El 8 de julio la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la Unión Europea. El motivo es no haber notificado la transposición de la directiva NIS2, la norma que fija el nivel común de ciberseguridad para dieciocho sectores críticos, entre ellos sanidad, energía, transporte y sector público. España no va sola, con ella van Irlanda, Francia y Países Bajos. La Comisión pide al Tribunal que imponga sanciones económicas, una suma a tanto alzado y multas diarias hasta que la transposición se complete.
El calendario deja poco margen a la interpretación. El plazo venció el 17 de octubre de 2024. La Comisión envió cartas de emplazamiento el 28 de noviembre de 2024 y dictámenes motivados el 7 de mayo de 2025. En España, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros el 14 de enero de 2025 y ahí sigue, sin llegar al BOE. Casi dos años después del plazo, la norma española no existe.
De ahí sale una conclusión cómoda y equivocada, que mientras no haya ley no hay nada que revisar. El error consiste en confundir a quién obliga la norma con hasta dónde llega su efecto.
La obligación ya viaja por el contrato
Si tu organización está en uno de los sectores cubiertos, la gestión de riesgos de la cadena de suministro es una medida exigida por la propia directiva, no una buena práctica. Y si no lo está, tus clientes obligados te la trasladan por contrato. En los dos casos el resultado para auditoría interna es el mismo, que hay un control nuevo que alguien tiene que probar.
La forma que toma es siempre parecida, un cuestionario de seguridad antes de firmar y unas cláusulas nuevas en cada renovación. El problema no es contestarlo. El problema es que la respuesta que firmó negocio hace ocho meses tiene que seguir siendo cierta hoy, y casi nunca hay nadie comprobándolo.
Cuatro cosas que el auditor puede probar este ciclo
- Quién responde en cada proveedor crítico. Un nombre, un cargo y un canal, revisados en los últimos doce meses. Es la primera pregunta del cuestionario y la que más veces está contestada con un buzón genérico que ya no lee nadie.
- Los plazos de aviso trasladados. Las entidades obligadas notifican sus incidentes en plazos de horas. Comprueba que ese reloj aparece en el contrato del proveedor, que el proveedor lo conoce y que existe una prueba de la última vez que se usó.
- Medidas que se puedan enseñar. No basta con la cláusula que dice que el proveedor hace copias de seguridad. Pide desde cuándo, con qué frecuencia, cuándo se probó la última restauración y quién lo comprobó. Lo que no está registrado, en una revisión no existe.
- La cadena del proveedor. Si una parte del servicio la sostiene un subencargado, la pregunta se traslada entera. El cuarto nivel de la cadena es donde se rompen casi todos los inventarios.
Dónde poner las sanciones
Para quien incumpla las medidas de gestión de riesgos o el deber de notificar, NIS2 obliga a los Estados a prever multas máximas de al menos diez millones de euros o el 2 % de la facturación mundial anual del grupo en las entidades esenciales, y de al menos siete millones o el 1,4 % en las importantes, lo que resulte mayor. Ese número conviene ponerlo en su sitio dentro del informe. La exposición inmediata de la mayoría de las organizaciones no es la multa, es el contrato que no se renueva y el cliente que pide pruebas que nadie ha reunido todavía.
Queda la tentación de esperar. En enero de 2026 la Comisión propuso enmiendas a la propia NIS2 para dar claridad jurídica y facilitar el cumplimiento. Lo que se simplifica es cómo se cumple, no si hay que cumplir, y el cuestionario del cliente no depende de eso. Depende de su próxima auditoría.
La pregunta útil hoy no es cuándo saldrá la ley española. Es cuántos de tus proveedores críticos podrían enseñar mañana esas pruebas y en cuánto tiempo las reuniríais vosotros. Si la respuesta es que nadie lo sabe, ese es el hallazgo, y encaja con la brecha de capacidades que ya mide el sector.
Reunir esas pruebas, cruzarlas entre sistemas y dejar cada respuesta con su fuente es el trabajo que Prufy prepara para que el auditor decida.
