Cada pocos meses alguien anuncia que la NIS2 «ya es obligatoria en España». No es exacto. A octubre de 2026 no hay ley de transposición publicada en el BOE, el anteproyecto de enero de 2025 no ha completado su tramitación y la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE el 8 de julio de 2026 por no notificar la norma.
Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que transpone la directiva anterior. Hasta ahí, el titular aburrido.
Por qué te afecta igual
Porque las obligaciones no solo vienen de una ley: vienen de un contrato. Si trabajas con una entidad que ya está sujeta a NIS2 —un banco, una aseguradora, un operador crítico, una administración—, esa entidad te está trasladando exigencias de seguridad a través de sus pliegos y anexos. Y en muchos casos ya lo está haciendo.
Las que más aparecen:
- Cuestionarios de seguridad anuales y evidencia documental.
- Notificación de incidentes en plazos concretos, a veces 24 horas.
- Requisitos de continuidad y copias de seguridad probadas.
- Cláusulas de acceso, auditoría y subcontratación.
Qué no hacer
Vender «cumplimiento NIS2» como si fuera un sello que se compra es un error que se paga caro cuando el cliente pregunta por evidencias. Y asustar con sanciones que aún no existen en el ordenamiento español resta credibilidad ante quien sí ha leído la directiva.
La posición honesta es preparación, no alarma. Y esa posición vende mejor, porque demuestra criterio.
Qué sí hacer
- Saber si estás en el ámbito de la futura ley por sector y tamaño.
- Tener un inventario de sistemas y proveedores, que es la base de todo.
- Un protocolo de incidentes con responsables, plazos y plantillas de notificación.
- Un plan de continuidad que alguien haya probado, no solo firmado.
Cuando la ley llegue —y llegará—, quien tenga eso hecho estará a semanas de distancia; quien no lo tenga, a meses.