NIS2 sin ley nacional: lo que puedes preparar ya

Los Estados miembros tenían hasta el 17 de octubre de 2024 para transponer la Directiva NIS2. Dos años después, España sigue sin ley, igual que Francia, Irlanda y los Países Bajos. El 8 de julio de 2026, la Comisión Europea llevó a los cuatro países ante el Tribunal de Justicia de la Unión Europea y pidió sanciones económicas.

Si tu organización está afectada, el retraso no es motivo para esperar. Las exigencias de la directiva son públicas desde 2022 y las leyes nacionales tendrán que recogerlas. Lo que lleva tiempo no es leer el texto: es organizar el trabajo que permite cumplirlo.

¿En qué punto estamos?

En España

El Consejo de Ministros aprobó en primera vuelta, el 14 de enero de 2025, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que transpone NIS2 y crea el Centro Nacional de Ciberseguridad. El texto aún no se ha publicado en el BOE. Mientras tanto, el Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022) ya se aplica al sector público y a sus proveedores: si trabajas con la Administración, buena parte del trabajo coincide.

En Francia

El proyecto de ley «Résilience» fue aprobado por el Senado el 12 de marzo de 2025. La comisión especial de la Asamblea Nacional adoptó su texto el 10 de septiembre de 2025, pero el debate en el pleno, previsto para el 7 y el 9 de octubre de 2026, se retiró del orden del día el 6 de octubre. A la hora de escribir estas líneas, no hay nueva fecha.

Lo que la directiva ya exige

Las leyes nacionales concretarán el ámbito, las autoridades y los procedimientos. El fondo lo fija la Directiva (UE) 2022/2555:

• Medidas de gestión de riesgos (artículo 21): análisis de riesgos, gestión de incidentes, continuidad de negocio y gestión de crisis, seguridad de la cadena de suministro, seguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas, gestión de activos y control de acceso, formación y autenticación multifactor.
• Plazos de notificación (artículo 23): una alerta temprana en las 24 horas siguientes a tener conocimiento de un incidente significativo, una notificación en 72 horas y un informe final en el plazo de un mes.
• Responsabilidad de la dirección (artículo 20): los órganos de dirección aprueban las medidas, supervisan su aplicación y reciben formación.
• Sanciones (artículo 34): un máximo de al menos 10 millones de euros o el 2 % del volumen de negocio anual mundial para las entidades esenciales, y de 7 millones o el 1,4 % para las importantes, aplicándose la cuantía más alta.

Lo que puedes preparar sin esperar

Este trabajo te servirá sea cual sea la redacción final de la ley. Además, mejora la gestión de tus servicios, con o sin obligación.

1. Saber qué tienes que proteger

Sin un inventario actualizado de los sistemas, las aplicaciones y sus dependencias, no puedes evaluar el impacto de un incidente ni justificar un análisis de riesgos. Empieza por los servicios esenciales para tu actividad y por los elementos de los que dependen.

2. Registrar la hora de cada incidente desde su detección

El plazo de 24 horas empieza a contar cuando tienes conocimiento del incidente. Por eso necesitas saber cuándo se detectó, quién lo detectó, quién lo clasificó y qué decisiones se tomaron. Un incidente gestionado por correo y por teléfono pocas veces deja ese rastro.

3. Preparar la gestión de crisis antes de la crisis

¿Quién toma el mando de las operaciones? ¿Quién informa a la dirección, a los clientes y a la autoridad? Deja estos roles por escrito y ensáyalos: una incidencia mayor no es el momento de inventarlos.

4. Conocer a tus proveedores

La seguridad de la cadena de suministro exige saber qué proveedores intervienen en qué sistemas, con qué contratos y con qué vencimientos. Un registro de contratos vinculado a los elementos que cubre cada contrato ya responde a buena parte de la pregunta.

5. Controlar los cambios

Muchos incidentes llegan tras un cambio mal evaluado. Una solicitud, una evaluación del impacto, una aprobación y un balance para cada cambio: es también la prueba de que tus medidas se aplican.

6. Implicar a la dirección

La directiva hace responsable a la dirección. Preséntale el grado de preparación, los riesgos identificados y las decisiones pendientes, y guarda constancia de sus aprobaciones.

Lo que una herramienta puede hacer, y lo que no

Ningún software hace que una organización cumpla NIS2: el cumplimiento depende de tus decisiones, de tus procedimientos y de cómo se aplican. Lo que sí hace una herramienta de gestión de servicios es reunir las pruebas en un mismo lugar: el inventario, el historial de incidentes, las decisiones sobre los cambios y los contratos con proveedores.

Ese es el papel de Ecaldima. La CMDB y el seguimiento de activos describen lo que tienes que proteger. El Service Desk da a cada ticket su plazo, su responsable y su historial. La gestión de incidencias mayores organiza la respuesta a la crisis, con un responsable al mando y las partes interesadas informadas. La gestión de cambios conserva la decisión y el balance de cada cambio. El registro de contratos reúne proveedores, vencimientos y compromisos.

¿Quieres ver cómo encajarían tus propios procesos de incidentes y cambios? Hablemos.

Volver al blog