Edificio Berlaymont, sede de la Comisión Europea en Bruselas. NAVARRA INFORMACIÓN
NAVARRA INFORMACIÓN
La UE lleva a España ante su Tribunal de Justicia por el retraso con la normativa europea NIS2 de ciberseguridad
La Comisión Europea remitió el pasado 8 de julio a España al Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa de la Directiva NIS2, el marco que eleva el nivel mínimo de ciberseguridad exigible en la UE. El procedimiento se dirige contra el Estado español por el retraso, no contra las empresas, pero reabre la pregunta de cuándo llegarán las nuevas obligaciones.
Conviene precisar un punto que genera confusión. NIS2 es una directiva, por lo que sus obligaciones no son directamente exigibles a las empresas españolas hasta que se apruebe la ley nacional que la incorpora. Esa norma, la Ley de Coordinación y Gobernanza de la Ciberseguridad, fue aprobada como anteproyecto por el Consejo de Ministros en enero de 2025, tiene tramitación urgente y, a día de hoy, sigue pendiente de aprobación parlamentaria y sin publicar en el BOE. El plazo de transposición había vencido el 17 de octubre de 2024.
En este contexto, cdmon, proveedor de hosting y dominios, pide huir de los dos extremos. “El error sería tanto alarmar como ignorar el asunto. Las obligaciones todavía no están en vigor para las empresas, pero su contenido es conocido y estable, y cuando la ley se publique los plazos de adaptación serán cortos”, explica Miguel Ortega, director de procesos y seguridad de cdmon.
Cuando entre en vigor, la norma afectará a un universo amplio. El Gobierno estima en más de 5.700 las entidades directamente incluidas, de dieciocho sectores, que tengan al menos 50 empleados o facturen más de 10 millones de euros. Además, ciertos servicios de infraestructura digital, como los proveedores de DNS, los registros de dominios de primer nivel (TLD) y los servicios de registro de nombres de dominio, quedan incluidos con independencia de su tamaño.
El futuro régimen sancionador distinguirá por tipo de entidad. Las entidades esenciales podrán enfrentarse a multas de hasta 10 millones de euros o el 2% de su facturación mundial, la cifra más alta; las entidades importantes, hasta 7 millones o el 1,4%. La inhabilitación temporal de directivos, una medida no económica, está prevista solo para las esenciales y no es automática, sino una herramienta que el regulador podría usar en casos graves.
En el plano de la gobernanza, la directiva pide que el órgano de dirección apruebe y supervise las medidas de gestión de riesgos y reciba formación específica, según recoge INCIBE. Es un cambio de fondo, porque la ciberseguridad deja de ser un asunto delegable solo al departamento técnico. “Agosto, con las plantillas reducidas, es buen momento para adelantar lo que no depende de la ley: comprobar si tu entidad estará incluida, alinear un marco como el ENS o la ISO 27001 y ensayar el procedimiento de notificación de incidentes”, señala Ortega.
La compañía recuerda que ese trabajo previo es útil con ley o sin ella, porque reduce el riesgo real de sufrir un incidente. Como registrador certificado con norma ISO y acreditación en el Esquema Nacional de Seguridad (ENS), cdmon defiende avanzar por prevención, no por miedo a la sanción. “Prepararse ahora no es adelantarse a una multa, es reducir la probabilidad de un ataque”, concluye Miguel Ortega, director de procesos y seguridad de cdmon.
