NIS2 en España en 2026: ¿en qué punto está la ley y qué debe hacer tu empresa ya?

Respuesta breve para empresas españolas que se preguntan si NIS2 les afecta, con el estado de la transposición a 30.09.2026 y lo que puedes hacer sin esperar a la ley.

Estado a 30.09.2026.

Respuesta breve

1A 30.09.2026, España no ha completado la transposición de la Directiva NIS2: el anteproyecto de ley se aprobó en Consejo de Ministros el 14.01.2025 y, según fuentes especializadas, sigue sin publicarse en el BOE.
2La Comisión Europea decidió en julio de 2026 llevar a España ante el Tribunal de Justicia de la UE por no haber notificado las medidas de transposición.
3Que la ley española no exista todavía no significa que el asunto no te afecte: clientes grandes y licitaciones ya piden medidas de ciberseguridad a sus proveedores.
4Lo sensato es prepararte ahora con lo que no depende del texto final: inventario de sistemas, copias de seguridad probadas, control de accesos, registro de eventos y un plan de respuesta a incidentes.
5Tu proveedor de hosting no cumple la norma por ti: 4hosting no es un certificador ni firma tu cumplimiento legal, pero puede darte infraestructura y horas de DevOps y ciberseguridad para aplicar las medidas.

Qué es NIS2 y en qué punto está en España

NIS2 es la Directiva (UE) 2022/2555, que eleva el nivel común de ciberseguridad en la Unión. Según la Comisión Europea, cubre dieciocho sectores críticos y exige a las entidades medianas y grandes de esos sectores adoptar medidas adecuadas de gestión de riesgos y notificar a las autoridades nacionales los incidentes significativos. Los Estados miembros debían transponerla antes del 17.10.2024.

En España, el Consejo de Ministros aprobó el 14.01.2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que incorporará la Directiva y prevé un Centro Nacional de Ciberseguridad como autoridad nacional competente (Departamento de Seguridad Nacional). Según fuentes especializadas, a 30.09.2026 esa ley no se ha publicado en el BOE.

En julio de 2026, la Comisión decidió llevar a España, junto con Irlanda, Francia y los Países Bajos, ante el Tribunal de Justicia de la UE por no haber notificado las medidas de transposición (Representación de la Comisión en España). El texto definitivo, su alcance y sus plazos pueden cambiar: confírmalos siempre en el BOE.

Qué puede hacer tu empresa ya

Mientras llega la ley, hay medidas que no dependen del texto final y que reducen riesgo desde hoy:

Inventario de sistemas, dominios y proveedores que sostienen tu servicio.
Copias de seguridad con restauración probada y una copia fuera del servidor principal.
Control de accesos: mínimo privilegio, doble factor y gestión de claves y secretos.
Registro centralizado de eventos, para poder reconstruir qué pasó ante un incidente.
Un plan de respuesta a incidentes con responsables y datos de contacto por escrito.

Tres situaciones habituales

Son escenarios ilustrativos, no clientes reales.

Empresa de software que ofrece un SaaS. Sus clientes corporativos le enviarán cuestionarios de seguridad. Tener copias, registros y un plan de incidentes documentados acorta esas conversaciones.
Gestoría o despacho con datos de terceros. Aunque no sea sujeto directo, trata datos personales: el RGPD ya le exige medidas de seguridad apropiadas.
Tienda online que crece. Su exposición depende de sector y tamaño; conviene consultarlo con un asesor y, entretanto, reforzar accesos, actualizaciones y protección frente a ataques de denegación de servicio.

Errores frecuentes

Esperar al BOE para empezar. Las medidas técnicas básicas (copias, accesos, registros) son útiles con o sin ley.
Dar por hecho que estás fuera. El alcance depende de sector y tamaño y del texto final: consulta a tu asesor jurídico.
Creer que un hosting “certificado” te exime. La responsabilidad de tu servicio sigue siendo tuya.
Tener copias de seguridad que nunca se han restaurado. Una copia sin prueba de restauración es una hipótesis.
No saber quién decide qué hacer cuando ocurre un incidente. Sin un responsable claro, los plazos de notificación no se pueden cumplir.

Cómo te ayuda 4hosting

4hosting no es un certificador y no confirma tu cumplimiento legal; eso corresponde a tu organización y a tu asesor jurídico. Lo que sí ofrece es apoyo técnico para aplicar las medidas anteriores.

Cada suscripción incluye horas mensuales de DevOps, ciberseguridad y programación, según el plan.
Servicios de hardening de servidores y contenedores, alineación con GDPR e ISO 27001 (alineación, no certificación).
WAF y protección frente a DDoS, y registros centralizados con respuesta a incidentes.
Contrato de encargado del tratamiento (art. 28 RGPD) y cláusulas contractuales tipo para transferencias.

El centro de datos está en la UE, en Fráncfort, no en España. El soporte se presta en inglés y rumano.

Preguntas frecuentes

¿Está en vigor NIS2 en España?

La Directiva es europea y su plazo de transposición terminó el 17.10.2024, pero la ley española que la incorpora no consta publicada a 30.09.2026 según las fuentes especializadas consultadas. Comprueba el estado actual en el BOE y en el sitio del Departamento de Seguridad Nacional.

¿4hosting me certifica el cumplimiento de NIS2?

No. 4hosting no es un organismo certificador y no firma el cumplimiento legal de sus clientes. Ofrece infraestructura, contrato de encargado del tratamiento (art. 28 RGPD) y servicios de DevOps y ciberseguridad para ayudarte a implantar medidas.

¿Dónde están los servidores?

En un centro de datos de la UE, en Fráncfort, no en España. Los datos permanecen en la Unión Europea.