# NIS2 en España: estado de la transposición > España aún no ha transpuesto NIS2: el anteproyecto de ley, la remisión de la Comisión al Tribunal de Justicia, qué se aplica hoy y qué conviene preparar. Source page: https://netsenx.com/es/blog/2026-11-07_nis2-spain-status · NetSenX Team · 2026-11-07 España todavía no ha transpuesto NIS2. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero a 7 de noviembre de 2026 no hemos encontrado la ley publicada en el Boletín Oficial del Estado (BOE). El 8 de julio de 2026 la Comisión Europea llevó a España, junto con Irlanda, Francia y los Países Bajos, ante el Tribunal de Justicia de la UE por no haber notificado sus medidas de transposición. Mientras la nueva ley no se aplique, sigue en vigor el Real Decreto-ley 12/2018, que transpuso la primera directiva NIS. TriStiX S.L., la empresa que desarrolla NetSenX, tiene su sede en Alicante: este marco normativo es tanto el nuestro como el de nuestros clientes. ## Qué se aplica hoy El Real Decreto-ley 12/2018 se aplica a los operadores de servicios esenciales y a los proveedores de determinados servicios digitales: mercados en línea, motores de búsqueda en línea y servicios de computación en nube. Ya les obliga a gestionar los riesgos de seguridad y a notificar los incidentes significativos. Para las entidades privadas, el CSIRT de referencia es INCIBE-CERT. ## Qué añadirá NIS2 Una vez transpuesta, NIS2 alcanzará a muchas más empresas españolas. Por regla general cubre a las medianas y grandes empresas (50 o más personas en plantilla, o un volumen de negocios anual y un balance general que superen ambos los 10 millones de euros) de los sectores de sus anexos I y II, y a algunas entidades con independencia de su tamaño. El artículo 21 fija las medidas de gestión de riesgos, desde la gestión de incidentes y la continuidad de la actividad hasta la seguridad de la cadena de suministro, y el artículo 23 la cadena de notificación: una alerta temprana en las 24 horas siguientes a tener conocimiento de un incidente significativo, una notificación del incidente en 72 horas y un informe final a más tardar un mes después de la notificación. La ley española puede añadir detalles, como la autoridad y el formulario que se deben usar. ## Por qué conviene prepararse ya Los plazos de la directiva no serán más largos en España que en otros países, y lo más difícil de cumplirlos no es el papeleo: es darse cuenta de un incidente significativo en cuestión de horas. La mayoría de las intrusiones que acaban en un incidente notificable cruzan la red mucho antes de causar daños: un puesto de trabajo que contacta con un servidor externo, un equipo que escanea a otros, sesiones de administrador nuevas, una gran subida de datos de noche. Observar ese tráfico de forma continua es una de las pocas maneras de que un equipo pequeño lo note a tiempo. Nuestra [calculadora de plazos NIS2](/es/nis2-incident-reporting-deadlines) muestra lo que significa en la práctica el plazo de 24 horas. ## Qué hace NetSenX y qué no NetSenX observa cómo se comporta cada equipo en la red y detecta beaconing de C2, escaneos, movimiento lateral y volúmenes de datos salientes inusuales, en todos los planes, incluido Free. Explica cada alerta en lenguaje claro, registra alertas, decisiones de los analistas y cambios de configuración en un registro de auditoría y controla cada incidente frente a los plazos del artículo 23 de NIS2. Los datos de clientes se almacenan en la UE. NetSenX no decide si su empresa está en el ámbito de aplicación ni notifica a INCIBE-CERT ni a ninguna autoridad en su nombre: esas obligaciones siguen siendo suyas. El plan Free supervisa hasta 3 dispositivos sin límite de tiempo; consulte los [precios](/es/pricing) y la [monitorización de red para NIS2](/es/nis2-network-monitoring). ## Preguntas frecuentes ### ¿Ha transpuesto España la directiva NIS2? No a 7 de noviembre de 2026. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025 y no hemos encontrado la ley publicada en el BOE. La Comisión llevó a España ante el Tribunal de Justicia de la UE el 8 de julio de 2026 por no notificar las medidas de transposición. ### ¿Qué norma se aplica en España mientras tanto? El Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, que transpuso la primera directiva NIS. Se aplica a los operadores de servicios esenciales y a determinados proveedores de servicios digitales. ### ¿Dónde se notifican hoy los incidentes en España? Las entidades privadas sujetas al Real Decreto-ley 12/2018 notifican a INCIBE-CERT, el CSIRT de referencia para el sector privado. La ley de transposición de NIS2 puede cambiar los detalles cuando entre en vigor. ### ¿NetSenX notifica los incidentes a INCIBE-CERT por nosotros? No. NetSenX detecta comportamientos sospechosos en la red, conserva las alertas y el registro de auditoría en los que se basa una notificación y controla los plazos. La notificación sigue siendo responsabilidad de su empresa. ## Fuentes Todas consultadas el 7 de noviembre de 2026. - [Comisión Europea — la Comisión lleva a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia por no transponer las normas de ciberseguridad, 8 de julio de 2026 (IP/26/1499)](https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1499) - [Ministerio del Interior — el Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, 14 de enero de 2025](https://www.interior.gob.es/opencms/es/detalle/articulo/El-Consejo-de-Ministros-aprueba-el-anteproyecto-de-Ley-de-Coordinacion-y-Gobernanza-de-la-Ciberseguridad/) - [BOE — Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información](https://www.boe.es/buscar/act.php?id=BOE-A-2018-12257) - [Directiva (UE) 2022/2555 (NIS2) — EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) - [Comisión Europea — estado de la transposición de NIS2 por Estado miembro](https://digital-strategy.ec.europa.eu/en/policies/nis-transposition) --- *Escrito por el equipo de NetSenX en TriStiX S.L. Este artículo es información general, no asesoramiento jurídico; compruebe sus obligaciones con INCIBE o con su asesor legal. Preguntas: [info@netsenx.com](mailto:info@netsenx.com).*