El 8 de julio la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la Unión Europea. El motivo es no haber notificado la transposición de la directiva NIS2, la norma que fija el nivel común de ciberseguridad para dieciocho sectores críticos, entre ellos sanidad, energía, transporte y sector público. España no va sola, con ella van Irlanda, Francia y Países Bajos. La Comisión pide al Tribunal que imponga sanciones económicas, una suma a tanto alzado y multas diarias hasta que la transposición se complete.

El calendario deja poco margen a la interpretación. El plazo venció el 17 de octubre de 2024. La Comisión envió cartas de emplazamiento el 28 de noviembre de 2024 y dictámenes motivados el 7 de mayo de 2025. En España, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros el 14 de enero de 2025 y ahí sigue, sin llegar al BOE. Casi dos años después del plazo, la norma española no existe.

De ahí sale una conclusión cómoda y equivocada. Si la ley no está, no hay nada que hacer. El error consiste en confundir a quién obliga la norma con hasta dónde llega.

NIS2 no se aplica a todas las empresas. Sigue una regla de tamaño y alcanza a las medianas y grandes de esos dieciocho sectores, con margen para que cada Estado incluya entidades más pequeñas de perfil crítico. Una pyme de treinta personas no suele ser sujeto obligado. Pero la directiva exige a quienes sí lo son que gestionen el riesgo de su cadena de suministro y de sus relaciones con proveedores. Ahí es donde aparece la pyme, no como destinataria de la norma, sino como proveedora de quien tiene que cumplirla.

NIS2 no va a llegar a tu empresa por el BOE. Va a llegar en el contrato de tu mejor cliente.

Eso ya está pasando, y no espera al legislador español. El hospital, la eléctrica, el operador logístico o la administración que os compra tienen que demostrar que controlan a sus proveedores. La forma que toma esa obligación es siempre la misma, un cuestionario de seguridad antes de firmar y unas cláusulas nuevas en la renovación. Cuatro cosas se repiten en todos.

  1. Quién responde. Un nombre y un teléfono a los que llamar cuando algo pase, dentro de vuestra empresa, no el número genérico de vuestro informático. La primera pregunta del cuestionario suele ser esta y la mitad de las pymes no la tiene contestada.
  2. Avisar rápido. Las entidades obligadas notifican sus incidentes en plazos de horas, no de días. Ese reloj se traslada al contrato, así que si el incidente empieza en vuestros sistemas, tenéis que avisar a vuestro cliente a tiempo para que él llegue al suyo.
  3. Medidas que se puedan enseñar. No basta con decir que hacéis copias de seguridad. Piden desde cuándo, con qué frecuencia, cuándo se probó la última restauración y quién lo comprobó. Lo que no está registrado, en una revisión no existe.
  4. Vuestra propia cadena. Si una parte de vuestro servicio la sostiene un tercero, la pregunta os la trasladan entera. Vuestro proveedor pasa a ser un asunto vuestro delante del cliente.

Conviene poner las sanciones en su sitio. Para las entidades obligadas, NIS2 fija multas de al menos diez millones de euros o el 2 % de la facturación mundial en las esenciales, y de al menos siete millones o el 1,4 % en las importantes. La pyme proveedora no se expone a esa multa. Se expone a algo más inmediato, que la renovación no llegue y que el contrato se lo lleve el competidor que sí supo contestar.

Queda una tentación razonable, esperar. En enero de 2026 la Comisión propuso enmiendas a la propia NIS2 para dar claridad jurídica y facilitar el cumplimiento. Pero lo que se simplifica es cómo se cumple, no si hay que cumplir, y el cuestionario de vuestro cliente no depende de eso. Depende de su próxima auditoría.

La pregunta útil hoy no es cuándo saldrá la ley española. Es quién de vuestra empresa contestaría mañana ese cuestionario, con qué pruebas y en cuánto tiempo. Si no os viene un nombre a la cabeza, ese es el hallazgo. En una operación, la siguiente pregunta es qué implica esa falta de evidencia para el riesgo y la ejecución. La diligencia de ejemplo de Prufy muestra cómo trazamos ese recorrido desde la señal hasta la implicación.