NIS2 en España: la ley aún no está, el cuestionario de tu cliente sí

El 8 de julio, la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE por no haber traspuesto NIS2, y pedir de paso una multa a tanto alzado y otra diaria. Conviene decir en voz alta lo que eso significa: a día de hoy, 29 de julio de 2026, la ley española que traspone NIS2 no está publicada en el BOE. Y aun así, NIS2 ya está decidiendo contratos. Para la mayoría de empresas medianas de este país, esta normativa no va a llegar en forma de inspector: va a llegar en forma de cuestionario de seguridad enviado por el departamento de compras de tu cliente más grande, con una fecha de devolución corta.

Dónde está la ley, exactamente

La Directiva (UE) 2022/2555, que todo el mundo llama NIS2, fijó en su artículo 41 el 17 de octubre de 2024 como fecha límite para que los Estados la incorporaran a su derecho nacional. España no llegó. El instrumento elegido es la Ley de Coordinación y Gobernanza de la Ciberseguridad, cuyo anteproyecto aprobó el Consejo de Ministros en primera vuelta el 14 de enero de 2025 — y ahí sigue: a día de hoy no ha llegado a las Cortes como proyecto de ley. El expediente europeo, mientras tanto, ha recorrido sus tres etapas: carta de emplazamiento el 28 de noviembre de 2024, dictamen motivado el 7 de mayo de 2025 y, este mes, la remisión al Tribunal de Justicia junto a Irlanda, Francia y Países Bajos, con petición de suma a tanto alzado y multa coercitiva diaria hasta que se notifique la transposición completa.

Mientras tanto, lo que está vigente en España sigue siendo el Real Decreto-ley 12/2018, la transposición de la NIS original, con la supervisión repartida entre INCIBE-CERT y el CCN. Nadie sabe cuándo saldrá la nueva. Lo que sí conviene asumir es lo que anticipan los análisis del trámite: que no habrá un periodo transitorio largo y que entrará en vigor prácticamente con su publicación. Traducido a calendario de trabajo: el día que aparezca en el BOE no empieza tu proyecto de adecuación, empieza tu obligación.

Circulan calendarios contradictorios sobre todo esto, con fechas y plazos de adaptación que no hemos podido verificar en ninguna fuente oficial. Nosotros solo afirmamos lo que se puede comprobar, y lo comprobable es esto: en el BOE, la ley no está. Si alguien te pone una fecha límite encima de la mesa, pídele el número de la disposición. Es una pregunta educada y ordena mucho la conversación.

Lo que sí es aplicable hoy, sin esperar a nadie

Hay una pieza de esta normativa que no necesita transposición porque es un reglamento y no una directiva: el Reglamento de Ejecución (UE) 2024/2690, de 17 de octubre de 2024, publicado en el Diario Oficial al día siguiente. Desarrolla los requisitos técnicos y metodológicos de las medidas del artículo 21.2 de NIS2 y detalla cuándo un incidente se considera significativo. Y lo hace para una lista muy concreta de destinatarios: proveedores de servicios de DNS, registros de nombres de dominio de primer nivel, proveedores de computación en nube, proveedores de servicios de centro de datos, redes de distribución de contenidos, proveedores de servicios gestionados y de servicios de seguridad gestionados, mercados en línea, motores de búsqueda, plataformas de redes sociales y prestadores de servicios de confianza.

Traducido: si vives de administrar la infraestructura de otros —o de vigilarla—, ahí hay un anexo con tu nombre. Nosotros somos exactamente uno de los tipos de proveedor que ese reglamento nombra, y no nos parece mal: es de lo poco de todo este asunto que se puede bajar a una tabla de controles concretos en lugar de a una declaración de intenciones. Que un texto europeo diga con nombre y apellidos qué tiene que documentar un proveedor de servicios gestionados es más útil que veinte artículos de principios.

Por qué te llega igual aunque no seas «entidad esencial»

El ámbito directo de NIS2 se suele resumir en dos trazos: operar en uno de los sectores de sus anexos —energía, transporte, banca, sanidad, agua, infraestructura digital, administración, y una lista de sectores «importantes» que incluye fabricación, alimentación, correos o servicios digitales— y superar el umbral de 50 empleados o 10 millones de euros de volumen de negocio o balance. Hay un tercer trazo que se cuenta menos: el artículo 2 mete dentro a una lista de entidades sea cual sea su tamaño, entre ellas los operadores de comunicaciones electrónicas, los prestadores de servicios de confianza, los registros de dominios y quien sea proveedor único de un servicio crítico en un Estado. Aun así, mucha empresa mediana hace la cuenta, ve que no encaja en ningún anexo y cierra el tema. Es exactamente ahí donde se equivoca.

Porque el artículo 21 obliga a las entidades que sí están dentro a gestionar los riesgos de su cadena de suministro, incluida la seguridad de sus proveedores directos. Una obligación así no se queda quieta: se traslada por contrato. El cliente que está en el ámbito no puede auditar la ley por ti, pero sí puede meter en el pliego que le acredites controles, que le notifiques incidentes en un plazo y que le dejes auditar. Así que la pregunta útil no es «¿soy entidad esencial?», sino «¿cuáles de mis clientes lo son?». Esa sí tiene fecha, y la pone su departamento de compras, no el BOE.

Es el mismo mecanismo, visto del derecho, que cuando el incidente de un proveedor de software acaba en el nombre de sus clientes. Lo escribíamos hace dos días a propósito de una extorsión que no cifró nada: el riesgo entra por donde entra la confianza. NIS2 no inventa ese problema; lo pone por escrito y le pone firma.

El cuestionario, pregunta a pregunta

Los cuestionarios de proveedor se parecen mucho entre sí, y la mayoría se responde con un «sí» que no significa nada. Lo que sigue es cómo los leemos nosotros: qué se pregunta, y qué se está midiendo de verdad detrás de la pregunta.

• «¿Usáis MFA?» — La respuesta correcta no es sí, es cuál. Un SMS y una passkey no defienden de lo mismo, y Microsoft ya ha puesto fecha a la retirada del SMS como método de autenticación. Lo contamos en el post sobre Entra y el fin del SMS. Si respondes «sí» y tu MFA es un código por mensaje, has firmado algo que no es verdad del todo.
• «¿Aplicáis parches de seguridad?» — Todo el mundo dice que sí. Lo que se está midiendo es en cuánto tiempo y con qué criterio de prioridad. Priorizar por nota CVSS es cómodo y es un error: lo que ordena la cola es la exposición real del sistema y si hay explotación activa documentada.
• «¿Hacéis copias de seguridad?» — La pregunta que separa a los que están preparados de los que no es otra: ¿cuándo fue la última restauración completa que hicisteis y cuánto tardó? Y si esas copias son inmutables, porque un atacante con credenciales de administración borra copias antes de cifrar nada. Es la lección del registro de la propiedad que se borró entero.
• «¿Tenéis inventario de activos?» — Aquí se cae mucha gente, y es la base de todo lo demás: no puedes proteger, parchear ni notificar sobre algo que no sabes que tienes. Nosotros usamos NetBox como fuente de verdad de la red por este motivo exacto, no por gusto por la documentación.
• «¿Monitorizáis la seguridad 24/7?» — Lo que se mide es si hay alguien al otro lado y qué pasa un sábado a las tres de la mañana. Tener registros no es detectar; una alerta sin dueño no es una defensa, es un apunte. Va de eso lo que publicamos esta misma mañana sobre fatiga de alertas.
• «¿Cómo gestionáis altas y bajas de personal?» — El indicador real es cuánto tarda en morir una cuenta cuando alguien se va, incluidos los accesos de terceros y las cuentas de servicio que nadie reclama. Es la parte menos vistosa y la que más aparece en los informes de incidentes.
• «¿Nos notificaréis los incidentes en X horas?» — Ojo con esta, porque es la que con más frecuencia acaba convertida en cláusula con plazo. Si tu cliente tiene 24 horas frente al regulador, te pedirá 12 o menos. Antes de firmar ese plazo, comprueba que existe alguien de guardia que pueda cumplirlo.
• «¿Tenéis plan de continuidad?» — Un PDF no es un plan. Un plan tiene fecha del último ejercicio, un modo degradado decidido de antemano y una lista de dependencias externas. Lo desarrollamos a raíz de la caída de Microsoft 365 de este mes.

Ninguna de estas preguntas es nueva ni específicamente europea: son las de cualquier revisión de seguridad seria. Lo que cambia con NIS2 es que ahora la respuesta se firma, y quien la firma responde de ella.

Los tres relojes: 24 horas, 72 horas, un mes

La parte de NIS2 que más cambia el día a día son los plazos de notificación de un incidente significativo: alerta temprana en 24 horas, notificación con la evaluación inicial en 72 horas e informe final en un mes contado desde esa notificación (y un informe intermedio si el CSIRT lo pide por el camino). Sobre el papel parece un asunto de formularios. En la práctica es un problema de decisión.

Porque a las dos de la madrugada, con una alerta rara y medio contexto, alguien tiene que decir «esto es notificable». Ese alguien tiene que existir, tiene que estar localizable y tiene que tener escrito de antemano qué cuenta y qué no. Si no, las primeras horas —las únicas que valen— se van en encontrar a quién llamar. Nosotros lo vemos así: el reloj de 24 horas no mide tu capacidad de redactar, mide si tienes una guardia real y un criterio escrito. Todo lo demás son plantillas, y las plantillas se rellenan rápido cuando la decisión ya está tomada.

Las multas, sin vender miedo

Las cifras que verás en todas partes son ciertas: hasta 10 millones de euros o el 2% de la facturación mundial —la cantidad que sea mayor— para entidades esenciales y 7 millones o el 1,4% para las importantes, con responsabilidad de los órganos de dirección, que deben aprobar y supervisar las medidas. Ahora los dos matices que casi nunca se ponen al lado. El primero: eso no son tarifas, son los máximos que la directiva obliga a cada Estado a prever como mínimo en su ley, y se aplican por vía sancionadora, con un procedimiento detrás. El segundo: para una empresa mediana española que no está en ningún anexo, el riesgo realista a doce meses no es una multa millonaria. Es quedarse fuera de una licitación o de la renovación de un contrato por no saber responder media docena de preguntas de las de esa lista.

Y una advertencia práctica: no existe un carné de «empresa certificada NIS2». La directiva prevé que los Estados puedan apoyarse en esquemas europeos de certificación, pero nadie emite hoy un sello que te exima de nada. Si te ofrecen uno, lo que estás comprando es un PDF. Un informe de auditoría con evidencias, en cambio, sí sirve para responder un cuestionario, y suele costar menos.

Qué haríamos con noventa días por delante

Sin ley publicada, sin sello que comprar y con un cuestionario encima de la mesa, este es el orden en el que nosotros gastaríamos el presupuesto. Ordenado por impacto real, no por lo que mejor queda en un comité.

• Semanas 1-2: inventario y dueños. Qué sistemas hay, quién responde de cada uno y qué está publicado en Internet. Sin esto, el resto son opiniones.
• Semanas 2-4: identidad. MFA resistente a phishing en lo que de verdad importa —administradores, VPN, correo— antes que en todo lo demás. Y las cuentas de servicio, que nunca están en el proyecto y siempre están en el incidente.
• Semanas 4-6: copias e inmutabilidad, con una restauración cronometrada. Fecha en el calendario, un sistema real, y el número de minutos apuntado. Ese número es la respuesta a media docena de preguntas del cuestionario.
• Semanas 6-10: detección con dueño. Menos alertas y mejores: qué despierta a alguien de noche, quién es ese alguien y qué hace en los primeros diez minutos.
• Semanas 10-12: el procedimiento de notificación de una página. Quién decide que un incidente es notificable, a quién se avisa, qué se manda en las primeras 24 horas y con qué canal alternativo si el correo corporativo es justo lo que está caído.
• Y el punto que nadie pone en la lista: leer las cláusulas de seguridad de los contratos que ya has firmado. Es fácil que el plazo de notificación al que te comprometiste sea más exigente que el de la propia directiva.

Ninguna de estas seis cosas depende de que la ley salga en septiembre, en enero o el año que viene. Todas mejoran tu operación aunque NIS2 no existiera, y todas se pueden enseñar. Esa es, para nosotros, la prueba de fuego de una medida de cumplimiento: si solo sirve para aprobar una auditoría, sobra.

Esperar a la ley es una estrategia. Depende de para qué

Si tu único objetivo es no ser sancionado, esperar a que se publique el texto y ver qué dice exactamente es defendible. Es lo que hace mucha gente sensata. Si tu objetivo es no perder contratos, ya vas con retraso: los cuestionarios no esperan al BOE, y la primera vez que uno llega con fecha de devolución de siete días no da tiempo a montar nada, solo a contestar lo que ya tienes.

Fuentes (revisadas el 29-07-2026): remisión de España, Irlanda, Francia y Países Bajos al Tribunal de Justicia de la UE con petición de suma a tanto alzado y multa coercitiva diaria, y cronología del expediente (carta de emplazamiento del 28-11-2024 y dictamen motivado del 07-05-2025): paquete de infracciones de julio de 2026, Representación de la Comisión Europea en España (09-07-2026) y Red Seguridad. Plazo de transposición del 17-10-2024 (art. 41), ámbito y excepciones de tamaño (art. 2), obligaciones de gestión de riesgos y seguridad de la cadena de suministro (art. 21), plazos de notificación de 24 h / 72 h / 1 mes (art. 23) y límites sancionadores de 10 M€ o 2% y 7 M€ o 1,4% (art. 34): Directiva (UE) 2022/2555, EUR-Lex. Estado de la norma española —anteproyecto aprobado en Consejo de Ministros el 14-01-2025 en primera vuelta, sin llegar a las Cortes como proyecto de ley ni publicarse en el BOE, y vigencia del Real Decreto-ley 12/2018—: seguimiento del estado de NIS2 en España (nisd2.eu, revisado en junio de 2026) y análisis del trámite de la Ley de Coordinación y Gobernanza de la Ciberseguridad (actualizado el 10-07-2026). Título completo, categorías de entidades destinatarias y publicación en el DOUE del 18-10-2024 del Reglamento de Ejecución (UE) 2024/2690. El criterio de priorización, la lectura de los cuestionarios de proveedor y las opiniones son nuestros.