Transposición de NIS2 en España: estado real (octubre 2026)

Actualizado el 11 de octubre de 2026

España todavía no ha transpuesto la Directiva NIS2. El plazo venció el 17 de octubre de 2024 y, a día de hoy —octubre de 2026—, la ley española sigue sin publicarse en el BOE. La Comisión Europea ha agotado la vía diplomática: el 8 de julio de 2026 llevó a España ante el Tribunal de Justicia de la Unión Europea. Y el 6 de octubre de 2026 se disolvieron las Cortes, con elecciones generales el 29 de noviembre: el texto tendrá que esperar al próximo Gobierno.

Para una empresa afectada, esto genera una confusión peligrosa: si la ley española no existe, ¿tengo que hacer algo? La respuesta corta es sí. Y este artículo explica por qué.

Cronología del incumplimiento

Fecha	Hito
16 de enero de 2023	Entra en vigor la Directiva (UE) 2022/2555 (NIS2)
17 de octubre de 2024	Vence el plazo de transposición para los Estados miembros
28 de noviembre de 2024	La Comisión envía cartas de emplazamiento
14 de enero de 2025	El Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
7 de mayo de 2025	La Comisión emite dictamen motivado
8 de julio de 2026	La Comisión lleva a España ante el TJUE, junto a Irlanda, Francia y Países Bajos
6 de octubre de 2026	Se publica en el BOE el Real Decreto 806/2026, que disuelve las Cortes y convoca elecciones generales para el 29 de noviembre. El anteproyecto no había llegado al Congreso
23 de diciembre de 2026	Constitución prevista de las nuevas Cortes

El paso al Tribunal no es simbólico: la remisión incluye la petición de sanciones económicas —una cantidad a tanto alzado y multas diarias— hasta que se notifique la transposición completa. El coste del retraso ya no es reputacional; es presupuestario.

Qué es el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad

Es el texto con el que España transpondrá NIS2. El Consejo de Ministros lo aprobó el 14 de enero de 2025 y se tramita por el procedimiento de urgencia, con los informes preceptivos de distintos organismos y el dictamen del Consejo de Estado antes de su remisión a las Cortes. A octubre de 2026 no ha llegado al Congreso.

Qué cambia con la disolución de las Cortes

Con las Cortes disueltas, el texto no puede tramitarse en esta legislatura. Corresponderá al Gobierno que salga de las elecciones del 29 de noviembre aprobarlo como proyecto de ley —con los cambios que decida— y remitirlo a las nuevas Cortes. En la práctica, la ley no se aprobará antes de 2027, mientras el procedimiento ante el TJUE y las posibles multas diarias siguen su curso.

Para tu empresa, esto no cambia lo que tienes que hacer: cambia cuánto tiempo seguirás sin saber quién te supervisará. Las obligaciones de fondo vienen de la directiva y ya se conocen.

Sus dos novedades estructurales son estas:

El Centro Nacional de Ciberseguridad

La ley crea un Centro Nacional de Ciberseguridad, adscrito a la Presidencia del Gobierno, como autoridad nacional competente única para la dirección, el impulso y la coordinación. Actuará además como punto de contacto único para la cooperación intersectorial y transfronteriza, y como autoridad nacional de gestión de crisis de ciberseguridad.

Las autoridades de control, repartidas por sector

La supervisión y ejecución no se concentran en un solo organismo, sino que se reparten:

• Ministerio del Interior, a través de la Oficina de Coordinación de Ciberseguridad.
• Ministerio de Defensa, a través del Centro Criptológico Nacional.
• Ministerio para la Transformación Digital y de la Función Pública, a través de la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales.

La consecuencia práctica: tu supervisor dependerá del sector en el que operes. Conviene identificarlo desde ya.

Por qué esperar a la ley es un error

Es la tentación natural —«ya me pondré cuando se publique»— y es un error por cuatro razones concretas.

1. La obligación europea ya existe. NIS2 está en vigor. El retraso es del Estado, no de la norma. Y una directiva no transpuesta a tiempo puede desplegar efectos —incluida la responsabilidad del Estado— sin que ello ampare al obligado.

2. La previsión es que no haya periodo transitorio largo. Cuando la ley se publique, lo previsible es que entre en vigor con rapidez. Quien empiece ese día llegará tarde: implantar la gestión de riesgos, la seguridad de la cadena de suministro y un procedimiento de notificación capaz de responder en 24 horas no se hace en unas semanas.

3. El contenido sustantivo ya se conoce. Las obligaciones vienen de la directiva, no de la ley española: las medidas del artículo 21, los plazos de notificación del artículo 23 y la responsabilidad del órgano de dirección del artículo 20 no van a cambiar con la transposición. La ley española define quién supervisa y cómo, no qué hay que hacer.

4. Tus clientes ya te lo están preguntando. La seguridad de la cadena de suministro es una de las medidas obligatorias del artículo 21. Eso significa que las entidades afectadas están exigiendo garantías a sus proveedores — y esa presión contractual llega mucho antes que el BOE.

Qué hacer ahora, sin esperar al BOE

1. Determinar si estás dentro del ámbito: sector de los anexos I o II y umbral de mediana empresa (lo detallamos en nuestra guía sobre a quién aplica NIS2).
2. Identificar tu autoridad de control previsible, según el sector.
3. Cerrar la brecha del artículo 21: análisis de riesgos, gestión de incidentes, continuidad, cadena de suministro, ciberhigiene y formación.
4. Montar el procedimiento de notificación: alerta temprana en 24 h, notificación en 72 h, informe final en un mes.
5. Llevarlo al consejo: el artículo 20 hace responsable al órgano de dirección de aprobar y supervisar las medidas.

Qué implica según el tamaño de tu empresa

• Pyme: confirma primero si el umbral de mediana empresa te deja dentro o fuera; es la decisión que más tiempo y dinero ahorra.
• Mediana empresa: empieza por el procedimiento de notificación y el análisis de riesgos. Son lo más difícil de improvisar.
• Gran empresa: tu exposición real está en la cadena de suministro y en la evidencia auditable ante un supervisor que ya está identificado por sector. Coordina NIS2 con DORA, el ENS y el EU AI Act en un solo marco.

Demostrar el cumplimiento, no estimarlo

Cuando la ley entre en vigor y llegue la primera inspección, la pregunta no será si tu empresa tiene medidas, sino si puede demostrar que funcionan —lo que el artículo 21 llama, literalmente, evaluar la eficacia de las medidas. Las auditorías por muestreo entregan una estimación; un supervisor pide prueba.

Deflank existe para cerrar esa brecha: mediante una metodología de verificación propia, convierte los requisitos aplicables en una prueba demostrable, reproducible y auditable, no en una estimación probabilística. La prueba, no la estimación.

---

Sigue leyendo: guía de NIS2 · NIS2: qué es y a quién aplica · certificación NIS2.

Contenido informativo; no constituye asesoramiento jurídico. Fuentes: Directiva (UE) 2022/2555; Comisión Europea, paquete de infracciones de 8 de julio de 2026; Consejo de Ministros, 14 de enero de 2025 (anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad); Real Decreto 806/2026, de 5 de octubre (BOE de 6 de octubre de 2026). Información verificada el 11 de octubre de 2026: este artículo debe actualizarse cuando el nuevo Gobierno apruebe el proyecto de ley y cuando la ley se publique en el BOE.