NIS2 en España 2026: la ley que hace responsable al CEO

La directiva europea NIS2 lleva en vigor a nivel europeo desde enero de 2023, pero España todavía no ha completado su transposición al ordenamiento nacional. Y eso no significa que las empresas puedan relajarse — más bien al contrario.

En enero de 2025 el Consejo de Ministros aprobó el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, el vehículo legislativo que incorpora NIS2 en España. La aprobación definitiva se espera a lo largo de 2026, y la Comisión Europea ya ha abierto procedimiento de infracción contra España por el retraso.

¿A quién afecta NIS2?

NIS2 amplía enormemente el universo de empresas obligadas respecto a la antigua NIS1. Si tu organización tiene 50 o más empleados o factura más de 10 millones de euros y opera en uno de los 18 sectores incluidos (energía, sanidad, banca, transporte, infraestructura digital, administración pública, proveedores TIC, alimentación, gestión de residuos, fabricación de productos químicos, entre otros), NIS2 te aplica.

Muchas empresas que nunca habían tenido obligaciones específicas de ciberseguridad — proveedores de servicios gestionados, fabricantes medianos, empresas alimentarias — entran ahora en el perímetro regulatorio por primera vez.

Lo que más sorprende: la responsabilidad personal del directivo

Esta es la parte que muchos CEOs y consejos de administración desconocen: NIS2 los hace personalmente responsables del cumplimiento. El anteproyecto español contempla la posibilidad de sancionar personalmente a los directivos e incluso de inhabilitar temporalmente a quienes no supervisen las obligaciones de ciberseguridad de la empresa.

Es una medida extraordinariamente severa: un CEO puede ser temporalmente apartado de sus funciones por no haber garantizado el cumplimiento. Además, cuando se demuestre negligencia grave tras un incidente, se puede publicar la identidad de los responsables — un daño reputacional que para muchos directivos es incluso más disuasorio que la multa.

Las multas: hasta el 2% de la facturación mundial

El régimen sancionador de NIS2 deja de ser nominal. Las multas alcanzan hasta 10 millones de euros o el 2% de la facturación anual mundial, lo que sea mayor. Para una empresa con facturación internacional, ese 2% puede ser una cifra enorme.

Los plazos de notificación de incidentes: 24h / 72h / 1 mes

Uno de los aspectos más exigentes de NIS2 son los plazos de notificación de incidentes significativos: alerta temprana en 24 horas, notificación completa en 72 horas, e informe final en un mes. Tratar la notificación de 24h como algo meramente informativo es un error: es una obligación legal con consecuencias sancionadoras si se omite.

La relación entre NIS2 y el ENS

La transposición española deberá articular la relación entre la nueva ley y el Esquema Nacional de Seguridad (ENS), evitando duplicidades pero garantizando que las entidades públicas y sus proveedores cumplan ambos marcos. Para muchas empresas, el camino hacia NIS2 pasa por la misma base técnica que el ENS: gestión de identidad, control de dispositivos, detección de amenazas y protección de datos.

Qué hacer ahora, sin esperar a la ley

Que la ley nacional no esté formalmente publicada no es excusa para esperar. Las inspecciones ya están comenzando. Los pasos prácticos que recomendamos: realizar un análisis de aplicabilidad (¿estás dentro del perímetro?), implementar las medidas técnicas del artículo 21 (gestión de riesgos, continuidad, cifrado, control de acceso), formar al órgano de dirección (es obligatorio y revisable), y verificar la seguridad de tus proveedores (NIS2 exige verificación, no solo una cláusula contractual firmada).

Referencias

• Directiva (UE) 2022/2555 (NIS2) — Diario Oficial de la Unión Europea
• Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad — Consejo de Ministros, enero 2025
• Real Decreto-ley 7/2025 — transposición parcial de NIS2
• Comisión Europea — Procedimiento de infracción a España (mayo 2025)
• INCIBE — Guías de adecuación a NIS2