes certificado, mira por qué ISO 27001 sirve de atajo.
Preguntas frecuentes
¿Cuándo se aprobará la ley de la NIS2 en España?
No hay fecha oficial. Con las Cortes disueltas y elecciones el 29 de noviembre de 2026, la ley no se aprobará este año. Después, el nuevo Gobierno tendrá que retomar el texto, así que lo prudente es no contar con ella antes de bien entrado 2027.
¿Pueden multarme hoy por la NIS2 en España?
No, porque falta la ley que fije autoridades y sanciones. Sin embargo, sí pueden sancionarte por el Real Decreto-ley 12/2018 si estás en su ámbito, o por el RGPD si sufres una brecha de datos personales. Además, un cliente puede exigirte las medidas por contrato.
¿Quién pagará la multa del TJUE?
El Estado. El procedimiento enfrenta a la Comisión con España, no con las empresas. Por eso la eventual suma a tanto alzado y las multas diarias no se trasladan a ninguna compañía.
¿Sirve el ENS para cumplir la NIS2 en España?
Ayuda mucho, aunque no lo cubre todo. Por ejemplo, el ENS ya exige análisis de riesgos, gestión de incidentes y medidas técnicas parecidas. Aun así, tendrás que revisar la notificación en 24 y 72 horas, la cadena de suministro y el papel de la dirección.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
En Atalaya GRC gestionamos la NIS2 en España servicio por servicio, con las medidas del artículo 21 y sus evidencias centralizadas. Gracias al principio de «un control, varias normas», lo que ya tienes para ENS o ISO 27001 cuenta también aquí. Además, el reloj regulatorio vigila los plazos y te avisa de cada movimiento oficial. Cuando la ley española se publique, actualizaremos los requisitos en la plataforma para que no empieces de cero. Tienes el detalle en nuestra ficha de la NIS2.
