NIS2 en España: guía de cumplimiento 2026
Qué exige la Directiva NIS2 a las empresas españolas, en qué punto real está la ley de transposición en julio de 2026 y cómo medir hoy su preparación con nuestra autoevaluación gratuita de 25 preguntas.
¿Qué es la Directiva NIS2?
La Directiva (UE) 2022/2555, conocida como NIS2, es la norma europea de ciberseguridad que sustituye a la NIS de 2016. Multiplica los sectores obligados, endurece las medidas de gestión de riesgos, impone plazos estrictos de notificación de incidentes (alerta temprana en 24 horas e informe en 72 horas) y hace directamente responsable a la dirección de la empresa. El plazo para que cada Estado miembro la transpusiera venció el 17 de octubre de 2024.
Estado de la transposición en España (julio de 2026)
España todavía no ha completado la transposición. El instrumento elegido es el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025 y aún en tramitación parlamentaria. Por este retraso, la Comisión Europea remitió a España un dictamen motivado en mayo de 2025 y, en su paquete de infracciones de julio de 2026, llevó a España ante el Tribunal de Justicia de la UE solicitando sanciones económicas. Cuando la ley se publique en el BOE entrará en vigor sin un periodo transitorio prolongado: el horizonte de plena aplicación se sitúa en torno a finales de 2026.
¿A quién aplicará en España?
A entidades esenciales e importantes de 18 sectores: energía, transporte, banca, sanidad, agua, infraestructura digital, servicios TIC gestionados, Administración pública, espacio, correos, residuos, químico, alimentario, fabricación, proveedores digitales e investigación, entre otros. Regla general de tamaño: 50 o más empleados o más de 10 millones de euros de facturación anual, con supuestos especiales que aplican con independencia del tamaño. La futura ley crea además un Centro Nacional de Ciberseguridad y reparte la respuesta a incidentes entre INCIBE-CERT (sector privado y ciudadanía), CCN-CERT (sector público) y ESPDEF-CERT (defensa).
Sanciones previstas
El régimen sancionador sigue los mínimos de la directiva: hasta 10 millones de euros o el 2 % de la facturación global anual para entidades esenciales, y hasta 7 millones o el 1,4 % para las importantes, además de la posible responsabilidad personal de los órganos de dirección.
El regulador de referencia: INCIBE
El
Instituto Nacional de Ciberseguridad (INCIBE) es la referencia operativa para el sector privado español: opera INCIBE-CERT, publica guías de preparación para NIS2 y atiende la línea de ayuda 017. Su mensaje es claro: no espere a la publicación de la ley. Un inventario de activos, MFA, copias de seguridad probadas, un plan de respuesta a incidentes y el control de proveedores tardan meses en implantarse bien.
Preguntas frecuentes
¿Está ya en vigor NIS2 en España?
La directiva europea está en vigor, pero España aún no ha aprobado la ley nacional que la transpone (julio de 2026). El anteproyecto sigue en tramitación y la Comisión Europea ha llevado el retraso ante el Tribunal de Justicia de la UE. En cuanto la ley se publique en el BOE, las obligaciones serán exigibles casi de inmediato.
¿Cómo sé si mi empresa estará obligada?
Si opera en alguno de los 18 sectores del ámbito NIS2 y tiene 50 o más empleados o factura más de 10 millones de euros al año, lo más probable es que sea entidad esencial o importante. Algunos supuestos aplican con independencia del tamaño.
¿Qué puedo hacer mientras llega la ley española?
Adelantar la preparación técnica y organizativa: inventario de activos, MFA, copias de seguridad probadas, plan de respuesta a incidentes y control de proveedores. Nuestra autoevaluación gratuita de 25 preguntas le da una foto inmediata con recomendaciones priorizadas.
Fuentes oficiales
Actualizado: julio de 2026 · Contenido informativo; no constituye asesoramiento jurídico.
Vigile su cumplimiento de forma continua
Regístrese gratis en OCIRIA Seguridad y siga la evolución de su madurez NIS2 con alertas de riesgo.