Estado de NIS 2 en España
Qué exige la directiva, en qué punto está la transposición española, y cómo encajan el CCN e INCIBE mientras tanto.
Resumen
La directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluida España, con un único suelo de ciberseguridad para las entidades esenciales e importantes. España tiene que incorporar ese suelo al Derecho español y aplicar un régimen de supervisión bajo él.
España incumplió el plazo de transposición del 17 de octubre de 2024 fijado en el artículo 41 de NIS 2. El Consejo de Ministros aprobó un Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero a mediados de 2026 el proyecto sigue en el procedimiento legislativo y no se ha publicado en el Boletín Oficial del Estado.
Hasta que el proyecto se convierta en ley, el anterior Real Decreto-ley 12/2018 (la transposición de NIS 1) sigue aplicándose, y la supervisión continúa repartida entre el Centro Criptológico Nacional (CCN) y el Instituto Nacional de Ciberseguridad (INCIBE), con autoridades sectoriales para las finanzas y otros sectores regulados. La Comisión Europea envió un dictamen motivado el 7 de mayo de 2025 por la transposición pendiente.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad de toda la UE. Fija las obligaciones que todo Estado miembro debe transponer, incluidas las pruebas de tamaño y sector para las entidades esenciales e importantes. La versión española auténtica se publica en EUR-Lex.
Implementación de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Medidas técnicas y metodológicas para los proveedores de infraestructura digital. Directamente aplicable en España sin transposición nacional.
Transposición española (en proceso)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Aprobado por el Consejo de Ministros el 14 de enero de 2025. El texto crea un Centro Nacional de Ciberseguridad adscrito a la Presidencia del Gobierno como autoridad nacional competente única propuesta. El proyecto sigue en el procedimiento legislativo; hasta que se promulgue, el anterior Real Decreto-ley 12/2018 (transposición de NIS 1) continúa aplicándose.
Ley de Coordinación y Gobernanza de la Ciberseguridad (proyecto)
El proyecto incorpora las obligaciones de NIS 2 al Derecho español, define las entidades esenciales e importantes, fija competencias de supervisión, deberes de notificación de incidentes y sanciones. Hasta que la ley se publique en el BOE, la propia directiva es la referencia operativa para las entidades que operan en España junto al Real Decreto-ley 12/2018 existente.
Centro Nacional de Ciberseguridad propuesto
El proyecto propone un Centro Nacional de Ciberseguridad adscrito a la Presidencia del Gobierno como autoridad nacional competente única y punto de contacto en la UE. En el ínterin, la supervisión está repartida: el CCN para el sector público y el ámbito del Esquema Nacional de Seguridad, INCIBE para el sector privado y los ciudadanos, con reguladores sectoriales competentes en sus propias áreas.
Plazo del artículo 41 incumplido
El artículo 41 de NIS 2 fijó el plazo de transposición en el 17 de octubre de 2024. España no ha cumplido ese plazo. La Comisión Europea envió a España un dictamen motivado el 7 de mayo de 2025, que es la segunda etapa formal de un procedimiento de infracción antes de la remisión al Tribunal de Justicia de la UE.
El Derecho local se aplica dentro de España
Las operaciones en territorio español siguen la transposición española una vez promulgada. Un Geschäftsführer alemán que dirige una filial española leerá la eventual Ley de Coordinación y Gobernanza de la Ciberseguridad para esa filial, no la BSIG alemana. En el periodo intermedio, el Real Decreto-ley 12/2018 más la propia directiva siguen siendo la referencia.
España no puede bajar del suelo de la UE
La directiva es un instrumento de armonización mínima. El hecho de que la transposición española esté retrasada no rebaja el suelo. Los deberes de las entidades esenciales e importantes, los plazos de notificación de incidentes y la responsabilidad del órgano de dirección siguen anclados en la directiva y en la jurisprudencia de la UE sobre el efecto directo de las directivas no implementadas.
INCIBE e INCIBE-CERT
El Instituto Nacional de Ciberseguridad, adscrito al Ministerio para la Transformación Digital. INCIBE-CERT es el centro de respuesta a incidentes de referencia para ciudadanos y entidades de Derecho privado. Para los incidentes que afectan a operadores críticos del sector privado, se opera conjuntamente con la oficina de coordinación de ciberseguridad del Ministerio del Interior.
CCN y CCN-CERT
El Centro Criptológico Nacional, adscrito al Centro Nacional de Inteligencia (CNI). CCN-CERT es el CERT gubernamental para el sector público, creado en 2006 al amparo de la Ley 11/2002, el Real Decreto 421/2004 y el Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad (ENS).
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es un supervisor de las entidades españolas; lo son el CCN, INCIBE y las autoridades sectoriales, con el propuesto Centro Nacional de Ciberseguridad para consolidar el papel una vez promulgada la ley.
Si Alemania tiene la BSIG, España tiene una ley similar en vigor.
La propia Alemania todavía no ha promulgado la NIS2UmsuCG y está en la misma posición de retraso. España está más avanzada en el lado del proyecto (el Anteproyecto superó el Consejo de Ministros el 14 de enero de 2025) pero el BOE todavía no ha publicado un texto promulgado. Las filiales españolas no pueden apuntar a una ley nacional finalizada y tienen que leer la directiva directamente más el anterior Real Decreto-ley 12/2018.
No hay una ley española en vigor, así que aún no hay nada que hacer.
La propia directiva surte efecto a nivel de la UE el 18 de octubre de 2024 y la jurisprudencia de la UE confiere a las directivas no implementadas efecto directo parcial frente al Estado. El plazo del 17 de abril de 2025 para que los Estados miembros puedan identificar a las entidades esenciales e importantes es vinculante para España con independencia del proyecto. Los operadores deberían estar preparando las comprobaciones de ámbito, los procesos de notificación de incidentes y la firma del órgano de dirección ahora, no esperando al BOE.
Nuestro regulador sectorial nos dirá qué hacer.
Algunos sectores tienen un regulador claro (las finanzas con el Banco de España y DORA como lex specialis, la energía con la CNMC). Muchos no tienen todavía una única línea de visión porque el proyecto de ley no ha terminado de definir la arquitectura de supervisión. Las obligaciones de la directiva se aplican con independencia de qué organismo nacional acabe haciéndolas cumplir.
La mayoría de los operadores españoles de mercado medio que vemos tratan NIS 2 como un problema que pueden posponer hasta que el Boletín publique la ley final. Esa es una apuesta cara. El plazo del 17 de octubre de 2024 de la directiva ya ha pasado, la Comisión ya ha pasado a la etapa de dictamen motivado el 7 de mayo de 2025, y las obligaciones sustantivas (aprobación de las medidas de riesgo por el órgano de dirección, alerta temprana en 24h, notificación en 72h, cláusulas de la cadena de suministro) no cambian entre el proyecto y cualquier texto final plausible.
El movimiento práctico es el mismo que en cualquier otro lugar de la UE: confirmar el ámbito conforme a la directiva, prepararse para el registro una vez que se anuncie el portal del Centro Nacional de Ciberseguridad, poner en marcha las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, gestión del riesgo de la cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. La orientación existente del CCN e INCIBE más los canales de notificación del Real Decreto-ley 12/2018 siguen siendo utilizables mientras la nueva ley está pendiente.
Construimos el registro de obligaciones de NIS 2 sobre la capa de la UE, no sobre ninguna transposición nacional concreta. La misma lista de comprobación funciona para una filial española que se remite a la eventual Ley de Coordinación y Gobernanza de la Ciberseguridad, una matriz alemana que usa la BSIG y una hermana neerlandesa que usa la Cyberbeveiligingswet. Las referencias a artículos cambian por idioma; las obligaciones sustantivas no.
Para el ámbito español empieza con la comprobación de aplicabilidad frente a los Anexos I y II de la directiva, luego pasa a la cadencia de notificación de incidentes, las cláusulas de la cadena de suministro y la firma del órgano de dirección. Cuando el CCN, INCIBE o los reguladores sectoriales publican orientación, la referenciamos; no la duplicamos.
- Directiva (UE) 2022/2555 (NIS 2), artículo 41 plazo de transposición. EUR-Lex.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Comisión Europea, dictamen motivado a España por no notificar la transposición completa de NIS 2, 7 de mayo de 2025.
- Real Decreto-ley 12/2018, transposición de NIS 1, Boletín Oficial del Estado.
- CCN-CERT: Centro Criptológico Nacional, fundado en 2006 al amparo de la Ley 11/2002 y el Real Decreto 421/2004; Real Decreto 311/2022 sobre el Esquema Nacional de Seguridad.
- INCIBE-CERT: Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.