NIS2 en España: qué obliga hoy y qué no

«¿NIS2 ya me obliga?» es la pregunta que aparece en casi todas las primeras conversaciones con un comprador en España, y es también la que peor responde el mercado. Unos publican que NIS2 «ya es de obligado cumplimiento». Otros llevan dos años con la misma página sin tocar. Y en medio queda un responsable de seguridad que necesita saber una sola cosa: qué puede exigirle hoy una autoridad, y qué no.

La respuesta corta cabe en dos líneas, y las dos importan igual: NIS2 todavía no es derecho español, y al mismo tiempo hay una norma europea de ciberseguridad que ya te obliga y que casi nadie menciona. La primera mitad desactiva el miedo. La segunda es la que tiene consecuencias reales sobre lo que tienes que documentar este trimestre.

Escribimos esto sabiendo cuál es nuestro interés. Vendemos pentesting y auditoría, y el miedo regulatorio vende solo. Por eso hemos citado los textos en lugar de resumirlos, y por eso decimos también, con la misma claridad, dónde el texto no exige lo que nos convendría que exigiera.

Qué dice el registro europeo

La forma más rápida de comprobar si una directiva está transpuesta no es leer notas de prensa: es mirar el registro que la propia Unión Europea mantiene con lo que cada Estado miembro ha notificado. EUR-Lex publica, para cada directiva, las medidas nacionales de ejecución comunicadas por cada país.

Para el documento CELEX 32022L2555, que es NIS2, la fila de España dice «Number of measures: 0». La de Francia, en el mismo registro y el mismo día, muestra quince.

Ese cero no es una estimación ni una interpretación. Es el reflejo de que España no ha comunicado ninguna medida de transposición, que es exactamente el incumplimiento que la Comisión persigue. El artículo 41 de la directiva fijaba como fecha límite el 17 de octubre de 2024.

Conviene añadir el principio jurídico que casi nunca acompaña a esta conversación. Una directiva no transpuesta no crea obligaciones directas para una empresa privada. El Tribunal de Justicia lo tiene establecido desde hace décadas: una directiva puede invocarse frente al Estado que no la traspuso, pero no puede, por sí misma, imponer obligaciones a un particular ni ser invocada contra él —doctrina fijada, entre otros, en el asunto C-91/92, Faccini Dori—. Traducido al día a día: hoy nadie puede oponerte un artículo de NIS2 como si fuera derecho español.

Dónde está la norma española

El vehículo elegido por el Gobierno es una ley, y lleva nombre propio: el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad.

El Consejo de Ministros lo aprobó en primera lectura el 14 de enero de 2025. La referencia del Consejo recoge dos acuerdos ese mismo día: el anteproyecto «a los efectos previstos en el artículo 26.4 de la Ley 50/1997» —el trámite en que el Gobierno decide sobre los ulteriores pasos del texto— y un acuerdo por el que «se autoriza la tramitación administrativa urgente prevista en el artículo 27.1.a)» de la misma ley.

Esa segunda pieza es reveladora y se cita poco: el Gobierno declaró el asunto urgente en enero de 2025. Casi veinte meses después, el texto sigue sin entrar en el Congreso.

Un anteproyecto no es una ley

Merece la pena poner los peldaños en orden, porque es donde se produce casi toda la confusión del mercado.

El anteproyecto de coordinación y gobernanza está en el primer peldaño. Nada de lo que contiene es exigible hoy, y todo lo que se publique sobre su contenido debe escribirse en condicional, porque el texto que salga de las Cortes puede no ser el que entró.

Y en el Congreso, ¿hay algo?

Aquí hay que ser exactos, porque el titular fácil sería falso. Una enumeración completa de las 111 iniciativas de la serie 121 —proyectos de ley— de la legislatura XV no devuelve ninguna coincidencia con «ciber», «NIS» ni «redes y sistemas de información». No hay proyecto de ley de NIS2 en las Cortes.

Lo que sí hay en esa misma lista es el Proyecto de Ley de protección y resiliencia de las entidades críticas —la pieza gemela de NIS2 en el paquete europeo de 2022— y el Proyecto de Ley de Información Clasificada. Es decir: no es que el Parlamento no esté tramitando nada de resiliencia o de seguridad. Es que lo que falta, precisamente, es NIS2.

Esa distinción importa por dos razones. La primera, de honestidad: quien afirme que «no hay nada de ciberseguridad en las Cortes» se equivoca. La segunda, de previsión: cuando el texto de NIS2 entre, entrará en un Parlamento que ya está trabajando el expediente contiguo, y eso acorta plazos.

España, ante el Tribunal de Justicia

El 9 de julio de 2026 la Representación de la Comisión Europea en España publicó la decisión en términos que no admiten matiz: «La Comisión Europea ha decidido hoy llevar a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia […] por no haber notificado las medidas de transposición».

Dos precisiones sobre lo que esto significa y lo que no.

No es un procedimiento contra las empresas. El recurso por incumplimiento se dirige contra el Estado miembro. Ninguna sanción de este expediente puede repercutirse a una entidad privada, y nadie va a inspeccionarte «por el caso del Tribunal de Justicia». Que la Comisión pueda pedir sanciones económicas ya en esa primera sentencia es una particularidad de los incumplimientos consistentes en no comunicar medidas de transposición, prevista en el artículo 260.3 del Tratado de Funcionamiento de la Unión Europea.

Sí es una señal sobre el calendario. Un Estado con una multa coercitiva diaria sobre la mesa tiene un incentivo muy concreto para aprobar deprisa. La consecuencia práctica para una organización española no es «cumplir NIS2 hoy», que no es posible porque no existe la norma que concrete qué significa cumplirla aquí; es estar en condiciones de absorber una ley que llegará con poco margen de adaptación. Son dos proyectos distintos, y confundirlos cuesta dinero: uno es comprar cumplimiento de algo inexistente, el otro es ordenar lo que de todas formas te va a hacer falta.

Qué sigue en vigor hoy

Mientras tanto, España no está en vacío legal. La generación anterior de la normativa europea de redes y sistemas de información sigue plenamente vigente.

• Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información (BOE-A-2018-12257), que traspuso la Directiva (UE) 2016/1148.
• Real Decreto 43/2021 (BOE-A-2021-1192), que lo desarrolla.

Ninguno de los dos ha sido derogado, y eso es precisamente lo que hace inexacto decir que «España no tiene normativa de ciberseguridad». Tiene la anterior.

A quién obliga

No a cualquier empresa. El régimen alcanza a los operadores de servicios esenciales y a los proveedores de servicios digitales que quedan dentro de su ámbito. Si tu entidad nunca ha sido designada ni notificada, lo más probable es que este bloque no te aplique todavía —y que sí te aplique cuando la nueva ley amplíe los sectores, que es una de las razones por las que ordenarse ahora tiene sentido—.

Autoridades competentes

El artículo 9.1 del Real Decreto-ley 12/2018 reparte la competencia en tres bloques: para los operadores de servicios esenciales que además sean operadores críticos conforme a la Ley 8/2011, la Secretaría de Estado de Seguridad, a través del CNPIC; para el resto de operadores de servicios esenciales, la autoridad sectorial correspondiente; para los proveedores de servicios digitales, la Secretaría de Estado con competencias en digitalización; y para operadores y proveedores que, no siendo operadores críticos, entran en el perímetro de la Ley 40/2015, el Ministerio de Defensa a través del CCN.

Una advertencia de lectura: las denominaciones ministeriales han cambiado con las sucesivas reorganizaciones del Gobierno, y el texto consolidado conserva la vigente en el momento de su última modificación. Al redactar un documento contractual conviene comprobar la denominación actual en lugar de copiarla de un artículo.

CSIRT de referencia

El artículo 11 del mismo real decreto-ley designa los equipos de respuesta a incidentes: el CCN-CERT para el sector público, el INCIBE-CERT para el resto de entidades, y el ESPDEF-CERT para lo que tiene implicación en la defensa nacional. Son las direcciones a las que se notifica hoy, no las que anuncie la futura ley.

La potestad de auditoría que ya existe

Hay un detalle del artículo 32.1 que merece atención porque prefigura lo que viene. La autoridad competente puede auditar o exigir al operador que someta la seguridad de sus redes y sistemas de información a «una auditoría por una entidad externa, solvente e independiente».

Fíjate en los tres calificativos: externa, solvente e independiente. El texto no menciona acreditación, registro, licencia ni establecimiento en España. Es una observación sobre lo que el artículo dice, no una recomendación de compra; quien quiera el análisis completo de qué requisitos existen realmente para contratar a un proveedor no español lo tiene desarrollado en nuestro artículo sobre contratar una empresa de pentesting no española.

Y el régimen sancionador aplicable hoy a un operador designado es el del propio Real Decreto-ley 12/2018. No el de NIS2.

El reglamento que sí obliga ya

Esta es la parte que el mercado español no está contando, y es la que tiene consecuencias operativas inmediatas.

El Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024 (referencia del BOE: DOUE-L-2024-81540) desarrolla el artículo 21, apartado 5, de NIS2 y fija los requisitos técnicos y metodológicos de las medidas de gestión de riesgos de ciberseguridad para un conjunto concreto de entidades digitales.

Lo decisivo es su naturaleza. Es un reglamento, no una directiva. El artículo 288 del Tratado de Funcionamiento de la Unión Europea lo dice en una frase que conviene leer entera: «El reglamento tendrá un alcance general. Será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro».

Consecuencia: no necesita transposición, y el retraso español no le afecta en absoluto. Está en vigor desde el 18 de octubre de 2024. Ninguna de las tres ramas de la conversación española —el anteproyecto, el Congreso, el Tribunal de Justicia— cambia nada de esto.

A quién se aplica

Y aquí toca ser igual de preciso que antes, porque la tentación de ensanchar el ámbito es fuerte. El reglamento no se aplica a todas las entidades de NIS2. Se aplica a estas:

• proveedores de servicios DNS
• registros de nombres de dominio de primer nivel
• proveedores de servicios de computación en nube
• proveedores de servicios de centro de datos
• proveedores de redes de distribución de contenidos
• proveedores de servicios gestionados
• proveedores de servicios de seguridad gestionados
• proveedores de mercados en línea, de motores de búsqueda en línea y de plataformas de servicios de redes sociales
• prestadores de servicios de confianza

Si tu entidad está en esa lista, el reglamento te vincula hoy, con independencia de lo que haga el legislador español. Si no lo está, no te vincula —y decirlo es parte del trabajo—.

Punto 6.5 del anexo: «Pruebas de seguridad»

El anexo del reglamento es el que contiene los requisitos concretos. Su punto 6.5, titulado «Pruebas de seguridad», se articula en tres subpuntos:

6.5.1 — Política y procedimientos.

Hay que establecer y mantener políticas y procedimientos de pruebas de seguridad. No basta con encargar una prueba: tiene que existir el documento que explica por qué, cuándo y cómo se prueba.

6.5.2 — Necesidad, alcance, frecuencia y tipo, derivados del riesgo.

La necesidad de probar, el alcance, la frecuencia y el tipo de prueba se determinan a partir del análisis de riesgos. Las pruebas se realizan «de acuerdo con una metodología de prueba documentada», y hay que documentar el tipo, el alcance, la fecha y los resultados, incluidos los hallazgos críticos, y corregirlos.

6.5.3 — Revisión a intervalos planificados.

El conjunto se revisa a intervalos planificados. Es decir: la política de pruebas es un elemento vivo, no un anexo que se firma una vez.

Lo que el punto 6.5 no dice

Esta es la frase que un proveedor de pentesting no debería querer escribir, y por eso la escribimos:

El punto 6.5 no exige en ningún momento que quien realiza las pruebas sea externo ni independiente. Un equipo interno que cumpla la letra del texto —política documentada, alcance derivado del riesgo, metodología documentada, registro de tipo, alcance, fecha y resultados, corrección de los hallazgos críticos y revisión periódica— cumple el punto 6.5.

Si alguien te dice que el Reglamento 2024/2690 «obliga a contratar auditorías externas», está leyendo el texto con más entusiasmo del que el texto admite.

Dicho lo cual, hay razones para encargar las pruebas fuera, y son razones, no obligaciones. La primera es la calidad de la evidencia: un informe firmado por quien no construyó el sistema resiste mejor la mirada de un cliente, de una aseguradora o de un organismo de certificación. La segunda es el propio artículo 32.1 del Real Decreto-ley 12/2018, que, si alguna vez una autoridad ejerce esa potestad, habla de una entidad externa, solvente e independiente. La tercera es puramente práctica: el subpunto 6.5.2 exige una metodología documentada, y un proveedor serio ya la tiene publicada —las nuestras están en metodologías de testing, página por página, precisamente para que se puedan comparar—.

El punto inmediatamente anterior del mismo anexo, el 6.1, se ocupa del tratamiento de las vulnerabilidades, que es el otro lado de la misma moneda: probar sin un circuito de corrección documentado produce un problema documentado, no una corrección documentada. Ahí encaja un análisis de vulnerabilidades recurrente junto a un test de intrusión puntual —lo que el Esquema Nacional de Seguridad y DORA llaman, en su propia terminología, pruebas de penetración—.

Y si no estás en el ámbito del reglamento

Entonces no te obliga. Pero sigue siendo, a día de hoy, el texto europeo más concreto que existe sobre qué se espera de una gestión de riesgos de ciberseguridad, y está escrito por la misma Comisión que supervisará el resto del marco. Usarlo como referencia voluntaria es una decisión de gestión razonable. Presentarlo como una obligación que no te alcanza, no.

La pieza española que está en camino

Conviene anotarlo porque es donde se conectarán ambos mundos: está en preparación la guía CCN-STIC 892, en la que trabajan el CCN, la SETID y la Oficina de Coordinación Cibernética (OCC) del CNPIC, concebida como un perfil de cumplimiento específico del ENS para las entidades comprendidas en el ámbito del Reglamento 2024/2690. Está en elaboración: cualquier afirmación sobre su contenido debe formularse en condicional hasta su publicación. Si tu organización ya trabaja contra el ENS, es el documento que conviene seguir; el detalle de qué exige realmente el esquema en materia de pruebas lo desarrollamos en qué exige realmente el ENS sobre pentesting.

Lo que se publica y lo que dicen los textos

Corregir un dato publicado no es hablar mal de nadie: es poner el texto al lado de la afirmación. Así que aquí van las afirmaciones que más circulan, con el instrumento enfrente.

Por qué no puede ser un real decreto

Este punto merece desarrollo, porque es el que permite detectar el error sin necesidad de buscar en el BOE.

Un real decreto es una norma reglamentaria: desarrolla lo que una ley le habilita a desarrollar. NIS2 exige a los Estados miembros crear obligaciones para entidades privadas y un régimen sancionador que las respalde, y en el derecho español eso tiene reserva de ley.

• El artículo 25.1 de la Ley 40/2015 establece que la potestad sancionadora de las Administraciones Públicas se ejercerá cuando haya sido expresamente reconocida por una norma con rango de ley.
• El artículo 27.1 de la Ley 40/2015 dispone que solo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una ley.
• Y el artículo 25.1 de la Constitución exige que la conducta esté tipificada por la legislación vigente en el momento de producirse.

De ahí que el Gobierno tramite un anteproyecto de ley y no un reglamento. Un real decreto podrá venir después, a desarrollar la ley —exactamente como el Real Decreto 43/2021 desarrolla el Real Decreto-ley 12/2018—, pero no puede ser el instrumento que cree el régimen.

Así que el atajo de verificación es simple: si alguien te cita un real decreto de transposición de NIS2, la pregunta es cuál es la ley que lo habilita. No hay respuesta posible, porque esa ley no existe todavía.

Por qué las cifras de sanción no son españolas

Los apartados 4 y 5 del artículo 34 de la directiva fijan, para las entidades esenciales, un importe máximo de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial total, y para las importantes, al menos 7 millones de euros o el 1,4 %; en ambos casos, la cuantía superior.

Pero esos apartados están redactados como mandatos a los Estados miembros —«los Estados miembros velarán por que…»—, no como normas de aplicación directa a las empresas. Sin ley española que las incorpore, no existe hoy en España base legal para imponerlas. Quien las publica como si ya se aplicaran está vendiendo un riesgo que todavía no existe, y eso tiene un coste: gasta el presupuesto de seguridad en el año equivocado.

Entonces, ¿qué te obliga hoy?

Depende de qué sea tu organización. Esta es la tabla que sustituye al titular.

Dos notas sobre la última fila, que es donde está la mayoría del mercado. La primera: que no sea obligatorio no lo convierte en irrelevante. La segunda, y es la que de verdad decide presupuestos: el artículo 32.1.d) del RGPD ya te pide un proceso regular de verificación de la eficacia de las medidas, y ese artículo lleva aplicándose desde 2018. No nombra un pentest —conviene decirlo, porque también se exagera—, pero sí exige el proceso. Quien ya lo tiene montado no tendrá que improvisarlo cuando la ley de ciberseguridad llegue.

Qué hacer ahora sin comprar miedo

Cinco decisiones que se sostienen tanto si la ley se publica en seis meses como si tarda dos años, porque ninguna depende de ella.

1. Sitúa tu entidad en los anexos de la directiva.

Los anexos I y II de la Directiva (UE) 2022/2555 enumeran los sectores de alta criticidad y los demás sectores críticos. No obligan hoy, pero definen quién quedará dentro y con qué categoría, y la ley española partirá de ahí. Es un ejercicio de una tarde y evita descubrirlo por el BOE.

2. Escribe la metodología antes que el pedido.

El subpunto 6.5.2 exige probar «de acuerdo con una metodología de prueba documentada». Si vas a comprar pruebas, pide la metodología por su nombre —OWASP WSTG para web, MASTG para móvil, PTES para la conducción del encargo— y guárdala junto al informe. Es la evidencia que se pide después, y es gratis pedirla antes.

3. Deriva alcance y frecuencia del análisis de riesgos, no del calendario comercial.

«Una vez al año» no es una respuesta al subpunto 6.5.2; es una costumbre. La respuesta es un razonamiento escrito que conecte los activos críticos, su exposición y el resultado del análisis de riesgos con el alcance y la periodicidad de cada prueba.

4. Registra tipo, alcance, fecha y resultados. Y cierra los hallazgos críticos.

El texto pide documentar los resultados incluidos los hallazgos críticos y corregirlos. Un informe archivado sin trazabilidad de la corrección no acredita nada. Por eso incluimos la reverificación de los hallazgos dentro del encargo en lugar de facturarla aparte.

5. Fija una revisión con fecha.

El subpunto 6.5.3 habla de intervalos planificados. Un asiento en el calendario de gobierno —con quién lo revisa y qué se decide— vale más que un documento de cien páginas sin dueño.

Si estás preparando además un sistema de gestión certificable, el solape es casi total: lo hemos desarrollado en ISO 27001 y NIS2: qué cambia en España y en la página de pentesting para ISO 27001. Y si lo que necesitas es una mirada de conjunto sobre controles y evidencias, ese trabajo es una auditoría de ciberseguridad, no un pentest.

Nuestra posición

La decimos entera, incluida la parte que no nos favorece.

• NIS2 no te obliga hoy en España, y no vamos a escribir lo contrario. Cualquier propuesta nuestra que mencione NIS2 lo hace como preparación ante una norma futura, con verbos en condicional.
• El Reglamento de Ejecución (UE) 2024/2690 sí obliga ya, a las entidades que enumera, y el punto 6.5 de su anexo no exige que quien prueba sea externo ni independiente. Vendemos pruebas externas y aun así el texto dice lo que dice.
• No somos autoridad ni organismo de certificación. No expedimos certificaciones de conformidad, ni con el Esquema Nacional de Seguridad ni con la ISO/IEC 27001: eso corresponde a organismos acreditados. Lo que entregamos es un informe técnico que sirve de evidencia ante ellos.
• Somos un proveedor europeo, una empresa establecida en la Unión Europea, con oficinas en Bratislava y Praga. Los datos y los informes permanecen en la Unión Europea, el RGPD se aplica directamente y no hay transferencia internacional del capítulo V del RGPD, ni cláusulas contractuales tipo que negociar.
• Lo que ponemos delante son compromisos verificables, no un logotipo prestado: metodología publicada, consultores con nombre y certificaciones comprobables, mandato por escrito y alcance contractual, y reverificación de los hallazgos incluida.

Si quieres el mapa completo de preparación, está en nuestra página de pentesting para NIS2. Y si tu duda es de contratación —quién puede hacer qué, y si un proveedor no español encaja—, empieza por quién puede auditar el ENS.

Preguntas frecuentes

¿Te han enviado un correo diciendo que NIS2 ya te obliga y no sabes qué hacer con él? Escríbenos el sector, el tamaño y lo que te han pedido: te respondemos por escrito en 24 horas, también cuando la respuesta es que hoy no te aplica nada. Solicita tu presupuesto o empieza por nuestra página de pentesting para NIS2.

Nuestros servicios relacionados: pentesting para prepararte ante la Directiva (UE) 2022/2555 (NIS2) · pentesting y tests de intrusión de tus aplicaciones e infraestructuras · auditoría de ciberseguridad de tu entorno tecnológico · pentesting para preparar tu certificación ISO 27001