NIS2 en España: en qué punto está la ley y qué cambia para los proveedores

Si vendes tecnología o servicios a empresas de sectores críticos o a la Administración, seguro que ya te han preguntado por NIS2. La respuesta corta en octubre de 2026: en España la ley todavía no existe, pero las exigencias a los proveedores ya están llegando. Te explicamos en qué punto está y qué conviene tener listo.

Dónde está la transposición

La Directiva NIS2 (Directiva (UE) 2022/2555) debía estar traspuesta el 17 de octubre de 2024. España no lo hizo a tiempo.

• 14 de enero de 2025. El Consejo de Ministros aprobó en primera vuelta el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es el texto que traspone NIS2.

• 7 de mayo de 2025. La Comisión Europea envió a España un dictamen motivado por no haber comunicado la transposición.

• 8 de julio de 2026. La Comisión llevó a España ante el Tribunal de Justicia de la UE, junto con otros tres Estados miembros, y pidió sanciones económicas hasta que se complete la transposición.

• 6 de octubre de 2026. El BOE publicó la disolución de las Cortes y la convocatoria de elecciones generales para el 29 de noviembre.

El anteproyecto no había llegado a las Cortes como proyecto de ley. Con las Cortes disueltas, tendrá que ser el próximo Gobierno quien lo apruebe de nuevo y lo envíe al Parlamento. Lo realista es no esperar una ley NIS2 española publicada en el BOE antes de bien entrado 2027.

Mientras tanto, sigue vigente el régimen anterior: el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que aplican a los operadores de servicios esenciales y a los proveedores de servicios digitales designados.

Por qué no conviene esperar a la ley

Que la ley no esté publicada no significa que a ti no te vayan a pedir nada. Las exigencias llegan por otras vías:

1. Tus clientes en otros países de la UE. Si vendes a empresas de Estados que ya han traspuesto NIS2, ellas tienen que gestionar el riesgo de sus proveedores y te lo trasladan por contrato.

2. El Reglamento de Ejecución (UE) 2024/2690. Ya está publicado y detalla las medidas técnicas para proveedores de nube, centros de datos, servicios gestionados y de seguridad gestionada, DNS, mercados en línea y otros servicios digitales. Es la referencia que usan los clientes para hacer sus cuestionarios.

3. El Esquema Nacional de Seguridad. Si le vendes al sector público, el ENS (Real Decreto 311/2022) ya te exige demostrar medidas de seguridad según tu categoría, con o sin NIS2.

4. Los cuestionarios de tus clientes grandes. Bancos, energéticas, telecos y hospitales ya preguntan por NIS2 aunque la ley española no esté.

Qué le pide NIS2 a la cadena de suministro

El artículo 21 de la directiva obliga a las entidades esenciales e importantes a gestionar la seguridad de su cadena de suministro, incluida la relación con sus proveedores directos. En la práctica, cuando tu cliente aplica NIS2, te va a pedir:

• Un responsable y un marco de gestión de riesgos aprobado por la dirección.

• Inventario de activos y control de accesos, con autenticación multifactor.

• Gestión de vulnerabilidades con plazos definidos.

• Copias de seguridad y continuidad, con restauraciones probadas.

• Gestión de incidentes y capacidad de avisar rápido. La directiva fija una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes para la entidad obligada, así que te pedirá que la avises antes.

• Control de tus propios proveedores, porque el riesgo de tu cadena es también el suyo.

Qué preparar este trimestre

1. Averigua si te afecta directamente. Revisa si tu actividad y tu tamaño encajan en los anexos de la directiva. Documenta el criterio.

2. Reutiliza lo que ya tienes. Si tienes ENS o ISO 27001, buena parte de los controles ya existe. El trabajo está en demostrarlo con evidencias.

3. Prepara tu respuesta al cuestionario. Ten a mano políticas, registros de incidentes, pruebas de copias y la lista de tus subcontratistas.

4. Define cómo vas a avisar de un incidente. Quién decide, en qué plazo y con qué plantilla.

Con GoverniFY trabajamos con controles universales: un control y una evidencia que sirven para varias normas a la vez (ENS, ISO 27001, ISO 42001 y GDPR). Así, lo que preparas para un cliente te sirve para el siguiente.

¿Quieres saber en qué punto estás? Haz el autodiagnóstico gratuito de GoverniFY Compass: 20 preguntas, 10 minutos y resultado al instante. Si le vendes al sector público, mira también nuestra página para proveedores del ENS.

Fuentes verificadas el 20/10/2026: Directiva (UE) 2022/2555; Reglamento de Ejecución (UE) 2024/2690; Comisión Europea, remisión al TJUE del 8/7/2026 (IP/26/1499); BOE, Real Decreto de disolución de las Cortes y convocatoria de elecciones (6/10/2026); Ministerio del Interior, aprobación del anteproyecto (14/1/2025). Este artículo es informativo y no constituye asesoramiento jurídico.