Bruselas ha decidido recurrir al Tribunal de Justicia contra España, Francia, Irlanda y Países Bajos por no haber transpuesto la Directiva NIS2, cuyo plazo venció en octubre de 2024. Qué pasa mientras la ley española sigue en el Parlamento.
La Comisión Europea ha decidido llevar a España, Francia, Irlanda y Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa de la Directiva NIS2. El plazo venció el 17 de octubre de 2024; la Comisión envió cartas de emplazamiento en noviembre de 2024 y dictámenes motivados en mayo de 2025, y en julio de 2026 dio el paso judicial. Pide al Tribunal una sanción a tanto alzado y multas diarias hasta que se complete la transposición.
La situación en España
El Consejo de Ministros aprobó en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crea un Centro Nacional de Ciberseguridad y reparte competencias entre Interior, Defensa (CCN) y Transformación Digital. El texto prevé sanciones de hasta 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y de 7 millones o el 1,4 % para las importantes, con responsabilidad explícita de los órganos de dirección. A fecha de esta noticia sigue en tramitación parlamentaria.
Por qué las obligaciones ya aplican
Que no exista todavía la ley española no deja a las organizaciones al margen:
- Contratos y cadena de suministro: los clientes esenciales e importantes trasladan los requisitos de NIS2 a sus proveedores.
- Otras normas ya vigentes: DORA en el sector financiero y el Esquema Nacional de Seguridad en el sector público y sus proveedores exigen medidas equivalentes.
- Clientes en otros países de la UE: la mayoría de los Estados miembros ya han transpuesto la directiva y la aplican a sus proveedores.
- Notificación de incidentes: INCIBE y el CCN-CERT ya gestionan los incidentes de las entidades esenciales e importantes.
Qué conviene hacer ahora
Determinar si la organización es esencial o importante, analizar las diferencias entre las medidas actuales y las de la directiva, y preparar el procedimiento de notificación de incidentes y la gestión de riesgos de terceros. Nuestro servicio de adecuación a NIS2 sigue exactamente ese orden.
