Directiva NIS2 en España: qué hacer tras los plazos de octubre 2026

Un proveedor TIC de Valencia recibe un lunes el cuestionario de seguridad de su cliente alemán. El departamento de compras exige respuestas alineadas con el artículo 21 de NIS2, evidencias y un contacto para incidentes. El proveedor busca la norma española y no la encuentra: la directiva NIS2 en España sigue sin ley publicada en el BOE, y España está, además, ante el Tribunal de Justicia de la UE. Aun así, el cuestionario tiene fecha de respuesta.

Ese es el escenario real de octubre de 2026 para consultores, MSP y vCISO en España. La pregunta ya no es "¿cuándo llega la ley?", sino "¿qué nos van a pedir mientras tanto y con qué evidencias?".

Directiva NIS2 en España: qué está pasando de verdad

España no ha transpuesto la Directiva NIS2. El plazo original era el 17 de octubre de 2024. El 8 de julio de 2026, la Comisión Europea remitió a Irlanda, España, Francia y los Países Bajos al Tribunal de Justicia de la UE y solicitó una suma a tanto alzado y multas coercitivas diarias hasta que se complete la transposición.

El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad fue aprobado por el Consejo de Ministros en enero de 2025 y sigue en tramitación parlamentaria. Según estimaciones del sector, el escenario más optimista apunta al cuarto trimestre de 2026, pero no hay confirmación oficial. Planificar sobre esa fecha es una apuesta, no un plan.

Hoy no existe en España un régimen de entidades esenciales e importantes con registro, sanciones y plazos propios de NIS2. Sí existen marcos que ya cubren terreno parecido:

• Esquema Nacional de Seguridad (ENS), relevante para el sector público y sus proveedores.
• DORA, para entidades financieras y sus proveedores TIC.
• Normativa de infraestructuras críticas, para los operadores designados.

En las conversaciones nacionales sobre la futura ley aparecen el CCN y el INCIBE como organismos de referencia. Conviene seguir su documentación, sin dar por hecho qué papel tendrá cada uno.

La obligación llega por contrato, no por el BOE

Las empresas de países que sí han transpuesto la directiva, como Alemania o los Países Bajos, ya trasladan a su cadena de suministro cuestionarios basados en el artículo 21. Si su cliente es una entidad esencial o importante allí, necesita acreditar la gestión de riesgos de sus proveedores, incluidos los españoles.

En la práctica, el requisito aparece como cláusula contractual, auditoría de proveedor o condición para renovar. El proveedor español no está sujeto a la ley alemana, pero sí a lo que firma.

Lo que ya ha cerrado fuera de España

Mientras España espera, otros regímenes han alcanzado hitos que sus clientes transfronterizos sí sienten. No están sincronizados, y esa es la clave: un cliente con presencia en varios países maneja varios calendarios.

Polonia. La reforma de la ley del Sistema Nacional de Ciberseguridad (KSC) entró en vigor el 3 de abril de 2026. Las entidades tenían hasta el 3 de octubre de 2026 para solicitar su inscripción en el registro. Las obligaciones deben cumplirse a partir del 3 de abril de 2027, la primera auditoría de entidades clave llega el 3 de abril de 2028 y las multas por la mayoría de las obligaciones solo podrán imponerse desde esa fecha.

Alemania. La NIS2UmsuCG reformó la ley BSIG. El registro tenía como fecha original el 6 de marzo de 2026 y se amplió. Las fuentes discrepan sobre el último día: unas citan el 31 de julio y otras el 30 de septiembre de 2026. No se fíe de ninguna y compruebe el estado en el portal del BSI. Lo que no se discute es que el BSI se ha reservado medidas de ejecución con sanciones. Las multas pueden alcanzar 10 millones de euros o el 2 % de la facturación mundial. Además, el artículo 38(2) de la BSIG establece la responsabilidad del órgano de dirección.

Italia. El Decreto Legislativo 138/2024 y la determinación 379907/2025 de la ACN fijan que las entidades incluidas en 2025 deben tener las medidas básicas 18 meses después de recibir el aviso de inclusión. Los comentarios sitúan esa fecha en octubre de 2026, a menudo el 31 de octubre. Como los avisos se enviaron el 12 y 13 de abril de 2025, el cálculo apunta a mediados de octubre. Lea la fecha del aviso concreto. La cohorte de 2026 tiene hasta el 31 de julio de 2027. La notificación de incidentes está operativa desde enero de 2026.

Países Bajos. La Cbw y la Wwke entraron en vigor el 15 de agosto de 2026, con registro ante el NCSC y formación obligatoria para los órganos de dirección.

Francia. Tampoco ha transpuesto la directiva. El proyecto de ley de Résilience no está promulgado y, según se informa, salió de la agenda a principios de octubre. La ANSSI mantiene ReCyF como documento de trabajo.

El registro era la parte fácil

Una inscripción en un registro demuestra una sola cosa: que la entidad existe y se declaró dentro del ámbito. No dice nada sobre si los controles funcionan.

Los reguladores lo saben. El BSI ha insistido en que el registro es solo el primer paso y que después vienen las medidas técnicas y organizativas, la notificación de incidentes y un sistema de gestión de riesgos. Para el consultor, el cambio es práctico: la primera pregunta del cliente solía ser "¿estamos dentro del ámbito?". La segunda ya es "¿podemos demostrar lo que hacemos?".

Una carpeta de políticas que nadie sigue no resiste una auditoría ni un cuestionario serio. Un conjunto de registros fechados, firmados y probados, sí.

Qué le pedirán primero, con ley o sin ella

Tanto un regulador extranjero como el departamento de compras de un cliente suelen empezar por lo mismo, más o menos en este orden:

1. Perfil de la entidad correcto. Sector, tamaño y contacto vigente. Un contacto que ya dejó la empresa es el hallazgo más barato de evitar.
2. Responsabilidad del órgano de dirección. Alemania responsabiliza personalmente a la dirección. Italia exige que apruebe y supervise las medidas y reciba formación. Una aprobación fechada y los certificados de formación son la evidencia.
3. Procedimiento de notificación de incidentes con los tres relojes: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
4. Inventario de activos y servicios, coherente con lo declarado.
5. Evidencias de que las medidas operan: pruebas de restauración de copias con fecha, revisiones de accesos, gestión de vulnerabilidades y contratos con proveedores con cláusulas de seguridad.

El artículo 21 es el denominador común

Todas las leyes nacionales desarrollan las mismas diez medidas de gestión de riesgos del artículo 21(2) de la directiva. Eso permite una sola evaluación reutilizable, con ajustes locales encima. Para un proveedor español, es también la forma más eficiente de responder a clientes de varios países sin repetir el trabajo.

El enfoque que funciona para un cliente con varios mercados:

• Un único análisis de brechas frente al artículo 21(2), con correspondencia a cada marco nacional.
• Un único repositorio de evidencias organizado por medida, no por país.
• Si el cliente está en el ámbito del ENS o de DORA, aprovechar los controles ya documentados y no duplicarlos.
• Un calendario por país para registros, contactos y fechas de auditoría.

Nuestras guías sobre el proceso de análisis de brechas y sobre las evidencias que piden los supervisores explican el método. Para el detalle por país, consulte los artículos sobre Polonia, los Países Bajos, Italia y Francia y España.

Por qué el orden de los plazos confunde a los MSP

El patrón de fallo es previsible. Un proveedor gestiona el registro de un cliente en un país, lo presenta y pasa a otra cosa. Seis meses después, la filial italiana tiene un plazo que nadie calendarizó, porque el aviso llegó a un buzón que nadie revisa. En Italia manda la fecha del aviso, no el año natural.

Con los contactos ocurre lo mismo. Todos estos regímenes esperan una persona localizable para el regulador y el CSIRT. Y en España, el equivalente es un contacto de seguridad que figure en los cuestionarios y contratos y que siga trabajando en la empresa.

Qué hacer esta semana

Elija el cliente con más exposición transfronteriza y haga cuatro cosas.

Primero, liste qué clientes extranjeros le han enviado o le enviarán cuestionarios del artículo 21 y anote las fechas de respuesta. Segundo, confirme el estado de registro en cada país donde el cliente opera, y apunte la fecha que muestra el portal, no la que supone. Tercero, compruebe que el órgano de dirección tiene una aprobación fechada de las medidas de seguridad. Cuarto, pruebe el procedimiento de incidentes con un simulacro de 24 horas y deje constancia del resultado.

Como punto de partida estructurado, una evaluación de preparación NIS2 contrasta en pocos minutos la situación actual del cliente con las medidas del artículo 21 y muestra dónde faltan evidencias. Es una evaluación de preparación, no una declaración de cumplimiento, y los requisitos de cada regulador siguen siendo los que mandan.

La transposición española puede tardar. Los cuestionarios de sus clientes, no.