España debía haber transpuesto la Directiva (UE) 2022/2555, conocida como NIS2, antes del 17 de octubre de 2024. No lo hizo. La Comisión Europea envió un dictamen motivado en mayo de 2025 y, en mayo de 2026, un segundo requerimiento formal exigiendo la transposición «con urgencia», dentro de un expediente de infracción que puede acabar en el Tribunal de Justicia de la UE. A fecha de este artículo, el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación parlamentaria, sin fecha cerrada de aprobación. El Real Decreto-ley 7/2025 ha transpuesto parte del contenido, centrado en el refuerzo del sistema eléctrico, pero la ley general todavía no está publicada en el BOE.
Ese retraso genera una tentación lógica: esperar al texto definitivo antes de mover nada. Es, probablemente, la estrategia más cara de todas. La Directiva NIS2 lleva en vigor a nivel europeo desde enero de 2023 y sus obligaciones de fondo no van a cambiar de naturaleza aunque cambie la letra española: gobierno de la seguridad, gestión de riesgos, notificación de incidentes, cadena de suministro y evidencias documentales. Lo que se trabaje ahora sobre esa base no se pierde cuando llegue la ley, se aprovecha.
A quién alcanza y por qué la cadena de suministro es el punto ciego
NIS2 amplía mucho el perímetro respecto a la directiva anterior. Ya no habla solo de operadores de servicios esenciales en sectores muy concretos, sino de entidades esenciales e importantes repartidas en dieciocho sectores, desde energía y salud hasta gestión de residuos, alimentación o proveedores de servicios digitales y gestionados. El criterio de tamaño mete en el perímetro a muchas organizaciones medianas que nunca se habían planteado tener obligaciones específicas de ciberseguridad.
El punto ciego más frecuente es la cadena de suministro. Una organización puede tener su propia seguridad razonablemente ordenada y seguir expuesta porque depende de proveedores, integradores o subcontratas que no cumplen el mismo nivel. NIS2 pide verificación de esa cadena, no solo una cláusula contractual firmada. Eso implica auditar, exigir evidencia y, en algunos casos, revisar acuerdos con proveedores de confianza que nunca han pasado por ese filtro.
Responsabilidad directiva: deja de ser un asunto solo técnico
Uno de los cambios de fondo de NIS2 es que traslada parte de la responsabilidad a los órganos de dirección. No basta con que exista una política de seguridad: quienes dirigen tienen que formarse, aprobar las medidas de gestión de riesgos y responder personalmente si hay negligencia grave. La sanción por incumplimiento no se queda en la empresa, puede alcanzar a las personas.
Esto cambia la conversación interna. La seguridad deja de ser un documento que firma el área técnica y pasa a ser una decisión que se discute, se aprueba y se revisa en el consejo o en la dirección. Prepararse implica dejar constancia de esa implicación: actas, formación específica y evidencia de que la decisión se ha tomado con conocimiento de causa.
En la práctica, esto se traduce en tres compromisos concretos para los órganos de dirección: recibir formación periódica sobre gestión de riesgos de ciberseguridad, revisar y aprobar formalmente las medidas antes de que se implanten (no después, como firma de trámite), y poder demostrar esa implicación con actas y registros si un regulador lo pide. Ninguno de los tres exige conocimientos técnicos profundos, pero sí exige tiempo en la agenda del consejo, que es precisamente lo que muchas organizaciones todavía no han reservado.
Gestión de riesgos y notificación de incidentes: plazos que ya condicionan procesos
NIS2 exige un análisis de riesgos que cubra desde la gestión de incidentes hasta la seguridad de la cadena de suministro, pasando por cifrado, continuidad de negocio y control de acceso. Y fija plazos de notificación escalonados que conviene tener ensayados antes de necesitarlos: una alerta temprana en 24 horas, una notificación con más detalle en 72 horas y un informe final en el plazo de un mes.
Ese primer plazo de 24 horas es el que más tensiona a las organizaciones que no lo han practicado. No es un problema técnico, es un problema de decisión: quién declara que hay un incidente, quién autoriza notificar y quién habla con el regulador o con el cliente. Si esa cadena de decisión no está escrita y probada, las primeras horas se consumen discutiendo competencias en lugar de conteniendo el incidente.
En resumen, los tres plazos a tener ensayados son:
- 24 horas: alerta temprana al CSIRT o a la autoridad competente, con lo que se sepa en ese momento.
- 72 horas: notificación de incidente, con evaluación inicial de gravedad e impacto.
- 1 mes: informe final, con causa raíz, medidas de mitigación aplicadas y su impacto transfronterizo si lo hay.
Para quien empieza a estructurar este análisis, las guías de INCIBE sobre NIS2 son un punto de partida útil: recogen recursos prácticos de gestión de riesgos y de notificación de incidentes pensados para empresas, no solo el texto legal.
Evidencias: la diferencia entre hacerlo bien y poder demostrarlo
Cumplir con NIS2 no es solo haber implantado las medidas correctas. Es poder demostrar, con registros que existían antes del incidente, que esas medidas estaban en marcha. Una auditoría hecha deprisa la semana antes de una inspección no sustituye a la trazabilidad continua. Esto afecta a decisiones aparentemente pequeñas, como qué se registra, durante cuánto tiempo y quién tiene acceso a esos registros.
Qué se puede trabajar ya, sin esperar a la ley
Ninguno de estos puntos depende del texto final español:
- Inventariar activos, sistemas y proveedores críticos, y quién tiene acceso a cada uno.
- Escribir y ensayar la cadena de decisión ante un incidente: quién declara, quién notifica, quién comunica.
- Formar a los órganos de dirección y dejar constancia documental de esa formación.
- Revisar contratos con proveedores críticos y pedir evidencia real, no solo cláusulas.
- Empezar a generar trazabilidad de las medidas de seguridad ya implantadas.
Preparar NIS2 no es redactar un documento el día que se publique la ley. Es cambiar cómo se decide, quién responde y qué queda registrado. Eso se puede empezar ahora, con o sin BOE. El equipo de ciberseguridad de Irontec acompaña este tipo de procesos de principio a fin, desde el diagnóstico inicial hasta la implantación de las medidas.
Este es el primero de los tres artículos de septiembre en IronSights. Los dos siguientes bajan de la norma a la operación: cómo probar de verdad una recuperación de backup y cómo diseñar un bus de mensajes que aguante el volumen.
