Blog
NIS2 en España: en qué punto está la ley de ciberseguridad y cómo prepararte
La directiva europea NIS2 eleva el nivel de ciberseguridad exigido a muchas empresas. España todavía no ha aprobado la ley que la traslada, pero eso no significa que puedas esperar: cuando se publique, previsiblemente se aplicará sin un periodo de adaptación largo.
En qué punto está
- La Directiva (UE) 2022/2555 (NIS2) debía estar trasladada a la ley española antes del 17 de octubre de 2024.
- El Consejo de Ministros aprobó el anteproyecto de ley el 14 de enero de 2025.
- En julio de 2026, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por no haberla trasladado a tiempo.
- A mediados de octubre de 2026, la ley sigue sin publicarse en el BOE.
Mientras tanto siguen vigentes las normas anteriores (Real Decreto-ley 12/2018 y Real Decreto 43/2021) y, en el sector público, el Esquema Nacional de Seguridad.
A quién afectará
Sobre todo a medianas y grandes empresas de sectores esenciales e importantes: energía, transporte, banca, salud, agua, infraestructura digital y servicios TIC gestionados, administración pública, servicios postales, gestión de residuos, química, alimentación, fabricación de productos clave y proveedores digitales, entre otros.
Si tu empresa es pequeña pero trabaja para alguna de ellas, también te afectará de forma indirecta: NIS2 obliga a esas empresas a vigilar la seguridad de su cadena de suministro, y te pedirán garantías.
Qué exigirá
- Gestión de riesgos: políticas de seguridad, control de accesos, autenticación multifactor, cifrado, copias de seguridad y continuidad de negocio.
- Notificación de incidentes graves: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
- Responsabilidad de la dirección: los órganos de dirección deben aprobar las medidas, supervisarlas y formarse.
- Seguridad de proveedores: evaluar y exigir medidas a quienes te prestan servicios.
La directiva prevé multas de hasta 10 millones de euros o el 2 % de la facturación mundial para las entidades esenciales, y de hasta 7 millones o el 1,4 % para las importantes. La ley española concretará el régimen de sanciones.
Qué prevé la ley española
El anteproyecto crea el Centro Nacional de Ciberseguridad como autoridad nacional y reparte la supervisión entre varios ministerios según el sector. El texto definitivo puede cambiar en su tramitación, así que conviene seguirlo de cerca.
Cómo prepararte ya
- Comprueba si tu sector y tu tamaño entran en NIS2, o si tus clientes sí entran.
- Haz un inventario de equipos, sistemas, datos y proveedores críticos.
- Activa la autenticación multifactor y revisa quién tiene acceso a qué.
- Asegura unas copias de seguridad 3-2-1 que se puedan restaurar.
- Prepara un procedimiento de respuesta a incidentes con responsables y plazos.
- Forma al equipo y a la dirección.
Te ayudamos con la parte técnica y la documentación: ver ciberseguridad y mantenimiento informático.
¿Quieres saber en qué punto está la ciberseguridad de tu empresa?
Ciberseguridad esencial