Mientras la Unión Europea avanza con determinación hacia un marco normativo de ciberseguridad eficaz y vigente en todos los países miembros, España sigue sin culminar la transposición de la directiva NIS2, una norma que debería haber entrado en vigor en octubre de 2024 y que prometía transformar la seguridad de miles de empresas e instituciones.
El anuncio del anticipo de las elecciones generales al 29 de noviembre de 2026 suspende la diligencia de las leyes básicas de ciberseguridad nacional, alargando el ya grave retraso en la transposición de la directiva europea NIS2. Esta coyuntura afecta a la resiliencia digital de nuestro país, situación que ya ha sido presentada por la Comisión Europea ante el Tribunal de Justicia de la Unión Europea (TJUE), en base a la inobservancia de las fechas límite de la actualización de la ley.
Ciberseguridad en España: La transposición NIS2 pospuesta sine die
La directiva NIS2, aprobada en diciembre de 2022, ampliaba de forma considerable las obligaciones de ciberseguridad que ya imponía su predecesora. La fecha tope para transponerla era el 17 de octubre de 2024. Ese plazo ya ha quedado atrás. Otros países europeos tampoco culminaron el proceso a tiempo, pero el retraso español se ha convertido en una constante que genera incertidumbre empresarial y jurídica.
El núcleo del debate es la reforma del Esquema Nacional de Seguridad (ENS). El Gobierno optó por actualizar el ENS como vía para acoger la directiva europea, una decisión criticada por considerarse insuficiente el planteamiento enfocado casi exclusivamente en el sector público cuando la NIS2 afecta directamente a un buen número de empresas privadas de servicios esenciales.
Motivos del problema crónico con la normativa NIS2
El atasco legislativo e institucional en España con respecto a la directiva europea NIS2 tiene su explicación en factores estructurales anclados tanto en la estructura política y burocrática como en la mentalidad nacional tendente a la procrastinación:
1) Saturación y fragmentación parlamentaria. La parálisis o ralentización de los procesos legislativos en las Cortes impide tramitar normativas complejas en los plazos que exige la Unión Europea.
2) Gobernanza multisectorial compleja. A diferencia de otros países, la arquitectura de ciberseguridad en España divide las competencias entre un mosaico de entidades: el Centro Criptológico Nacional (CCN), el Instituto Nacional de Ciberseguridad (Incibe) y el Mando Conjunto del Ciberespacio. Coordinar estas instituciones dentro de una sola ley nacional genera fricciones burocráticas duraderas.
3) Tradición española del «No hay prisa». Históricamente, el legislador español tiende a dilatar las transposiciones de espectro tecnológico o regulatorio (como ocurrió en su día con el RGPD y la NIS1), asumiendo el riesgo de los apercibimientos de Bruselas como un coste asumible frente a los plazos políticos internos. Lejos de ser un cliché, España sigue fiel al «Vuelva usted mañana» y a la arraigada costumbre de dejarlo todo hasta el último minuto posible.
Cientos de miles de empresas españolas en el limbo
La cifra es considerable: se estima que más de 30.000 entidades españolas quedarán bajo el paraguas de la directiva una vez se trasponga. Hospitales, compañías energéticas, transportistas, operadores digitales y fabricantes de componentes críticos deberán acreditar medidas de seguridad, notificar incidentes en plazos estrictos y asumir responsabilidades en sus órganos de dirección.
El problema es que, sin una norma nacional desarrollada, las empresas españolas no saben exactamente qué se les exigirá ni cuándo. La improvisación cuesta dinero, porque el tejido financiero español duda entre invertir ya en el cumplimiento normativo o esperar al texto definitivo, un escenario que incrementa de manera tangible la inseguridad y la debilidad digital de todo el país.
La entrada El problema crónico de España con la incorporación de la NIS2 se publicó primero en Red Seguridad.
