Hacker en la oscuridad con varias pantallas UNSPLASH
España, ante el Tribunal de la UE por su ley de ciberseguridad: la pyme no puede permitirse esperar al BOE
Cuando las leyes van demasiado lentas, el empresario se ve obligado a anticiparse para evitar prisas e incumplimientos de la legislación europea
Noticias relacionadas
El pasado 8 de julio, la Comisión Europea decidió llevar a España, junto con Irlanda, Francia y Países Bajos, ante el Tribunal de Justicia de la Unión Europea (TJUE) por no haber transpuesto todavía la Directiva NIS2 de ciberseguridad, casi dos años después de que expirara el plazo fijado para hacerlo, el 17 de octubre de 2024. Bruselas pide al tribunal que imponga sanciones financieras —una cantidad a tanto alzado más multas diarias que, según los criterios habituales de la Comisión para este tipo de procedimientos, pueden oscilar entre los 1.000 y los 100.000 euros— hasta que el Gobierno notifique la transposición completa de la norma.
Un pulso que se ha ido acelerando
El caso español no es un simple retraso administrativo, sino una escalada progresiva. La Comisión envió las primeras cartas de emplazamiento el 28 de noviembre de 2024 y, ante la falta de avances, elevó el tono con un dictamen motivado el 7 de mayo de 2025. Un año después, el 1 de junio de 2026, Bruselas lanzó un segundo aviso formal exigiendo a España transponer la directiva "con urgencia". La vicepresidenta ejecutiva de la Comisión, Henna Virkkunen, responsable de soberanía tecnológica, seguridad y democracia, subrayó entonces que la ciberseguridad es "fundamental" para la Unión y que los ciberataques "alteran infraestructuras críticas y la estabilidad económica". Aquel aviso de junio daba a entender que España tendría hasta septiembre antes de que el caso llegara a los tribunales; la Comisión, sin
embargo, no esperó: remitió el expediente al TJUE ya en julio, antes de lo previsto.
España, de hecho, no llega sola a Luxemburgo por retrasos normativos: en el mismo paquete de infracciones de julio, la Comisión también denunció al país por no transponer a tiempo la directiva sobre fondos propios bancarios y por incumplimientos en el reconocimiento de cualificaciones profesionales de traductores e intérpretes jurados. No es, por tanto, un tropiezo aislado, sino un patrón de acumulación de expedientes abiertos con Bruselas.
Por qué se atasca en el Congreso
El Consejo de Ministros aprobó en enero de 2025, en primera vuelta, el anteproyecto de la Ley de Coordinación y Gobernanza de la Ciberseguridad, el texto llamado a trasponer la directiva. Año y medio después, ese anteproyecto sigue sin pasar el trámite de segunda vuelta en Consejo de Ministros ni ha llegado a las Cortes Generales. La causa no es solo burocrática: el Ejecutivo afronta la tramitación sin una mayoría parlamentaria holgada, y una ley que crea un nuevo Centro Nacional de Ciberseguridad y redistribuye competencias entre organismos como el CCN y el INCIBE no es, políticamente, un trámite menor ni exento de negociación entre grupos.
Esa demora tiene un efecto poco intuitivo: cuanto más tarde llegue la ley, menos margen tendrán las empresas para adaptarse. Fuentes jurídicas que siguen la tramitación coinciden en que, dado el tiempo ya perdido frente a Bruselas, previsiblemente entrará en vigor al día siguiente de su publicación, sin un periodo transitorio largo. Es decir: el día que se apruebe, las obligaciones serán exigibles casi de inmediato, a diferencia de lo que ocurrió con otros países que sí transpusieron a tiempo y pudieron repartir la adaptación en varios meses.
Qué obliga realmente la norma, sin la letra pequeña
NIS2 amplía de forma notable el número de sectores bajo supervisión respecto a la directiva anterior de 2016: dieciocho sectores considerados críticos, divididos en "entidades esenciales" (energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua, infraestructura digital, administración pública y espacio, entre otros) y "entidades importantes" (servicios postales, gestión de residuos, química, alimentación, fabricación industrial, proveedores digitales e investigación). El criterio de tamaño que determina si una empresa entra dentro del ámbito de aplicación es el habitual para mediana empresa en la normativa europea: quedan afectadas las organizaciones de estos sectores con 50 empleados o más, o con un volumen de negocio o balance superior a 10 millones de euros, con algunas excepciones que capturan a entidades más pequeñas por su criticidad, como proveedores de DNS o registros de dominios.
Lo que exige la norma a esas empresas no es exótico ni exclusivamente técnico: análisis y gestión de riesgos aprobados por el propio órgano de dirección (no delegable en el departamento de IT), notificación de incidentes significativos en un plazo de 72 horas, y control de la seguridad en la cadena de suministro, es decir, exigir a proveedores y subcontratas un nivel mínimo de protección. El régimen sancionador previsto, una vez en vigor, distingue entre categorías: hasta 10 millones de euros o el 2% de la facturación mundial anual para entidades esenciales, y hasta 7 millones de euros o el 1,4% para entidades importantes, aplicándose la cifra más alta de cada horquilla.
El riesgo no espera a que exista la ley
Aquí está el matiz que muchas pymes todavía no han entendido: no hace falta que la ley española esté en el BOE para notar sus efectos. Como ya contamos en este medio hace unas semanas a propósito de cómo aseguradoras y grandes clientes se han convertido en los verdaderos reguladores de facto de la seguridad de la pyme española, las compañías de seguros de ciberriesgo y los departamentos de compras de las grandes empresas ya están incorporando a sus cuestionarios y pólizas buena parte de los requisitos que NIS2 terminará por hacer obligatorios por ley. Una pyme que forma parte de la cadena de suministro de un hospital, una eléctrica o una administración pública puede encontrarse ya hoy con exigencias de seguridad calcadas de la directiva, aunque técnicamente todavía no esté obligada por ninguna norma española.
Esa anticipación tiene una consecuencia práctica: esperar a que se publique la ley para empezar a actuar deja a la empresa con el peor de los escenarios posibles, el de tener que cumplir de un día para otro una vez la norma entre en vigor, sin el margen de adaptación con el que sí contaron las empresas de otros países que transpusieron la directiva a tiempo.
De la norma a la infraestructura: qué cambia en la práctica
Traducido a decisiones concretas, buena parte de los requisitos de NIS2 —gestión de riesgos, seguridad perimetral, control de la cadena de suministro— pasan por revisar el equipamiento de red con el que trabaja la empresa, empezando por el punto de entrada y salida de todo el tráfico: el firewall. Distribuidores especializados en infraestructura de red para empresa, como Cybersstock, señalan que buena parte de las pymes que ahora se plantean su adaptación siguen operando con equipos dimensionados para una red mucho más pequeña o antigua que la actual, sin funciones de inspección de tráfico cifrado, VPN de sitio a sitio o segmentación por departamentos que hoy se consideran mínimas para cumplir con el control de acceso que exige la norma.
En ese sentido, los firewalls Fortinet FortiGate ilustran el tipo de salto de generación —de un equipo doméstico o de gama baja a uno con gestión centralizada multisede y control de acceso por segmentos— que las auditorías de proveedores y aseguradoras empiezan a exigir de facto.
Qué puede hacer una pyme ya, sin esperar a la ley
Los abogados y consultoras que siguen de cerca la tramitación coinciden en un mismo consejo: no esperar al BOE. En la práctica, eso se traduce en cuatro pasos que una pyme puede empezar a dar desde ya, esté o no formalmente dentro del ámbito de la futura ley: identificar qué activos y proveedores son críticos para su actividad; documentar un procedimiento mínimo de respuesta y notificación de incidentes, aunque todavía no exista la obligación legal de los plazos de 72 horas; revisar los contratos y cuestionarios de seguridad que ya envían clientes grandes y aseguradoras, que suelen anticipar lo que la ley terminará por exigir; y auditar el perímetro de red frente a lo que hoy ofrece el mercado, comparando el equipo actual con el catálogo de firewalls para empresas disponible para negocios de tamaño similar, antes de que una auditoría externa lo haga por ellos y en peores condiciones.
Con España camino del Tribunal de Justicia de la UE, sin fecha cierta para el BOE y con la Comisión Europea presionando cada vez con menos paciencia, el mensaje para la pyme española no es tanto "esperad a la ley" como "empezad ya": los requisitos que la ley terminará por imponer ya están llegando por otra vía, y cuando Bruselas y Luxemburgo terminen de forzar la mano al Gobierno, previsiblemente no habrá tiempo de reacción.
--
Contenido patrocinado
