Plazos NIS2 en España: Qué Está Fijado y Qué No
Esta página separa lo que tiene fecha y fuente oficial de lo que solo son previsiones. Última revisión: 20 de septiembre de 2026. Comprueba siempre el estado actual en el BOE antes de tomar decisiones.
Cronología verificada
| Fecha | Hecho | Fuente |
|---|---|---|
| Enero de 2023 | Entra en vigor la Directiva (UE) 2022/2555, a los veinte días de su publicación en el DOUE | EUR-Lex, art. 45 |
| 17 de octubre de 2024 | Fin del plazo de transposición; las disposiciones debían aplicarse desde el 18 de octubre | EUR-Lex, art. 41 |
| 28 de noviembre de 2024 | La Comisión envía cartas de emplazamiento por falta de transposición | Comisión Europea |
| 14 de enero de 2025 | El Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad | La Moncloa |
| 17 de abril de 2025 | Fecha límite de la Directiva para que los Estados elaboren la lista de entidades esenciales e importantes | EUR-Lex, art. 3.3 |
| 7 de mayo de 2025 | La Comisión envía un dictamen motivado a España y a otros 18 Estados | Comisión Europea |
| 8 de julio de 2026 | La Comisión decide remitir a España, Irlanda, Francia y Países Bajos al TJUE y pide sanciones económicas | Comisión Europea |
| 20 de septiembre de 2026 | En las fuentes oficiales consultadas no consta la publicación de la ley en el BOE | Comprobación propia |
Qué sigue sin fecha
- Entrada en vigor de la ley española. El anteproyecto seguía un procedimiento de urgencia con informes y dictamen del Consejo de Estado antes de pasar a las Cortes, según la Moncloa. No hay calendario oficial de aprobación.
- Periodos transitorios o “de gracia”. Los fijaría la ley; no hay fuente oficial que los establezca.
- Autoridad competente y canal de notificación. El anteproyecto prevé un Centro Nacional de Ciberseguridad como autoridad competente única; el texto puede cambiar hasta su aprobación.
- Régimen sancionador español. La Directiva solo fija máximos mínimos que cada Estado debe prever (art. 34); mira multas y sanciones NIS2.
- Alcance definitivo. Puede concretar o ampliar el de la Directiva; consulta quién está obligado.
Lo que sí puedes asumir
- La Directiva obliga a los Estados, no directamente a las empresas, y España incumplió el plazo.
- Hasta que se publique la ley, se mantiene el marco de la Directiva anterior (NIS1): Real Decreto-ley 12/2018.
- La remisión al TJUE con petición de sanciones económicas es una presión real para aprobar la ley, pero no fija por sí misma una fecha.
Qué hacer con esta incertidumbre
- Confirma si tu actividad y tamaño te sitúan dentro (guía de alcance).
- Empieza por lo básico, que sirve con cualquier calendario: copias de seguridad, control de accesos, formación y un plan de incidentes.
- Revisa el BOE y la tramitación de la ley antes de contratar servicios “de cumplimiento NIS2”.
Artículos relacionados
- ¿Qué es la Directiva NIS2 y cómo afecta a tu PYME?
- ¿Tu PYME está obligada por NIS2? Cómo saberlo
- Multas y sanciones NIS2: qué fija la Directiva y qué no
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2) en EUR-Lex
- Comisión Europea: remisión de España al TJUE (08/07/2026)
- Comisión Europea: dictamen motivado a 19 Estados (07/05/2025)
- La Moncloa, 14/01/2025: anteproyecto de ley
- Departamento de Seguridad Nacional: anteproyecto de ley
- BOE: Real Decreto-ley 12/2018
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024 y aplicar las medidas desde el 18 de octubre de 2024. España no lo ha hecho: el Consejo de Ministros aprobó un anteproyecto el 14 de enero de 2025 y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿Hay un periodo de gracia para las empresas?
- No hay fuente oficial que fije uno. Un periodo transitorio, si existe, lo establecerá la ley española cuando se publique. Cualquier fecha de "periodo de gracia" que circule hoy es una previsión sin base normativa.
- ¿Qué pasa si mi empresa no cumple NIS2?
- Hoy no hay régimen sancionador NIS2 español publicado. La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes), pero la sanción concreta y la autoridad que la impone las fijará la ley nacional.
- ¿Cualquier empresa de más de 50 empleados debe designar un responsable NIS2?
- La Directiva no impone esa figura como regla general: exige que los órganos de dirección aprueben y supervisen las medidas de riesgo (art. 20). Si la ley española crea una figura como responsable de seguridad, lo dirá su texto final.
