El adelanto electoral en España frena NIS2: ¿qué deben hacer las empresas?
El adelanto electoral ha dejado en suspenso varias iniciativas legislativas relacionadas con la ciberseguridad y la transformación digital. Entre ellas, la normativa destinada a completar en España la transposición de la Directiva NIS2. La tramitación parlamentaria se ha frenado, pero los riesgos y las obligaciones que afrontan las empresas siguen avanzando.
La convocatoria anticipada de elecciones y la consiguiente disolución de las Cortes han afectado a distintas iniciativas legislativas relacionadas con la ciberseguridad y la transformación digital. Una de las más relevantes es el desarrollo del marco nacional necesario para completar la transposición de la Directiva NIS2.
España todavía tiene pendiente culminar este proceso. El plazo establecido por la Directiva terminó el 17 de octubre de 2024 y, en julio de 2026, la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la Unión Europea por no haber notificado las medidas necesarias para completar su transposición.
El nuevo escenario político prolonga la incertidumbre sobre el futuro marco nacional. Sin embargo, no cambia una realidad evidente: el calendario legislativo puede detenerse, pero las necesidades de ciberseguridad de las organizaciones no.
Las amenazas continúan evolucionando y las empresas dependen cada vez más de sistemas digitales, servicios tecnológicos y proveedores externos. Por eso, esperar a que finalice el proceso normativo para empezar a prepararse puede suponer la pérdida de un tiempo valioso.
NIS2 sigue marcando la dirección
La Directiva NIS2 busca elevar el nivel común de ciberseguridad en la Unión Europea. Para ello, refuerza ámbitos como la gestión de riesgos, la respuesta ante incidentes, la continuidad de negocio, la gobernanza y la seguridad de la cadena de suministro.
Aunque la transposición española siga pendiente, las organizaciones pueden avanzar en estas áreas sin necesidad de anticipar cuál será el contenido definitivo de la futura normativa nacional.
La ciberseguridad es un factor de resiliencia, confianza y competitividad
Además, la preparación no responde únicamente a una cuestión regulatoria. Las empresas pueden encontrarse ya con requisitos de seguridad derivados de sus relaciones contractuales, los procesos de homologación o los modelos de gestión de terceros.
La ciberseguridad deja así de ser una materia limitada al cumplimiento. Se convierte también en un factor de resiliencia, confianza y competitividad, especialmente para las compañías que trabajan con grandes clientes o desarrollan su actividad en mercados internacionales.
¿Qué pueden hacer las organizaciones ahora?
El actual escenario ofrece a las empresas una oportunidad para prepararse de manera progresiva, ordenada y proporcionada.
El primer paso consiste en determinar hasta qué punto la organización puede verse afectada por NIS2. A continuación, conviene realizar un análisis de brechas o GAP que permita conocer la situación de partida, evaluar las capacidades existentes e identificar las principales áreas de mejora.
A partir de ese diagnóstico, la empresa puede establecer una hoja de ruta basada en riesgos y centrada en cuatro ámbitos prioritarios:
- Analizar la exposición y la aplicabilidad. Es necesario estudiar el sector de actividad, el tamaño de la organización y sus interconexiones críticas para determinar si puede tener la consideración de entidad esencial o importante.
- Reforzar la seguridad de la cadena de suministro. La gestión del riesgo debe extenderse a los proveedores tecnológicos y a los prestadores de servicios gestionados. Esto implica revisar los requisitos contractuales, los mecanismos de supervisión y, cuando resulte necesario, las auditorías técnicas.
- Revisar la gestión y notificación de incidentes. Las organizaciones deben adaptar sus procedimientos de respuesta para afrontar el esquema escalonado previsto por NIS2: alerta temprana en un plazo de 24 horas, notificación del incidente en 72 horas e informe final en el plazo de un mes.
- Implicar a la alta dirección. La ciberseguridad debe formar parte de la gobernanza de la empresa. La alta dirección necesita recibir formación adecuada y asumir de manera efectiva la supervisión de la estrategia, los riesgos y las medidas de seguridad.
Las organizaciones que ya trabajan con ISO/IEC 27001 o con el Esquema Nacional de Seguridad (ENS) cuentan con una base que puede facilitar este proceso. No obstante, estos marcos no deben interpretarse como una equivalencia automática con NIS2.
Prepararse hoy para no reaccionar mañana
La incertidumbre regulatoria no debería traducirse en inacción. Utilizar este periodo para conocer el punto de partida, detectar brechas y priorizar actuaciones permitirá a las empresas avanzar de forma proporcionada. También les ayudará a conservar la flexibilidad necesaria para adaptarse al futuro marco español.
Prepararse ahora no significa anticiparse indebidamente al legislador. Significa reforzar la capacidad de la organización para gestionar sus riesgos, responder ante posibles incidentes y afrontar el próximo escenario regulatorio con mayor madurez y margen de actuación.
Porque el calendario legislativo puede detenerse. La ciberseguridad, no.
Este artículo ha sido redactado de forma conjunta por Lucía Pedrosa, Manager Offering y PMO GRC, y Cristina Muñoz, Lead de Normalización y Cumplimiento en Izertis.