¿INCIBE supervisará el cumplimiento de NIS2?

No como autoridad de control. El anteproyecto de transposición atribuye la supervisión a autoridades de control de los ministerios del Interior, Defensa y Transformación Digital, coordinadas por un nuevo Centro Nacional de Ciberseguridad. INCIBE, a través de INCIBE-CERT, tendría el papel de equipo de respuesta a incidentes (CSIRT) de referencia para las entidades privadas.

¿Qué es INCIBE-CERT?

Es el equipo de respuesta a incidentes de seguridad de INCIBE. El Real Decreto-ley 12/2018 lo reconoce como CSIRT de referencia para la ciudadanía y las entidades de Derecho privado en España.

¿A quién notifico hoy un incidente si soy una empresa privada?

Si eres operador de servicios esenciales o proveedor de servicios digitales bajo el Real Decreto-ley 12/2018, al CSIRT de referencia, que para las entidades privadas es INCIBE-CERT, en los términos de esa norma. Mientras NIS2 no se transponga, ese es el régimen vigente en España.

¿Cambiará el canal de notificación con NIS2?

Según el anteproyecto, INCIBE-CERT seguiría siendo el CSIRT de referencia para las entidades que no son del sector público, y el CCN-CERT para el sector público. Lo que cambian son los plazos y el contenido: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes (artículo 23 de NIS2).

¿INCIBE puede multarme?

Las sanciones de NIS2 las impondrán las autoridades competentes que designe la ley de transposición, no un CSIRT. La función de un CSIRT es la respuesta técnica a incidentes y la alerta temprana, no la sanción.

¿Qué ayuda ofrece INCIBE a una pyme?

INCIBE ofrece recursos gratuitos de ciberseguridad para empresas y ciudadanos, y una línea de ayuda en ciberseguridad, el 017. No sustituye al cumplimiento, pero es un buen punto de partida para la ciberhigiene y la formación que exige el artículo 21.

INCIBE y NIS2: qué papel tiene y a quién debes notificar incidentes

Actualizado el 11 de octubre de 2026

Cuando una empresa española empieza a estudiar NIS2, el primer nombre que suele aparecer es INCIBE. Es lógico: el Instituto Nacional de Ciberseguridad es la cara más visible de la ciberseguridad en España para empresas y ciudadanos. Pero de ahí nace una confusión frecuente: pensar que INCIBE será el supervisor de NIS2, quien inspeccione y quien multe.

No es así, al menos según el texto que hoy prepara la transposición. INCIBE tiene un papel importante, pero distinto: el de respuesta a incidentes. Este artículo explica qué es INCIBE, qué hace hoy INCIBE-CERT, qué papel le reserva el anteproyecto de transposición y quién supervisará de verdad a tu empresa. Para el marco general, consulta nuestra guía de NIS2.

Qué es INCIBE

El Instituto Nacional de Ciberseguridad (INCIBE) es una sociedad mercantil estatal dependiente del Ministerio para la Transformación Digital y de la Función Pública, a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial. Su misión es reforzar la ciberseguridad de ciudadanos, empresas y red académica, y lo hace con tres tipos de actividad:

Respuesta a incidentes, a través de INCIBE-CERT.
Concienciación y recursos gratuitos para empresas y ciudadanos, incluida la línea de ayuda en ciberseguridad 017.
Impulso del sector de la ciberseguridad: talento, emprendimiento e innovación.

Qué hace hoy INCIBE-CERT

España transpuso la primera directiva NIS mediante el Real Decreto-ley 12/2018, desarrollado por el Real Decreto 43/2021. Ese régimen sigue vigente mientras NIS2 no se transponga, y en él:

INCIBE-CERT es el CSIRT de referencia para la ciudadanía y las entidades de Derecho privado.
El CCN-CERT, del Centro Criptológico Nacional, lo es para el sector público.
El ESPDEF-CERT, del Mando Conjunto del Ciberespacio, actúa en el ámbito de la Defensa.

Los operadores de servicios esenciales y los proveedores de servicios digitales privados deben notificar sus incidentes significativos al CSIRT de referencia, que en su caso es INCIBE-CERT. La gestión de los operadores críticos privados se hace de forma conjunta entre INCIBE-CERT y la Oficina de Coordinación de Ciberseguridad del Ministerio del Interior.

Pero notificar a un CSIRT no es lo mismo que rendir cuentas a un supervisor. Las autoridades competentes del régimen actual son otras: la Secretaría de Estado de Seguridad para los operadores críticos, las autoridades sectoriales que fija el Real Decreto 43/2021 para los demás operadores de servicios esenciales y la Secretaría de Estado de Digitalización e Inteligencia Artificial para los proveedores de servicios digitales.

Qué papel le da el anteproyecto de transposición de NIS2

El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025, mantiene esa arquitectura de tres CSIRT de referencia:

CSIRT	A quién atiende según el anteproyecto
CCN-CERT	Entidades del sector público
INCIBE-CERT	El resto de entidades, incluidas las privadas
ESPDEF-CERT	Incidentes con impacto en la Defensa Nacional y apoyo a los anteriores

Y separa claramente la respuesta de la supervisión. La supervisión correspondería a:

un nuevo Centro Nacional de Ciberseguridad, adscrito a la Presidencia del Gobierno, como autoridad nacional única de coordinación; y
autoridades de control sectoriales en los ministerios del Interior, Defensa (a través del Centro Criptológico Nacional) y Transformación Digital.

En resumen: INCIBE-CERT recibirá tus notificaciones de incidentes; la autoridad de control comprobará si cumples y, en su caso, te sancionará.

Un recordatorio importante: el anteproyecto no es ley. A octubre de 2026 no había llegado al Congreso y, tras la disolución de las Cortes el 6 de octubre, tendrá que retomarlo el próximo Gobierno, posiblemente con cambios. Lo explicamos en transposición de NIS2 en España.

Lo que cambia con NIS2 en la notificación de incidentes

Aunque el canal se mantenga, NIS2 endurece mucho la notificación. El artículo 23 exige, para los incidentes significativos:

Alerta temprana en un plazo de 24 horas desde que se tenga constancia.
Notificación del incidente en 72 horas, con una evaluación inicial.
Informe final en el plazo de un mes desde la notificación.

Además, el ámbito se amplía mucho: NIS2 alcanza a muchas más entidades, de sectores que la primera directiva no cubría —gestión de servicios TIC entre empresas, fabricación, alimentación, gestión de residuos, servicios postales, entre otros—. Muchas empresas que nunca han tenido relación con INCIBE-CERT tendrán que notificarle incidentes.

Qué conviene hacer ya

Determina si estás en el ámbito de NIS2 con los anexos I y II y el umbral de mediana empresa; lo explicamos en NIS2 en España: sectores y empresas afectadas.
Identifica tu autoridad de control previsible según tu sector, que no será INCIBE.
Monta el procedimiento de notificación para cumplir los plazos de 24 h, 72 h y un mes, con INCIBE-CERT como destinatario previsible si eres una entidad privada.
Aprovecha los recursos de INCIBE para la ciberhigiene y la formación, dos de las medidas obligatorias del artículo 21.

Qué implica según el tamaño de tu empresa

Pyme fuera del ámbito: INCIBE es tu mejor aliado gratuito: guías, herramientas y la línea 017. NIS2 te llegará, si acaso, por los requisitos de tus clientes.
Mediana empresa dentro del ámbito: tu prioridad es el procedimiento de notificación. Tener localizado el canal de INCIBE-CERT el día que ocurre el incidente no es suficiente: necesitas saber clasificarlo y redactar la alerta temprana en horas.
Gran empresa o entidad esencial: coordina el canal de notificación de NIS2 con los de otras normas —DORA, RGPD, el AI Act— para no notificar el mismo incidente cuatro veces con cuatro versiones distintas.

El reto de fondo: demostrar, no estimar

Notificar bien un incidente exige saber, en horas, qué ha pasado, qué sistemas afecta y si tus medidas funcionaron. Y después de la notificación llega la pregunta del supervisor: ¿estaban implantadas las medidas del artículo 21? ¿Eran eficaces? Responder con una estimación no basta.

Deflank existe para cerrar esa brecha: con una metodología de verificación propia, convierte los requisitos aplicables en una prueba demostrable, reproducible y auditable de que tus controles funcionan, antes y después del incidente. La prueba, no la estimación.

Contenido informativo; no constituye asesoramiento jurídico. Fuentes: Directiva (UE) 2022/2555, artículos 21 y 23; Real Decreto-ley 12/2018; Real Decreto 43/2021; INCIBE, preguntas frecuentes sobre el Real Decreto 43/2021; anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (Consejo de Ministros, 14 de enero de 2025); Real Decreto 806/2026. Verificado el 11 de octubre de 2026.