Si diriges una empresa industrial, es probable que NIS2 te haya llegado por una de estas dos vías: un cliente grande te ha mandado un cuestionario de seguridad que la menciona, o alguien de tu equipo ha leído que hay una directiva europea de ciberseguridad que afecta a la industria. Y la primera pregunta siempre es la misma. ¿Esto me obliga ya?
La respuesta corta: la transposición de NIS2 en España sigue sin completarse y la ley que la traslada todavía no existe. El Gobierno aprobó un anteproyecto en enero de 2025 y desde entonces no ha llegado al Congreso. En julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la Unión Europea por ese retraso.
La respuesta larga es más útil, porque hay tres vías por las que NIS2 ya está llegando a empresas españolas sin que exista esa ley. Esta guía explica en qué punto está la norma, qué se te puede exigir hoy y qué conviene tener hecho antes de que se publique.
La ley NIS2 española lleva casi 20 meses sin salir del Consejo de Ministros
La directiva NIS2 está en vigor en la Unión Europea desde 2023 y los Estados miembros tenían hasta el 17 de octubre de 2024 para incorporarla a su derecho nacional. España no lo hizo, y ahí sigue la transposición de NIS2 en España a día de hoy. Esta es la secuencia completa:
| Fecha | Qué pasó |
|---|---|
| 17 de octubre de 2024 | Vence el plazo para transponer la directiva. España no lo cumple. |
| 28 de noviembre de 2024 | La Comisión Europea envía la carta de emplazamiento, el primer paso del expediente de infracción. |
| 14 de enero de 2025 | El Consejo de Ministros aprueba en primera vuelta el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. |
| 7 de mayo de 2025 | La Comisión emite dictamen motivado contra España y otros 18 Estados miembros. |
| 8 de julio de 2026 | La Comisión lleva a España ante el Tribunal de Justicia de la UE, junto a Irlanda, Francia y Países Bajos. |
A 8 de septiembre de 2026 el anteproyecto NIS2 sigue sin aprobarse en segunda vuelta y sin entrar en las Cortes. No hay fecha oficial de aprobación, ni de publicación en el BOE, ni de entrada en vigor. Si buscas cuándo entra en vigor NIS2 en España, cualquier calendario que encuentres publicado es una estimación de quien lo escribe, no un dato.
Conviene separar dos cosas que se confunden a menudo. Una es la directiva NIS2, que en España ya obliga al Estado desde 2023. Otra es la norma nacional que traslada esas obligaciones a las empresas, que es la que falta. Para situarlo: de los 27 Estados miembros, 23 ya habían notificado la transposición completa cuando la Comisión llevó a España al Tribunal.
Las multas del Tribunal de Justicia las paga el Estado, no tu empresa
Conviene aclarar esto pronto, porque es el punto donde más se confunde la información publicada. La Comisión ha pedido al Tribunal que imponga a España sanciones económicas de dos tipos: una suma a tanto alzado por el tiempo que ha durado el incumplimiento, y una multa diaria que corre desde la sentencia hasta que España notifique la transposición completa.
Con el método de cálculo vigente, la suma a tanto alzado mínima aplicable a España es de 7.540.000 euros. Hay precedente reciente: en febrero de 2021 el Tribunal condenó a España a 15.000.000 de euros y 89.000 euros diarios por no transponer otra directiva.
Ese dinero sale del presupuesto público. Ninguna empresa española paga nada por esa sentencia, y ninguna autoridad va a repercutirla. Si has leído que NIS2 trae multas millonarias para las empresas, se están mezclando dos cosas distintas: las sanciones a España por no legislar, que son estas, y el régimen sancionador que la futura ley española aplicará a las empresas que estén dentro de su ámbito, que todavía no está en vigor.
Sin ley española, ninguna autoridad puede sancionarte por NIS2
Una directiva europea no se aplica sola. Necesita que cada país la convierta en ley nacional, y hasta que eso ocurre no genera obligaciones exigibles entre empresas privadas. El Tribunal de Justicia lo fijó en 1994 y no ha cambiado: un particular no puede invocar una directiva no transpuesta frente a otro particular.
Dicho en claro: hoy, en España, no hay ninguna autoridad que pueda abrirle expediente a una industrial privada por no cumplir NIS2, porque no existe la norma nacional que lo permita. Lo que sí existe es responsabilidad del propio Estado frente a quien demuestre haber sufrido un daño por la falta de transposición.
Eso resuelve la pregunta jurídica. No resuelve la práctica, que es la que te va a llegar antes.
NIS2 ya te llega por otras tres vías
Tu cliente europeo ya tiene la obligación y te la traslada por contrato
Los 23 países que sí han transpuesto tienen empresas que ya operan bajo su ley nacional. Alemania la tiene en vigor desde diciembre de 2025. Italia y Bélgica tienen sus registros de entidades funcionando.
La directiva obliga a esas empresas a gestionar la seguridad de su cadena de suministro, y en concreto a tener en cuenta las vulnerabilidades de cada proveedor directo y la calidad de sus prácticas de ciberseguridad. Para determinados sectores hay además un reglamento europeo, en vigor desde octubre de 2024 y directamente aplicable sin necesidad de ley nacional, que les exige incluir cláusulas de seguridad en los contratos con sus proveedores directos.
Si fabricas un componente para una empresa alemana sujeta a NIS2, la obligación es de ella, pero el cuestionario y la cláusula te llegan a ti. No por la ley española, que no existe. Por el contrato de tu cliente.
Si vendes a la administración, el ENS ya te obliga desde 2022
El Esquema Nacional de Seguridad no es NIS2 ni la sustituye, pero está en vigor y alcanza a empresas privadas. Su artículo 2.3 dice que se aplica a los sistemas de información de entidades del sector privado cuando, en virtud de una relación contractual, prestan servicios o proveen soluciones a entidades del sector público.
Y va más abajo: los pliegos deben incluir los requisitos necesarios para asegurar la conformidad con el ENS, y esa exigencia se extiende a la cadena de suministro del contratista según el análisis de riesgos.
Para muchas industriales españolas, esta es hoy la vía por la que ya tienen obligaciones legales de ciberseguridad. No NIS2, el ENS, y a través de un contrato público propio o del de un cliente.
Si estás designado operador de servicios esenciales, NIS1 sigue vigente
La normativa española que traspuso la primera directiva NIS, de 2018 y 2021, no se ha derogado. Sigue en vigor y obliga a designar un responsable de seguridad de la información, a notificar incidentes por la plataforma nacional y a mantener una declaración de aplicabilidad de medidas de seguridad.
Su alcance es mucho más estrecho que el de NIS2: cubre operadores de servicios esenciales en sectores como energía, transporte, agua, salud o infraestructuras digitales. Una industrial de 100 a 200 empleados normalmente no está designada, pero si operas en alguno de esos sectores conviene comprobarlo, porque esas obligaciones sí son exigibles hoy.
¿Sabes por cuál de las tres vías te va a llegar a ti?
En una revisión inicial miramos tus contratos con clientes europeos, si hay obligación de ENS por la vía pública y si estás designado bajo la normativa vigente. Salen las tres respuestas en el mismo sitio.
Cuando llegue la ley, entrarás si tienes 50 empleados o más y facturas más de 10 millones
El anteproyecto español, que será la normativa NIS2 en España el día que se apruebe, fija el umbral en las medianas empresas, que define como las de 50 o más trabajadores y volumen de negocio anual superior a 10 millones de euros. Las grandes son las de 250 o más trabajadores y más de 50 millones.
Una industrial de 100 a 200 empleados está dentro de ese tramo por tamaño. Que le aplique o no depende además de su actividad, porque la directiva cubre unos sectores concretos y deja fuera el resto. Varios subsectores de fabricación están incluidos, y esa lista, con el detalle de qué entra y qué no, es el contenido del siguiente artículo de esta serie. Si prefieres verlo aplicado a tu caso, esa comprobación es la primera parte de nuestro trabajo de cumplimiento de NIS2.
El anteproyecto también crea las autoridades: un Centro Nacional de Ciberseguridad como punto de contacto único, y tres autoridades de control repartidas entre Interior, Defensa y Transformación Digital.
Lo que conviene tener hecho antes de que la ley se publique
Nada de esto es obligatorio hoy y todo esto te lo van a pedir. Son, además, los requisitos de NIS2 en España que menos dependen de cómo quede la letra final de la norma. Cuatro cosas, por orden de utilidad:
- El inventario, de activos y de proveedores. Es la base de todo lo demás y es lo que más tarda. Sin saber qué sistemas tienes y quién accede a ellos, ninguna de las tres vías se puede responder. En una planta, ese inventario es también el punto de partida de la ciberseguridad industrial.
- Un procedimiento de notificación de incidentes. Los plazos ya están fijados en la directiva y el anteproyecto español recoge el primero: 24 horas para el aviso inicial, 72 horas para la notificación con evaluación y un mes para el informe final. Tener decidido de antemano quién avisa, a quién y con qué datos es la diferencia entre cumplir el plazo y no cumplirlo.
- Las cláusulas de seguridad con tus propios proveedores. Si tus clientes te las van a exigir a ti, tú se las tendrás que exigir a quien te mantiene las máquinas y a quien te lleva la informática.
- Formación de la dirección. El anteproyecto responsabiliza expresamente a los órganos de dirección de aplicar las medidas de gestión de riesgos, y prevé formación periódica para ellos. No es un asunto que se delegue entero al responsable de sistemas.
Las cuatro salen de la misma foto inicial, que es la que da una auditoría de ciberseguridad bien planteada.
Preguntas frecuentes
¿Me pueden multar hoy por no cumplir NIS2?
No. No existe ley española que lo permita, y una directiva no transpuesta no crea obligaciones exigibles entre empresas privadas. Otra cosa es que un cliente te retire un contrato por no responder a su cuestionario de seguridad, que sí puede pasar hoy.
¿Cuándo entra en vigor NIS2 en España?
No hay fecha. El anteproyecto se aprobó en primera vuelta en enero de 2025 y sigue sin pasar a las Cortes, así que no hay publicación en el BOE ni entrada en vigor previstas. La remisión al Tribunal de Justicia aumenta la presión política, pero no impone al Gobierno ningún plazo jurídico para aprobar la ley.
¿Las multas al Estado las acabamos pagando las empresas?
No de forma directa. Son sanciones al Estado por no legislar a tiempo y se pagan con presupuesto público. El régimen sancionador que afectará a las empresas es otro y llegará con la ley.
Un cliente alemán me ha mandado un cuestionario que cita NIS2. ¿Tengo que responderlo?
Jurídicamente no te obliga NIS2, te obliga tu contrato. Ese cliente sí está sujeto a la ley alemana y tiene que documentar la seguridad de sus proveedores directos. En la práctica, no responder es arriesgar la relación comercial.
¿NIS2 y el Esquema Nacional de Seguridad son lo mismo?
No. Son dos regímenes distintos con causas distintas. El ENS te alcanza por tener una relación contractual con el sector público. NIS2 te alcanzará por tamaño y sector cuando haya ley. Se pueden solapar en la misma empresa y comparten buena parte de las medidas, pero no se sustituyen.
¿Sirve de algo empezar ahora si la ley puede tardar un año más?
El inventario, el procedimiento de incidentes y las cláusulas con proveedores son lo que ya te están pidiendo tus clientes europeos, con ley española o sin ella. Y son la parte que más tarda en montarse.
Nadie sabe cuándo se publicará la ley, y esa es la razón para no esperarla
Llevamos casi dos años desde que venció el plazo europeo y la transposición de NIS2 en España sigue sin fecha. Lo que sí avanza, mientras tanto, es la exigencia por la vía comercial: los clientes de los 23 países que ya transpusieron están revisando su cadena de suministro, y el ENS lleva obligando desde 2022 a quien trabaja con la administración.
La empresa que llegue al día de la publicación en el BOE con el inventario hecho y el procedimiento de incidentes escrito solo tendrá que ajustar. La que llegue sin nada empezará por el principio, y con plazo.
Empieza por saber si te aplica y por dónde
Revisamos el alcance en tu caso concreto, con tus contratos y tus sistemas, y te decimos qué tendrías que tener hecho y en qué orden.
