Bruselas ha movido ficha y el calendario de muchas organizaciones españolas cambia con ella: el 8 de julio de 2026 la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE por no haber notificado la transposición completa de la Directiva NIS2, la norma europea de ciberseguridad. Esperar a que la ley llegue al BOE ya no es una estrategia prudente.
Qué ha pasado
El plazo para trasponer la directiva terminó el 17 de octubre de 2024. La Comisión envió cartas de emplazamiento el 28 de noviembre de 2024 y dictámenes motivados el 7 de mayo de 2025. España comparte ahora el expediente con Francia, Irlanda y Países Bajos, y Bruselas pide al Tribunal sanciones económicas: una cantidad fija y multas diarias hasta que se notifique la transposición completa.
El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crea el Centro Nacional de Ciberseguridad. Según el Ministerio del Interior, las entidades afectadas deberán analizar riesgos, aplicar medidas de seguridad, notificar incidentes significativos y designar un responsable de seguridad de la información. La ley todavía no se ha publicado en el BOE.Qué significa
La directiva alcanza a entidades de 18 sectores, entre ellos sanidad, energía, transporte y administración pública. Cuando la ley se publique, el margen para adaptarse puede ser corto. Y la exigencia ya llega por otras vías: en nuestra experiencia, pliegos de contratación y clientes grandes trasladan requisitos de seguridad a sus proveedores sin esperar al legislador.Qué debería hacer cada uno
- Ayuntamiento: inventariar sistemas y servicios, comprobar el estado de su adecuación al Esquema Nacional de Seguridad y exigir en los pliegos de nuevos contratos TIC requisitos de seguridad y de notificación de incidentes.
- Promotor: si el edificio incorpora sistemas de control, videovigilancia o gestión técnica conectados, definir desde el proyecto quién los administra, cómo se segmentan las redes y cómo se actualizan.
- Pyme: averiguar si presta servicios a una administración o a una empresa de uno de esos sectores. Si es así, preparar ya un análisis de riesgos, un procedimiento de incidentes y copias de seguridad verificadas.
Si tienes dudas sobre cómo te afecta, reserva una consulta técnica de 30 minutos y revisamos tu caso.
Fuente original: Comisión Europea, remisión de Irlanda, España, Francia y Países Bajos al Tribunal de Justicia.