NIS2: España sigue sin ley, y aun así te lo van a exigir

Las fechas, sin adornos:

• 17 de octubre de 2024 — vencía el plazo para transponer la Directiva (UE) 2022/2555. España no lo cumplió.
• 14 de enero de 2025 — el Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es el vehículo elegido.
• 7 de mayo de 2025 — dictamen motivado de la Comisión a 19 Estados miembros, España entre ellos.
• 8 de julio de 2026 — la Comisión remite a España, Irlanda, Francia y Países Bajos al Tribunal de Justicia de la UE, y pide sanciones: una suma a tanto alzado más multas diarias hasta que se notifique la transposición completa.

El anteproyecto sigue sin publicarse en el BOE. No hay fecha cierta, y conviene desconfiar de quien la dé: el procedimiento judicial y el legislativo avanzan por separado.

Aquí toca ser preciso, porque se argumenta en las dos direcciones y ambas exageran.

No es cierto que no pase nada. Pero tampoco es cierto que un particular pueda invocar hoy la directiva contra tu empresa: las directivas no tienen efecto directo entre particulares. Lo mismo ocurre con la Directiva de transparencia retributiva, cuyo plazo venció el 07/06/2026 sin transposición en España: lo que un trabajador puede invocar frente a su empresa es el principio de igualdad retributiva del art. 157 TFUE y la normativa española vigente (art. 28 ET y RD 902/2020). NIS2 impone sobre todo obligaciones al Estado: designar autoridades, montar el registro, articular la supervisión. Sin esa arquitectura nacional no hay quien supervise ni a quién notificar.

Dicho de otro modo: no hay régimen sancionador de NIS2 en España (a 24/09/2026, la ley no se ha publicado en el BOE). Pero sigue vigente el del Real Decreto-ley 12/2018, que incorporó la primera Directiva NIS, con multas de hasta 1.000.000 € para operadores de servicios esenciales y proveedores de servicios digitales (art. 37). Quien afirme que hoy cualquier empresa puede ser multada con 10 millones por NIS2 se equivoca.

Por los contratos. Es la parte práctica que se cuenta poco.

Las entidades que sí están claramente en el ámbito de NIS2 —energía, banca, sanidad, transporte, infraestructura digital, administraciones— tienen que responder de la seguridad de su cadena de suministro. Y lo trasladan a sus proveedores por la única vía que tienen: el contrato.

Por eso muchas empresas que no aparecen en ningún anexo están recibiendo cuestionarios de seguridad, cláusulas de notificación de incidentes y exigencias de evidencias. No porque una ley española se lo imponga, sino porque su cliente sí está obligado.

Ese es el calendario que de verdad manda, y no espera al BOE.

Lo que pedirá la ley cuando llegue y ya piden los contratos:

• Saber si estás en el ámbito. Los anexos I y II cubren dieciocho sectores, con umbral general de 50 personas o 10 M€. Muchas organizaciones descubren que entran y muchas otras que no.
• Capacidad de notificar rápido. La directiva plantea tres pasos: alerta temprana en 24 horas, notificación en 72 y un informe final. Sin un procedimiento escrito, 24 horas no dan.
• Cadena de suministro. Verificación, no solo cláusula firmada. Es donde más falla la práctica actual.
• Implicación de la dirección. NIS2 exige formación y responsabilidad del órgano de gobierno, con trazabilidad de sus decisiones. Un acta que recoja qué se decidió y cuándo vale más que un informe técnico sin firmar.

Y algo que ya tienes si has trabajado el RGPD: el artículo 32 exige seguridad del tratamiento, y la notificación de brechas de datos ya te obliga a detectar y comunicar incidentes. El solape es grande y no hay que empezar de cero.