Transposición NIS2: dos años de retraso y España sigue sin ley

Un MSP de Madrid gestiona los sistemas de una filial de un cliente alemán. El cliente alemán ya está obligado por la ley alemana de transposición y empieza a enviar cuestionarios de seguridad a sus proveedores. En España no hay ley. La pregunta del cliente español es directa: "¿Esto me afecta ya?"

El 17 de octubre de 2026 se cumplieron dos años del plazo de transposición de NIS2. Este es el estado a 21 de octubre de 2026 y lo que implica para su trabajo de asesoría.

Transposición NIS2: quién tiene ley y quién no

La Directiva (UE) 2022/2555 debía transponerse antes del 17 de octubre de 2024. Según un tracker secundario actualizado a mediados de septiembre de 2026, 24 de los 27 Estados miembros tienen ya una ley en vigor. España, Francia e Irlanda no. Contraste cada fila con la fuente nacional.

España está en el centro del problema. El 8 de julio de 2026 la Comisión Europea llevó a España, Irlanda, Francia y los Países Bajos ante el Tribunal de Justicia de la UE por no notificar la transposición completa. Los Países Bajos pusieron su ley en vigor el 15 de agosto de 2026.

Otros países avanzaron antes. Italia transpuso a tiempo con el Decreto legislativo 138/2024, en vigor desde el 16 de octubre de 2024. Alemania siguió el 6 de diciembre de 2025, Polonia el 3 de abril de 2026 y Austria el 1 de octubre de 2026.

Un cliente con sedes en varios países tiene varios calendarios a la vez. En España, Francia e Irlanda todavía no corre ninguno. Eso no equivale a ausencia de obligación.

España: un anteproyecto, no una ley

El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, con tramitación urgente. Sigue siendo un anteproyecto a la espera de debate parlamentario. Las funciones operativas siguen repartidas entre el CCN, el INCIBE y las autoridades sectoriales, y la autoridad competente nacional está aún por cerrar. Los CSIRT nacionales son CCN-CERT para el sector público, INCIBE-CERT para el sector privado y ciudadanos, y ESPDEF-CERT para defensa.

La Comisión pide al Tribunal una suma a tanto alzado y multas diarias hasta que España notifique la transposición completa. Esas sanciones recaen sobre el Estado, no sobre su cliente. Más contexto en nuestro artículo sobre el retraso de España y el TJUE. La referencia previa está en Francia y España ante el TJUE.

Francia e Irlanda: el mismo punto muerto

El Senado francés aprobó su proyecto el 12 de marzo de 2025, por 181 votos contra 134. El debate en la Asamblea Nacional estaba previsto para el 7 y el 9 de octubre de 2026, pero el 6 de octubre la Conférence des présidents retiró ambas sesiones. No hay nueva fecha confirmada. Quedan unas 397 enmiendas, con el artículo 16 bis sobre cifrado como principal punto de fricción. La autoridad francesa, ANSSI, publicó el marco ReCyF en marzo 2026, que ya aparece en licitaciones. Detalle en la ley NIS2 francesa y ReCyF.

En Irlanda, el National Cyber Security Bill sigue en redacción. Véase el estado del proyecto irlandés.

Qué cambia y qué no cuando falta la ley

Una directiva se dirige a los Estados miembros. Mientras España no transponga, una empresa española no tiene obligación legal de registro, ni calendario nacional de inspección, ni sanción bajo una ley NIS2 nacional.

Pero la obligación llega por la cadena de suministro. El artículo 21, apartado 2, letra d, de NIS2 obliga a gestionar el riesgo de proveedores. Una entidad esencial alemana, un operador italiano o un hospital neerlandés exigirán requisitos a todos sus proveedores, también a los españoles, mediante cuestionarios y cláusulas contractuales. Esas cláusulas son exigibles hoy. El mecanismo se explica en NIS2 y seguridad de la cadena de suministro.

La primera auditoría NIS2 de su cliente puede venir de un cliente suyo, no de un regulador. Y un regulador de un país que sí transpuso comprobará qué pidieron sus propias entidades a sus proveedores.

Triaje para clientes en países sin ley

Empiece por el alcance, no por la ley que falta. Tres preguntas por cliente:

1. ¿Suministra a una entidad de un país donde NIS2 ya se aplica? Entonces los cuestionarios llegan ahora.
2. ¿Entra en un sector NIS2 por tamaño y actividad según el texto europeo? Entonces el alcance es probable, sea cual sea el calendario nacional.
3. ¿Tiene ya evidencias de las diez medidas del artículo 21?

Un análisis de brechas responde a la tercera pregunta en una tarde y no en un trimestre. Haga el quick scan de NIS2Certify y convierta las brechas en el plan de trabajo que vende.

Después, documente las evidencias: políticas fechadas, inventario de activos, plan de incidentes probado y registro de proveedores. Es lo primero que pedirá un cliente y, más tarde, un regulador. Nuestra guía sobre qué comprueban los reguladores tras el registro muestra las mismas evidencias desde el lado del supervisor.

Qué decir a los clientes este mes

No diga a un cliente español que NIS2 todavía no le aplica. Dígale que la ley nacional va tarde, que sus clientes de otros países no, y que las evidencias que construya ahora le servirán de todos modos.