NIS2 en España, en breve.

• No hay una ley de transposición publicada en el BOE. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se notificó a la Comisión Europea con el número 2025/0104/ES.
• La Comisión Europea envió a España un dictamen motivado el 7 de mayo de 2025. El 8 de julio de 2026 la llevó ante el Tribunal de Justicia de la Unión Europea por no transponer la directiva.
• La norma vigente es el Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, con su desarrollo en el Real Decreto 43/2021. Para el sector público rige el Esquema Nacional de Seguridad (Real Decreto 311/2022).

Comisión Europea, notificación 2025/0104/ES · Comisión Europea, 8 de julio de 2026 · Real Decreto-ley 12/2018 · Real Decreto 43/2021 · Congreso, proyectos de ley

• El Real Decreto-ley 12/2018 se aplica a los operadores de servicios esenciales y a los proveedores de servicios digitales. Los operadores no entran por su tamaño: los designa la Administración (artículo 6).
• El Esquema Nacional de Seguridad "es de aplicación a todo el sector público", y también a las empresas privadas que le prestan servicios (artículo 2).
• La norma vigente no conoce las entidades esenciales ni las entidades importantes de NIS2. Llegarán con la ley de transposición.
• El operador designa a la persona, unidad u órgano colegiado responsable de la seguridad de la información y lo comunica a la autoridad competente (artículo 16 del Real Decreto-ley).
• No existe hoy un registro en el que una entidad deba inscribirse por sí misma: a los operadores los designa la Administración.

Real Decreto-ley 12/2018, artículos 6 y 16 · Real Decreto 311/2022, artículo 2 · Comisión Europea, notificación 2025/0104/ES

La norma vigente no impone a la dirección una formación como la del artículo 20 de la directiva. Sí exige que los operadores de servicios esenciales aprueben "unas políticas de seguridad de las redes y sistemas de información" (artículo 6 del Real Decreto 43/2021).

• El responsable de la seguridad de la información debe "Actuar como capacitador de buenas prácticas en seguridad de las redes y sistemas de información" (artículo 7 del Real Decreto 43/2021).
• Ninguna norma vigente fija un número de horas ni una frecuencia para la formación de la dirección.
• La responsabilidad recae en la organización: "Serán responsables los operadores de servicios esenciales y los proveedores de servicios digitales" (artículo 35 del Real Decreto-ley).

Real Decreto 43/2021, artículos 6 y 7 · Real Decreto-ley 12/2018, artículo 35 · Directiva (UE) 2022/2555, artículo 20

En el sector público y en sus proveedores, el personal relacionado con los sistemas de información "deberá ser formado e informado de sus deberes, obligaciones y responsabilidades en materia de seguridad" (artículo 15 del Esquema Nacional de Seguridad). Ninguna norma vigente dice que toda la plantilla de una empresa privada deba formarse.

El Esquema Nacional de Seguridad añade: "Se formará regularmente al personal en aquellas materias relativas a seguridad de la información que requiera el desempeño de sus funciones". No fija horas ni frecuencia. Creemos que una auditoría preguntará cómo lo demuestras.

Real Decreto 311/2022, artículo 15 y anexo II

Son los plazos vigentes del Real Decreto 43/2021, no los de NIS2. La notificación inicial cuenta desde que se tiene conocimiento del incidente; las demás, desde el envío de la notificación inicial. Se notifica a la autoridad competente a través del CSIRT de referencia, en la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes. Una brecha de datos personales se notifica además a la Agencia Española de Protección de Datos según el artículo 33 del RGPD.

Real Decreto 43/2021, artículo 11 y anexo · Real Decreto-ley 12/2018, artículo 19

Son las sanciones del artículo 37 del Real Decreto-ley 12/2018. Los importes de NIS2, 10 millones de euros o el 2 % de la facturación, no se aplican en España hasta que haya ley de transposición.

Real Decreto-ley 12/2018, artículos 37 y 40 · Directiva (UE) 2022/2555, artículo 34

• Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información (texto consolidado, BOE), comprobada el 11 de noviembre de 2026
  Pasajes en los que se apoya esta página (7)

  • notificarán a la autoridad competente, a través del CSIRT de referencia, los incidentes que puedan tener efectos perturbadores significativos
  • la persona, unidad u órgano colegiado responsable de la seguridad de la información
  • Serán responsables los operadores de servicios esenciales y los proveedores de servicios digitales
  • Por la comisión de infracciones muy graves, multa de 500.001 hasta 1.000.000 euros
  • multa de 100.001 hasta 500.000 euros
  • La identificación de los servicios esenciales y de los operadores que los presten se efectuará por los órganos y procedimientos previstos por la Ley 8/2011
  • una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción
• Real Decreto 43/2021, que desarrolla el Real Decreto-ley 12/2018 (texto consolidado, BOE), comprobada el 11 de noviembre de 2026
  Pasajes en los que se apoya esta página (7)

  • deberán aprobar unas políticas de seguridad de las redes y sistemas de información
  • Actuar como capacitador de buenas prácticas en seguridad de las redes y sistemas de información
  • tiene como referencia de tiempo el momento de tener conocimiento del incidente
  • Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes
  • Ventana temporal de reporte
  • 24/48 horas
  • 40 días
• Real Decreto 311/2022, Esquema Nacional de Seguridad (texto consolidado, BOE), comprobada el 11 de noviembre de 2026
  Pasajes en los que se apoya esta página (4)

  • El presente real decreto es de aplicación a todo el sector público
  • presten servicios o provean soluciones a las entidades del sector público
  • deberá ser formado e informado de sus deberes, obligaciones y responsabilidades en materia de seguridad
  • Se formará regularmente al personal en aquellas materias relativas a seguridad de la información que requiera el desempeño de sus funciones
• Comisión Europea, TRIS: notificación 2025/0104/ES del anteproyecto, comprobada el 11 de noviembre de 2026
  Pasajes en los que se apoya esta página (2)

  • Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
  • 2025/0104/ES
• Congreso de los Diputados, proyectos de ley, comprobada el 11 de noviembre de 2026
• Comisión Europea, recurso ante el Tribunal de Justicia, 8 de julio de 2026 (en inglés), comprobada el 11 de noviembre de 2026
  Pasajes en los que se apoya esta página (3)

  • Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity
  • Publication 08 July 2026
  • reasoned opinions on 7 May 2025
• Directiva (UE) 2022/2555 (NIS2), EUR-Lex