NIS2 y la infraestructura digital: nuevas obligaciones para sectores críticos

La directiva NIS2 debía estar transpuesta en España el 17 de octubre de 2024. Más de veinte meses después, sigue sin existir una ley nacional en el BOE. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se presentó en enero de 2025 y continúa en tramitación parlamentaria sin la mayoría necesaria para avanzar. El 8 de julio de 2026, la Comisión Europea remitió a España, junto con Francia, Irlanda y los Países Bajos, al Tribunal de Justicia de la Unión Europea (TJUE) por no haber notificado la transposición completa, solicitando una multa a tanto alzado y sanciones diarias mientras la ley nacional siga sin publicarse. Para cualquier entidad que opere infraestructura digital en España, la pregunta práctica no es si NIS2 “ya es ley”, sino qué obligaciones alcanzan ya a su operación aunque esa ley nacional siga sin existir.

NIS2 (Directiva (UE) 2022/2555) clasifica a las organizaciones afectadas en dos anexos. El Anexo I agrupa los sectores de alta criticidad: energía, transporte, banca y infraestructura de mercados financieros, salud, agua potable y residual, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y sector espacial. El Anexo II cubre otros sectores críticos: servicios postales y de mensajería, gestión de residuos, fabricación y distribución química, y producción y distribución de alimentos, entre otros.

Dentro de esos sectores, la directiva distingue entre entidades esenciales e importantes según tamaño (mediana o gran empresa, conforme a la Recomendación 2003/361/CE) y criticidad del servicio. Algunas entidades quedan dentro del ámbito de NIS2 con independencia de su tamaño, como los proveedores de servicios de confianza cualificados, los servicios DNS o los registros de dominios de primer nivel. Para estas, no aplica el umbral de tamaño que sí protege a otras organizaciones más pequeñas.

La ausencia de ley de transposición no deja a las infraestructuras digitales españolas sin ningún marco de referencia. Tres vías ya ejercen presión de cumplimiento equivalente a NIS2.

Primero, la vía contractual. Clientes situados en países que sí han transpuesto la directiva, como Alemania, con su ley en vigor desde diciembre de 2025, o los Países Bajos, que aprobaron la suya el 7 de julio de 2026, están trasladando cuestionarios de seguridad basados en el artículo 21 de NIS2 a sus proveedores, con independencia de dónde esté constituida la infraestructura que los presta. Segundo, la regulación sectorial ya vigente. El Esquema Nacional de Seguridad, DORA para el sector financiero y la normativa de infraestructuras críticas cubren obligaciones sustancialmente equivalentes a las del artículo 21, y sus supervisores no están esperando a la ley nacional de NIS2 para exigirlas. Tercero, el Real Decreto ley 12/2018 y el Real Decreto 43/2021, la transposición de la directiva NIS original, siguen en vigor y aplican a buena parte de los mismos operadores.

En la práctica, esto significa que una infraestructura digital que sirve a sectores de los Anexos I o II debería estar implementando ya las medidas técnicas del artículo 21. Entre ellas: gestión documentada del riesgo, con inventario de activos, análisis de amenazas y un plan de tratamiento actualizado; un procedimiento de notificación de incidentes con los plazos que fija la directiva (alerta en 24 horas, notificación formal en 72 horas, informe final en un mes); seguridad de la cadena de suministro, incluida la revisión de contratos con proveedores TIC críticos; y formación del personal, incluida la alta dirección.

NIS2 no se resuelve con tecnología. Es, ante todo, un marco de gestión del riesgo y de procesos de notificación. Pero dos de sus exigencias concretas, la trazabilidad auditable de la cadena de suministro TIC y la capacidad de demostrar ante un supervisor cuándo se detectó y cómo se gestionó un incidente, encajan directamente con lo que aporta un registro sobre infraestructura blockchain permisionada como ISBE.

Primero, evidencia de incidente con sello de tiempo verificable. Registrar el momento de detección de un incidente, la notificación a las 24 horas y el informe a los 72 en un registro anclado en red, con participantes identificados, permite demostrar el cumplimiento del plazo ante un supervisor sin depender únicamente del log interno de la propia entidad, que podría alterarse después del hecho. Segundo, trazabilidad de la cadena de suministro TIC con terceros identificados. NIS2 exige evaluar el riesgo de los proveedores críticos; un registro compartido donde cada proveedor TIC está identificado, y no es una dirección anónima, facilita auditar qué proveedor tuvo acceso a qué sistema y cuándo, algo que una base de datos interna no identificada no puede sostener frente a un auditor externo. Tercero, gobernanza distribuida del registro de cumplimiento. Que el historial de evidencias de cumplimiento no dependa de un único servidor bajo control exclusivo de la entidad auditada añade una capa de confianza para el supervisor, que puede verificar de forma independiente la integridad del registro sin tener que confiar únicamente en la palabra del auditado.

Esto no sustituye la obligación de gestión del riesgo que exige NIS2; es una capa de evidencia que hace esa gestión verificable por un tercero, que es precisamente lo que un supervisor necesita comprobar.

El artículo 34 de NIS2 fija los máximos sancionadores mínimos que cada ley nacional debe establecer. Al menos 10 millones de euros o el 2% de la facturación mundial anual, lo que sea mayor, para entidades esenciales, y al menos 7 millones de euros o el 1,4% para entidades importantes. Son umbrales mínimos que la norma nacional debe fijar como máximo posible, no sanciones automáticas. La cuantía real de cada caso dependerá de la infracción, la autoridad competente y las circunstancias agravantes o atenuantes. No hay, a fecha de esta publicación, ninguna sanción NIS2 documentada contra una empresa en España, en parte porque la ley que debe aplicarlas todavía no existe.

¿NIS2 obliga ya en España si no hay ley de transposición? La directiva en sí no tiene efecto directo automático sobre sanciones nacionales sin una ley que las fije, pero buena parte de sus exigencias de fondo, como la gestión del riesgo, la notificación de incidentes y la seguridad de la cadena de suministro, ya alcanzan a muchas entidades a través de normativa sectorial vigente (Esquema Nacional de Seguridad, DORA, RD 43/2021) y de la presión contractual de clientes en países que sí han transpuesto la directiva.

¿Qué pasó con España ante el TJUE en julio de 2026? El 8 de julio de 2026 la Comisión Europea remitió a España, junto con Francia, Irlanda y Países Bajos, al Tribunal de Justicia de la UE por no haber completado la transposición de NIS2, solicitando una multa a tanto alzado más sanciones diarias hasta que la ley nacional se publique. A fecha de esta publicación, la ley española sigue en tramitación parlamentaria.

¿Cómo sé si mi organización es una entidad esencial o importante bajo NIS2? Depende del sector en el que operas (Anexo I o Anexo II de la Directiva (UE) 2022/2555) y de tu tamaño conforme a la Recomendación 2003/361/CE, salvo que pertenezcas a una categoría que queda cubierta con independencia del tamaño, como los proveedores de servicios de confianza cualificados. Conviene revisar el artículo 3 de la directiva caso por caso, no solo esta orientación general.

¿Qué plazos de notificación de incidentes exige NIS2? Una alerta temprana en las primeras 24 horas tras detectar un incidente significativo, una notificación formal con evaluación inicial en 72 horas, y un informe final en el plazo de un mes desde la notificación, o un informe de situación si el incidente sigue activo, seguido del informe final un mes después de resuelto.

¿Qué aporta una infraestructura como ISBE frente a las obligaciones de NIS2? No sustituye la gestión del riesgo que exige la directiva, pero permite registrar evidencias de cumplimiento (detección de incidentes, cumplimiento de plazos de notificación, trazabilidad de proveedores TIC) en un registro con participantes identificados y gobernanza distribuida, verificable por un supervisor externo sin depender únicamente de los registros internos de la entidad auditada.