NIS2 en octubre de 2026: cómo va la transposición

Publicado 19 de octubre de 2026 · Por Dazr

Dos años después del plazo, cuatro Estados miembros están ante el Tribunal de Justicia de la UE, mientras Alemania, Países Bajos y Austria aplican NIS2.

Los Estados miembros tenían hasta el 17 de octubre de 2024 para transponer la Directiva NIS2 a su derecho nacional. Dos años después, la mayoría lo ha hecho, algunos siguen trabajando en ello y la Comisión Europea ha llevado a cuatro ante el Tribunal.

Cuatro países ante el Tribunal de Justicia

El 8 de julio de 2026 la Comisión llevó a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia de la UE por no haber notificado la transposición completa de NIS2. Pidió al Tribunal sanciones económicas: una suma a tanto alzado y multas coercitivas diarias hasta que la transposición esté completa. El procedimiento comenzó con cartas de emplazamiento el 28 de noviembre de 2024, seguidas de dictámenes motivados el 7 de mayo de 2025.

Leyes que ya se aplican

Alemania: la ley de transposición de NIS2 se publicó en el Boletín Federal el 5 de diciembre de 2025 (BGBl. 2025 I Nr. 301) y se aplica desde el 6 de diciembre de 2025. Las entidades tenían tres meses para registrarse ante el BSI, que indica que el plazo ha vencido y pide a quien aún no esté registrado que lo haga de inmediato.
Países Bajos: la Cyberbeveiligingswet (Cbw) entró en vigor el 15 de agosto de 2026, después de la remisión al Tribunal, junto con la ley de resiliencia de las entidades críticas (Wwke). Sustituye a la Wbni, y las entidades deben registrarse ante el NCSC.
Austria: la NISG 2026 (BGBl. I Nr. 94/2025) se aplica desde el 1 de octubre de 2026 y sustituye a la NISG 2018.
Italia: el Decreto Legislativo 138/2024 se aplica desde el 16 de octubre de 2024.

Todavía en curso

Francia: el proyecto de ley de resiliencia de las infraestructuras críticas y refuerzo de la ciberseguridad, que transpone NIS2 junto con la Directiva CER y la Directiva DORA, fue aprobado en primera lectura por el Senado el 12 de marzo de 2025. La comisión de la Asamblea Nacional aprobó su texto el 10 de septiembre de 2025 y la tramitación aún no ha concluido.
España: el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. Mientras no se publique una nueva ley en el BOE, sigue en vigor el Real Decreto-ley 12/2018, que transpuso la primera Directiva NIS.
Irlanda: el General Scheme del National Cyber Security Bill se publicó en agosto de 2024. La ley aún no se ha aprobado.

Cambios propuestos

El 20 de enero de 2026 la Comisión propuso, dentro de un paquete de ciberseguridad, modificaciones específicas de NIS2: normas más sencillas sobre qué país es competente, una recogida simplificada de datos sobre ataques de ransomware y una nueva categoría de pequeñas empresas de mediana capitalización. Según la Comisión, facilitarían el cumplimiento a 28.700 empresas. Son propuestas: hasta su adopción se aplican la directiva actual y las leyes nacionales.

Qué significa en la práctica

Revise cada país en el que opera. Las obligaciones de registro, las autoridades, los plazos y las multas son nacionales y diferentes.
Primero, el registro. Donde ya hay ley, el registro ante la autoridad nacional suele ser el primer plazo, y a menudo uno corto.
No espere a una ley que llega tarde. Sus obligaciones derivan de la ley nacional y empiezan cuando esta se aplica. Clientes y compradores públicos ya piden las medidas del artículo 21 y garantías sobre los proveedores, y el Reglamento de Ejecución (UE) 2024/2690 detalla esas medidas para los proveedores de servicios digitales.

La situación en España, en detalle: NIS2 en España.

Fuentes

Solo a título informativo, no es asesoramiento jurídico. Última actualización: 19 de octubre de 2026.

Temas: NIS2, UE, Transposición

También disponible en: English, Nederlands, Italiano, Deutsch, Français, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål