La paciencia de Bruselas se agota: España y Francia al banquillo por el caos normativo de NIS2 y DORA

El fin de la diplomacia de los 'dos meses'

Se acabó el tiempo de las advertencias cordiales y los cafés en Bruselas. La Comisión Europea ha decidido que julio de 2026 sea el mes en el que la complacencia regulatoria se encuentre con la realidad jurídica. Tras casi dos años de retrasos injustificados, el Ejecutivo comunitario ha llevado a España, Francia, Irlanda y los Países Bajos ante el Tribunal de Justicia de la Unión Europea (TJUE) por no haber transpuesto la Directiva NIS2. Pero no es solo una cuestión de plazos; es una fractura en el escudo de ciberseguridad del continente que deja a miles de entidades en un limbo legal peligroso.

La situación es especialmente sangrante en el caso de España y Francia. Mientras otros 'alumnos rezagados' como Bulgaria, Suecia y Luxemburgo lograron poner sus papeles en regla durante la primera mitad de este 2026, Madrid y París siguen atrapadas en una parálisis legislativa que ya no convence a nadie en la Comisión. No estamos ante un simple trámite burocrático: la ausencia de una ley nacional que aterrice NIS2 significa que las autoridades de control no tienen la capacidad sancionadora ni el mandato claro para supervisar los 18 sectores críticos definidos en la directiva, desde la energía hasta la salud.

El laberinto español: ¿Estrategia o negligencia?

En España, el Gobierno aprobó un borrador para la transposición de NIS2 en enero de 2025. Sin embargo, ese texto ha languidecido en los cajones del Congreso sin ser sometido a votación parlamentaria. La excusa oficial, que circula por los pasillos de la Secretaría de Estado de Digitalización, es que se esperaba a la aprobación del llamado 'Digital Omnibus' de noviembre de 2025 para integrar todas las novedades de una sola vez y evitar duplicidades en el reporte de incidentes. Una jugada que ha salido mal.

Bruselas ha interpretado este retraso no como una búsqueda de eficiencia, sino como una falta de compromiso con la resiliencia colectiva. Al no haber notificado las medidas de transposición, España se enfrenta ahora a una solicitud de multa que incluye una suma a tanto alzado y multas coercitivas diarias hasta que la ley sea publicada en el BOE. Para una empresa del sector transporte o agua en España, esto significa que, aunque saben que deben cumplir con el Art. 21 de NIS2 sobre gestión de riesgos, no tienen un marco nacional que especifique cómo reportar ante el INCIBE o el CCN, ni bajo qué criterios exactos serán auditados.

Francia y el fracaso del 'Super-Proyecto' legislativo

El caso francés es un ejemplo de cómo la ambición excesiva puede descarrilar la ciberseguridad. París intentó fusionar en un solo gran proyecto de ley la transposición de NIS2, la implementación de DORA y la Directiva de Resiliencia de Entidades Críticas (CER). El borrador, que apareció a finales de 2024 y tuvo su última revisión en septiembre de 2025, prometía ser la piedra angular de la soberanía digital gala. Sin embargo, la complejidad de armonizar tres marcos regulatorios tan densos ha provocado que el proyecto se estanque.

La consecuencia es que Francia, al igual que España y Letonia, ha recibido también una carta de emplazamiento por no haber adaptado su legislación nacional a DORA. Aquí el matiz es técnico pero vital: DORA es un Reglamento y, por tanto, es de aplicación directa desde enero de 2025. Sin embargo, el Art. 50 de DORA exige que los Estados miembros otorguen a sus autoridades competentes (como la CNMV o el Banco de España) los poderes de supervisión, investigación y sanción necesarios. Sin esa ley nacional, estas autoridades están 'atadas de pies y manos' para imponer las multas que el reglamento prevé para las entidades financieras que no gestionen adecuadamente el riesgo de terceros ICT (Art. 28).

DORA: El reglamento que no puede morder

Es una ironía regulatoria. Un banco en Madrid o una aseguradora en Lyon están obligados a cumplir con DORA desde hace más de un año. Tienen que haber realizado sus análisis de brechas, tener sus registros de información de proveedores actualizados y estar listos para las pruebas de resiliencia operativa. Pero si deciden no hacerlo, o si lo hacen mal, el supervisor nacional se encuentra en una situación de debilidad jurídica para sancionar porque el legislador nacional no ha hecho sus deberes.

La Comisión ha dado a España, Francia y Letonia un plazo de dos meses para responder a estas cartas de emplazamiento. Si no hay una respuesta satisfactoria —que en este punto solo puede ser la aprobación inmediata de la ley—, el siguiente paso es el 'dictamen motivado', el último escalón antes de que el TJUE empiece a sumar ceros a la cuenta de la multa.

La paradoja del 'Digital Omnibus' y el Cybersecurity Act

Uno de los argumentos que los países demandados están utilizando para justificar su lentitud es la constante evolución del marco europeo. En noviembre de 2025, el Parlamento Europeo aprobó el 'Digital Omnibus', una pieza legislativa diseñada para simplificar los requisitos de reporte y evitar que una entidad financiera tenga que informar del mismo incidente bajo NIS2, DORA y GDPR de tres formas distintas.

Además, las revisiones del Cybersecurity Act propuestas en enero de este año han añadido más ruido al proceso. Sin embargo, para la Comisión, esto no es más que una distracción. La seguridad de las infraestructuras críticas no puede esperar a que el marco sea 'perfecto'. La realidad es que, mientras los legisladores nacionales discuten, la superficie de ataque sigue creciendo y la falta de una transposición clara de NIS2 impide que se establezcan los esquemas de certificación de ciberseguridad que el mercado necesita desesperadamente.

Implicaciones para entidades financieras y sectores críticos

Si usted es un CISO o un responsable de Compliance en una entidad afectada, la noticia de la demanda de la Comisión no es motivo de alivio, sino de alerta roja. La incertidumbre jurídica es el peor escenario para la planificación presupuestaria.

• Doble supervisión: La falta de claridad en la transposición puede llevar a situaciones donde el supervisor sectorial y la autoridad de ciberseguridad nacional reclamen competencias solapadas.
• Responsabilidad de la alta dirección: NIS2 (Art. 20) y DORA (Art. 5) ponen el foco en la responsabilidad personal de los directivos. Sin una ley nacional, ¿ante quién responden exactamente y bajo qué procedimiento administrativo?
• Contratación con terceros: Las cláusulas contractuales exigidas por el Art. 28 de DORA ya deberían estar en vigor, pero muchas empresas están retrasando su firma esperando a ver 'cómo queda la ley nacional'. Bruselas acaba de decir que no hay nada que esperar.

A continuación, desglosamos los puntos críticos que las entidades deben tener resueltos, independientemente de si su gobierno ha terminado de escribir la ley o no. El TJUE no va a eximir a una empresa de su responsabilidad operativa solo porque su Estado miembro sea un 'laggard' regulatorio.

Checklist de evidencias para auditoría (Escenario 2026)

Ante la falta de una ley nacional detallada, la recomendación de los reguladores europeos (EBA, ESMA, EIOPA) es clara: utilice el texto de la Directiva y el Reglamento como estándar mínimo. En una auditoría hoy, estas son las evidencias que se le exigirán:

El coste de la inacción: Precedentes y proyecciones

No es la primera vez que la Comisión se pone seria con la ciberseguridad, pero sí es la primera vez que lo hace con tal nivel de coordinación contra las principales economías de la UE. Si miramos precedentes en materia de protección de datos o directivas financieras, las multas del TJUE pueden oscilar entre los 5 y los 30 millones de euros como suma fija, más penalizaciones diarias que pueden superar los 50.000 euros.

Para España, el riesgo no es solo reputacional. Estar en la lista de países que 'frenan' la ciberseguridad europea debilita su posición para atraer centros de datos e inversiones tecnológicas que buscan, por encima de todo, seguridad jurídica. La paradoja es total: España presume de ser uno de los países con mayor nivel de ciberseguridad según el índice de la UIT, pero su maquinaria legislativa es incapaz de formalizar esa realidad en un texto legal.

Conclusión: La ciberseguridad no espera al BOE

La demanda de la Comisión Europea es un recordatorio brutal de que la ciberseguridad ha dejado de ser una recomendación técnica para convertirse en una obligación soberana. España y Francia han jugado a la política con los plazos de NIS2 y DORA, y ahora se enfrentan a las consecuencias en los tribunales.

Para las empresas, el mensaje es nítido: no esperen a la publicación en el BOE o en el Journal Officiel. Los estándares de seguridad definidos en el Art. 21 de NIS2 y en los RTS (Regulatory Technical Standards) de DORA son el 'estado del arte' exigible. En caso de un incidente mayor mañana, alegar que "la ley nacional aún no estaba aprobada" no será una defensa válida ante un tribunal ni ante unos clientes que verán sus datos o su dinero comprometidos por una negligencia que Bruselas ya no está dispuesta a tolerar.

El laberinto de las competencias: DORA contra el vacío de NIS2

La parálisis en la transposición de NIS2 en España y Francia no es solo un problema de soberanía legislativa; es un cortocircuito operativo para las entidades financieras que ya operan bajo el régimen de DORA. El conflicto surge en la gestión de la cadena de suministro. Mientras que DORA art. 28 impone una vigilancia draconiana sobre los proveedores de servicios TIC, la falta de una ley nacional NIS2 deja en el aire quién supervisa a esos mismos proveedores cuando prestan servicios a sectores no financieros pero críticos, como la energía o el transporte. En Madrid, el retraso ha generado una paradoja: un proveedor de servicios en la nube puede estar cumpliendo con los estándares de resiliencia para un banco del IBEX 35, pero opera en un vacío legal absoluto cuando ese mismo servidor aloja datos de una red de distribución de agua en Cataluña.

Esta asimetría regulatoria rompe el principio de 'unidad de mercado de ciberseguridad'. Las empresas españolas se encuentran con que deben aplicar el NIST CSF 2.0 GV.RM para gestionar el riesgo de terceros, pero no tienen un interlocutor válido en la administración para validar si sus planes de respuesta ante incidentes cumplen con los requisitos de notificación de 24 horas que exige NIS2. El resultado es un gasto redundante en auditorías: las entidades están pagando doble para cubrirse las espaldas ante una posible sanción retroactiva del TJUE que, tarde o temprano, las autoridades nacionales intentarán repercutir en el sector privado.

Ganadores y perdedores: el coste de la asimetría sectorial

El impacto de este caos normativo no es democrático; se ensaña con las entidades de tamaño medio y las fintech. Los grandes bancos españoles han utilizado su músculo regulatorio para alinearse con DORA, asumiendo que el cumplimiento de este reglamento les otorga un 'pasaporte de resiliencia' frente a NIS2. Sin embargo, para el sector de seguros y las plataformas de pagos, el escenario es dantesco. Al no existir la transposición nacional, no hay una lista oficial de 'Entidades Esenciales' (EE) ni 'Entidades Importantes' (EI). Esto significa que miles de empresas en España y Francia no saben si están sujetas a las sanciones de hasta 10 millones de euros o el 2% del volumen de negocios anual global.

En el sector energético, la situación es crítica. La ausencia de un marco nacional que aterrice el NIS2 art. 21 sobre medidas de gestión de riesgos de ciberseguridad impide que las empresas puedan deducir inversiones en ciberdefensa en sus planes de infraestructuras reguladas. Bruselas estima que la falta de armonización está costando a las empresas españolas un 15% adicional en costes de cumplimiento operativo comparado con sus homólogas alemanas, que ya tienen el marco NIS2 integrado desde 2024. La ventaja competitiva se está drenando por el sumidero de la inacción parlamentaria.

Manual de supervivencia para un CISO en el limbo: 24 horas de crisis

¿Cómo debe responder un equipo de seguridad en este julio de 2026 ante un ataque de ransomware? El procedimiento estándar se ha convertido en un ejercicio de equilibrismo legal. Ante una intrusión, el CISO debe activar un protocolo de tres bandas que, a falta de ley nacional, suele seguir este orden operativo:

• T+0 (Detección): Notificación inmediata interna bajo el marco de gobernanza de ISO 27001 anexo A para asegurar la trazabilidad de la evidencia.
• T+24 (Alerta temprana): Aquí empieza el problema. Según NIS2, se debe notificar en 24 horas. Ante la ausencia de un portal nacional operativo en España que integre las exigencias de la directiva, las empresas están optando por notificar preventivamente al INCIBE-CERT, aunque este carezca de las competencias sancionadoras que la directiva le debería haber otorgado ya.
• T+72 (Notificación de brecha de datos): Cumplimiento estricto del GDPR art. 33 ante la AEPD. Es el único terreno firme, pero la descoordinación entre la AEPD y el futuro (y aún inexistente) supervisor de NIS2 crea duplicidades en los informes técnicos que consumen horas críticas de los equipos de respuesta.

El riesgo real no es solo el ataque, sino la 'responsabilidad personal' de los órganos de administración. El NIS2 art. 20 exige que los directivos aprueben las medidas de gestión de riesgos y supervisen su aplicación. Sin una ley española que defina el alcance de esta responsabilidad, los consejos de administración en España están firmando pólizas de D&O (Directors and Officers) con primas un 30% más caras que hace un año, ante el temor de ser los chivos expiatorios de la negligencia estatal.

La factura invisible: AI Act y la transparencia de la CSRD

El retraso en NIS2 ha provocado un efecto dominó que ya alcanza al AI Act art. 6. Muchas de las infraestructuras críticas que utilizan sistemas de IA de alto riesgo deben cumplir con requisitos de ciberseguridad específicos que remiten directamente a la infraestructura de NIS2. Al no estar esta última desplegada, la certificación de sistemas de IA en sectores como la salud o la gestión de redes eléctricas en Francia y España está bloqueada de facto. Nadie quiere certificar un sistema de IA sobre una base de ciberseguridad que el TJUE considera ilegal.

A esto se suma la presión de la CSRD art. 1 sobre informes de sostenibilidad. Las empresas cotizadas deben informar ahora sobre su resiliencia ante riesgos cibernéticos como parte de sus criterios ESG. Sin un marco nacional de NIS2, los auditores externos se niegan a emitir opiniones 'limpias' sobre la resiliencia operativa de las empresas españolas, lo que está afectando al rating de crédito de algunas corporaciones industriales. La ironía es máxima: el Gobierno intenta proteger la economía retrasando cargas administrativas, pero la incertidumbre jurídica resultante es mucho más cara que la propia regulación. La paciencia de Bruselas no es lo único que se ha agotado; la de los mercados financieros también tiene un límite.