Antes del detalle, el suelo del que partimos: proteger los datos de tu empresa no es opcional. El RGPD ya obliga a toda empresa que trate datos a tener medidas de seguridad (art. 32). Eso ya es ciberseguridad. La NIS2 es una capa que se añade encima según tu sector, tu tamaño y tus clientes.
1.El plazo europeo venció en octubre de 2024 — y España no llegó
La directiva NIS2 fijaba el 17 de octubre de 2024 como fecha límite para que cada país la convirtiera en ley nacional. España no lo hizo, y arrastra más de año y medio de retraso.
2.La ley existe en borrador desde enero de 2025 — pero sigue en tramitación
El Consejo de Ministros aprobó en enero de 2025 el anteproyecto de la Ley de Coordinación y Gobernanza de la Ciberseguridad, la norma con la que España transpone la NIS2. Crea el Centro Nacional de Ciberseguridad como autoridad y convivirá con el ENS. A mediados de 2026 aún no se ha publicado en el BOE.
3.Bruselas ya aprieta
Ante la falta de avance, la Comisión Europea ha dado pasos formales contra España por no transponer a tiempo. El siguiente escalón es el Tribunal de Justicia de la UE, con posibles multas al Estado.
4.Las grandes ya la aplican — y te la trasladan
Muchas grandes empresas y multinacionales ya cumplen la NIS2 por la directiva europea, sin esperar a la ley española. Y por el efecto cascada, se lo exigen a sus proveedores por contrato.
Lo que de verdad cambia
El retraso legal no cambia el fondo: los ataques suben, los clientes ya auditan y la norma llegará. Esperar al BOE para empezar es la forma más cara de hacerlo — te tocará correr, y con todos corriendo a la vez.
¿Te aplica la NIS2 (o te la exigirán)?
Haz el chequeo gratuito —2 minutos, sin registro, no te pedimos ni el email— y sabrás qué normativa te afecta y por dónde empezar.
Hacer el chequeo gratuitoFuentes: Directiva (UE) 2022/2555 (NIS2); anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (Consejo de Ministros, enero de 2025); seguimiento de la transposición de la Comisión Europea. Estado y fechas a julio de 2026; la tramitación puede cambiar. No incluimos importes de sanción concretos porque dependen del texto final de la ley.