La Directiva NIS2 (Directiva (UE) 2022/2555) se adoptó con el firme propósito de superar
las asimetrías y fragmentaciones de su predecesora, la NIS1, estableciendo un marco
común y cohesionado de ciberseguridad en toda la Unión Europea [1]. Tras el vencimiento
del plazo oficial para su adaptación en octubre de 2024 y la posterior decisión de la
Comisión Europea en 2025 de remitir a España ante el Tribunal de Justicia de la Unión
Europea (TJUE) por demoras regulatorias [5], el legislador español ha completado
formalmente la transposición de la directiva mediante la entrada en vigor del
correspondiente Real Decreto de transposición. Este hito cierra el periodo de incertidumbre legal y da inicio a una fase de obligado cumplimiento a escala nacional [4].
La plena efectividad de esta norma traslada de manera directa el foco operativo a la
adecuación de dieciocho sectores estratégicos clasificados en entidades esenciales e importantes. Esta cobertura sectorial se rige por la regla general de tamaño (Size-Cap
Rule), aplicando automáticamente a empresas medianas y grandes que operen en áreas
clave como el transporte, la sanidad, la logística, el suministro de agua, la fabricación de
bienes críticos y los servicios digitales. Todas estas organizaciones se encuentran apurando
sus plazos técnicos antes de que se desplieguen las inspecciones de las autoridades [1, 4].
Para las empresas españolas, la adaptación a las exigencias de la NIS2 presenta una
ventaja estratégica fundamental si ya se encuentran certificadas bajo el Esquema Nacional
de Seguridad (ENS), regulado por el Real Decreto 311/2022 [2]. Al constituir un marco
metodológico exhaustivo basado en el análisis de riesgos y la catalogación de sistemas de
información, el ENS ya integra y da cobertura técnica a la gran mayoría de los requisitos de
control exigidos por la legislación europea. De este modo, la alineación con el ENS
simplifica sustancialmente el camino hacia el cumplimiento normativo estatal, evitando
duplicidades de auditoría y optimizando los recursos corporativos [2, 3, 7].
En términos operativos, las entidades sujetas a regulación deben implantar de forma
obligatoria medidas de seguridad técnicas y organizativas complejas. Destacan entre ellas
la implementación de políticas rigurosas de cifrado de extremo a extremo, la gestión activa
de riesgos en la cadena de suministro tecnológica (lo que impone auditar a proveedores y
socios de negocio) y, muy especialmente, un estricto protocolo de reporte de incidentes en
tres fases diferenciadas [1, 4]:
● Alerta temprana: Notificación inicial al CSIRT en un plazo máximo de 24 horas tras detectar un incidente significativo.
● Informe de actualización: Remisión de un análisis técnico más detallado a las 72
horas.
● Memoria o informe final: Entrega de un documento exhaustivo de conclusiones en un plazo máximo de un mes.
El cambio de escenario más relevante es la activación de la supervisión proactiva. Las
autoridades competentes y los CSIRT de referencia nacional (tales como el INCIBE-CERT
en el tejido empresarial o el CCN-CERT en el ámbito público) ya disponen de facultades
legales plenas para realizar auditorías preventivas e inspecciones sobre el terreno,
exigiendo evidencias documentales de cumplimiento normativo sin necesidad de que se
haya producido o detectado un incidente o ataque informático previo en la organización [4,
6].
El régimen sancionador desplegado bajo el marco estatal de transposición está diseñado
para tener un fuerte efecto disuasorio. El incumplimiento de los requisitos esenciales puede
derivar en multas administrativas de hasta 10 millones de euros o el 2% del volumen de
negocio global anual de la empresa para las entidades catalogadas como esenciales [1, 4].
Además, la normativa traslada la responsabilidad de manera directa a los órganos de
gobierno corporativo. Los consejos de administración asumen responsabilidad personal
sobre la supervisión y aprobación de los planes de ciberseguridad, y sus miembros pueden
enfrentarse a inhabilitaciones temporales para el ejercicio de cargos directivos en caso de
que se demuestre negligencia en la adopción de las medidas preventivas exigidas [1, 4].
En Easy Telecom Law contamos con un equipo multidisciplinar especializado en derecho
tecnológico y ciberseguridad para acompañar a tu empresa en el diagnóstico de brechas, la
adecuación de políticas de gestión de riesgos y la interlocución ante las autoridades
supervisoras. Si tienes cualquier duda sobre las obligaciones que aplican a tu sector o
necesitas trazar un plan de cumplimiento a medida, ponte en contacto con nuestro equipo
legal.
Referencias:
[1] Parlamento Europeo y del Consejo. (2022). Directiva (UE) 2022/2555 del Parlamento
Europeo y del Consejo de 14 de diciembre de 2022 relativa a las medidas destinadas a
garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se
modifican el Reglamento (UE) nº 910/2014 y la Directiva (UE) 2018/1972 y por la que se
deroga la Directiva (UE) 2016/1148 (Directiva SRI 2). EUR-Lex. https://eur-
lex.europa.eu/eli/dir/2022/2555
[2] Agencia Estatal Boletín Oficial del Estado. (2022, mayo 4). Real Decreto 311/2022, de 3
de mayo, por el que se regula el Esquema Nacional de Seguridad. BOE-A-2022-7191.
https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191
[3] Centro Criptológico Nacional. (s.f.). FAQ. Qué es el ENS. https://ens.ccn.cni.es/es/que-
es-el-ens/faq
[4] Redacción Ciberseguridad. (8 junio de 2026). La directiva NIS2 ya es obligatoria en
España: qué deben hacer las empresas para cumplir. Revista Ciberseguridad.
https://www.revistaciberseguridad.com/2026/06/la-directiva-nis2-ya-es-obligatoria-en-
espana-que-deben-hacer-las-empresas-para-cumplir/
[5] Comisión Europea. (2025). La Comisión Europea lleva a España ante el Tribunal de
Justicia de la UE por no haber transpuesto la Directiva NIS2. Comunicación oficial.
[6] García Torres, M. L. (2026). El retraso de España en la transposición de la Directiva
NIS2: riesgos jurídicos, gobernanza, eficacia del Derecho de la Unión y posible
responsabilidad del Estado. Law & Trends. https://www.lawandtrends.com/noticias/tic/el-
retraso-de-espana-en-la-transposicion-de-la-directiva-nis2-riesgos-juridicos-gobernanza-
eficacia-del-derecho-de-1.html
[7] Ministerio de Economía, Comercio y Empresa. (s.f.). Esquema Nacional de Seguridad.
https://portal.mineco.gob.es/es-
es/ministerio/estrategias/Paginas/Esquema_Nacional_de_Seguridad.aspx
