Estado de la transposición
Situación a 19 de octubre de 2026. España todavía no ha aprobado la ley que transpone la Directiva NIS2, cuyo plazo de transposición terminó el 17 de octubre de 2024. El 14 de enero de 2025 el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crea un Centro Nacional de Ciberseguridad, pero el texto no ha llegado a publicarse como ley en el BOE.
Con la disolución, las iniciativas pendientes en las Cortes decaen, así que la ley NIS2 tendrá que impulsarse en la nueva legislatura. Hasta entonces no hay fecha oficial de entrada en vigor, ni registro de entidades esenciales e importantes, ni plazos de notificación NIS2 en Derecho español.
A quién afectará
- Entidades esenciales e importantes de los sectores de los anexos I y II de la directiva, en general medianas y grandes empresas: energía, transporte, banca, salud, agua, infraestructura digital, gestión de servicios TIC, administración pública, servicios postales, residuos, química, alimentación, fabricación, proveedores digitales e investigación.
- Clientes ya obligados en otros países: si vende a empresas de Italia, Países Bajos, Bélgica, Alemania o Polonia, que ya aplican NIS2, sus clientes ya le pedirán cuestionarios de proveedor y cláusulas de seguridad.
- Sector público y sus proveedores: el Esquema Nacional de Seguridad ya les exige medidas de seguridad y una declaración de aplicabilidad.
Una primera respuesta la da la comprobación gratuita del ámbito NIS2 según los criterios de la directiva.
Qué hacer ya, sin ley española
- Análisis de riesgos y medidas del artículo 21: la lista de la directiva no cambiará con la ley española; empiece por la gestión de incidentes, la continuidad, la cadena de suministro y la autenticación multifactor.
- Proceso de incidentes 24 h, 72 h y un mes: son los plazos de la directiva (artículo 23); ensayarlos ahora evita sorpresas el día que la ley entre en vigor.
- Aprobación y formación de la dirección: el artículo 20 exige que el órgano de dirección apruebe las medidas y reciba formación.
- Proveedores: inventario, evaluación y cláusulas de seguridad en los contratos.
- Si ya está bajo el RDL 12/2018: como operador de servicios esenciales o proveedor de servicios digitales siga notificando los incidentes a su CSIRT de referencia, INCIBE-CERT o CCN-CERT.
Herramientas y guías
Gratuitas y en español.
¿Nos afecta la NIS2?
Sector, tamaño incluido el grupo y excepciones: esencial, importante o fuera del ámbito.
Comprobar ›¿Es un incidente significativo?
Los umbrales del Reglamento de Ejecución (UE) 2024/2690 paso a paso.
Comprobar incidente ›Cuestionarios de proveedores NIS2
Qué preguntan los clientes sujetos a NIS2 y cómo responder una sola vez, bien.
Leer ›NIS2 en Dazr Compliance
Las medidas del artículo 21 como controles recurrentes, registro de incidentes con plazos y aprobación de la dirección.
Ver ›Prepararse con Dazr
- Marco NIS2 europeo: las medidas del artículo 21 como controles recurrentes con responsable, evidencias y recordatorios; cuando se apruebe la ley española, se ajusta el mapeo.
- Registro de incidentes: cuenta atrás de 24 horas, 72 horas y un mes (NIS2) y 72 horas (RGPD), con la hora de cada notificación.
- ENS: Dazr no incluye el Esquema Nacional de Seguridad como marco propio; puede llevar sus medidas como controles personalizados junto a NIS2 o ISO 27001.
- Proveedores y auditor (Pro): registro de proveedores con contratos y certificados, y acceso de solo lectura para el auditor.
- Datos en la UE: Dazr es una empresa italiana, los datos y las copias de seguridad se quedan en la UE (Alemania) y los registros del espacio de trabajo se cifran con AES-256-GCM.
Fuentes: Ministerio del Interior: anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, Real Decreto 806/2026, de 5 de octubre (BOE), Real Decreto-ley 12/2018, Directiva (UE) 2022/2555. Comprobado el 19 de octubre de 2026 en el BOE y en la web del Ministerio del Interior.
Preguntas frecuentes
¿Tenemos que registrarnos ya como entidad NIS2 en España?
No hay todavía un registro NIS2 español, porque la ley no se ha aprobado. Si opera en otro Estado miembro que ya ha transpuesto la directiva, puede tener obligaciones allí.
¿Cuándo entrará en vigor la ley española?
No hay fecha. Con la disolución de las Cortes el 6 de octubre de 2026, la tramitación tendrá que retomarse en la nueva legislatura, que se constituye tras las elecciones del 29 de noviembre de 2026.
¿Sirve el ENS para NIS2?
Ayuda mucho: el ENS ya exige análisis de riesgos, medidas de seguridad y una declaración de aplicabilidad. Aun así, NIS2 añade obligaciones propias, como los plazos de notificación de 24 horas, 72 horas y un mes o la formación de la dirección.
¿Qué plan necesitamos?
El marco NIS2 y el registro de incidentes están en el plan Free, para un usuario y un marco, sin tarjeta. Pro, por 99 € al mes, añade hasta cinco usuarios y cinco marcos, declaración de aplicabilidad, políticas, registro de proveedores y acceso para el auditor; puede probarlo gratis 14 días.