España NO hace los deberes: el retraso en la trasposición de la Directiva NIS 2 crea incertidumbre

El pasado 18 de octubre de 2024, la Unión Europea marcó la fecha límite para que todos los Estados Miembros traspusieran a su legislación nacional la Directiva NIS2, una normativa clave para elevar los estándares de ciberseguridad en la región. Sin embargo, solo tres países han cumplido a tiempo: Bélgica, Croacia y Hungría ya han publicado sus respectivos marcos normativos. Otros países, como Italia, Alemania y Finlandia, al menos tienen borradores avanzados que muestran sus planes de cumplimiento.

En contraste, algunos Estados Miembros, entre los que se encuentran España, Francia, Portugal e Irlanda, no han publicado ni borradores ni detalles sobre cuándo estarán listos para adaptar la legislación europea a sus jurisdicciones. Para las empresas afectadas en estos países, esta falta de claridad legislativa añade una carga de incertidumbre adicional, especialmente en un contexto donde la ciberseguridad es cada vez más crítica.

¿Qué implica el retraso en la trasposición de la Directiva NIS2?

Aunque la NIS2 es vinculante para todos los países de la Unión Europea, la ausencia de una legislación nacional específica en España significa que las empresas aún no tienen un marco concreto que detalle cómo deberán cumplir la normativa en esta jurisdicción. Sin embargo, es importante recordar que la falta de trasposición no exime a las empresas de la responsabilidad de prepararse: el cumplimiento llegará, y aquellas compañías directamente afectadas tendrán que contar, como mínimo, con estándares y certificados específicos, como la ISO 27001.

Para las empresas pequeñas y medianas, especialmente aquellas integradas en la cadena de valor de sectores críticos, esto supone que también tendrán que reforzar sus políticas de seguridad cibernética. Es probable que en un futuro próximo se les exija cumplir con auditorías y protocolos más estrictos.

Prepararse es fundamental, con o sin trasposición

A pesar del retraso por parte del Gobierno español, las empresas no pueden permitirse postergar sus preparativos. La entrada en vigor de la Directiva NIS2 ya marca un cambio en el estándar de ciberseguridad que se exigirá a las empresas en toda Europa. Cumplir con la normativa, independientemente de cuándo se formalice en la legislación española, es clave para evitar sanciones futuras y proteger los sistemas y datos críticos de la empresa.

Por ello, es el momento de evaluar el estado de ciberseguridad de cada organización, iniciar auditorías preventivas y obtener certificaciones reconocidas como la ISO 27001. Las compañías que tomen medidas ahora estarán mejor posicionadas para cumplir con la normativa cuando finalmente sea adoptada en España.