La UE estalla y amenaza a España con los tribunales por el incumplimiento de la nueva ley sobre ciberseguridad

Se acabó la paciencia en Bruselas. La Comisión Europea ha dado un golpe sobre la mesa ante la pasividad del Gobierno de España para implementar la Directiva NIS2, la nueva ley que debe blindar nuestras empresas con ciberseguridad.

Tras ignorar el plazo límite del 17 de octubre de 2024 y también los avisos previos, España está a un paso de sentarse en el banquillo del Tribunal de Justicia de la UE (TJUE). Un retraso que no solo nos deja vulnerables ante los hackers, sino que amenaza con multas millonarias a las arcas públicas.

Un «decreto de urgencia» para evitar el bochorno judicial

A pesar de que el Ejecutivo aprobó un proyecto de ley en enero de 2025, la lentitud del trámite parlamentario ha hecho que la UE pierda los estribos. Para intentar frenar la demanda en el último minuto, el Gobierno baraja ahora aprobar la norma mediante un real decreto-ley de urgencia.

La presión es máxima: Bruselas considera que los esfuerzos nacionales han sido «insuficientes» y ya se ha cumplido el plazo de dos meses del último dictamen motivado. El objetivo de esta ley es evitar el agujero económico que provocan los ciberdelincuentes en sectores estratégicos como la energía, la sanidad o el transporte, siguiendo la estela de otras normas como el Reglamento DORA para los bancos.

Responsabilidad personal para los jefes y «efecto cascada» en las PYMES

Esta ley va a cambiar las reglas del juego en los despachos. La «ignorancia técnica» ya no servirá de excusa: la normativa establece que los administradores y directivos serán responsables personales de supervisar las medidas de seguridad digital. Si la empresa falla, el jefe responde.

 

Ver esta publicación en Instagram

 

Una publicación compartida de Telefónica Tech (@telefonicatech)

Además, el impacto llegará a todo el tejido productivo mediante un «efecto cascada». Las grandes corporaciones estarán obligadas a supervisar a todos sus proveedores. Esto significa que miles de PYMES españolas tendrán que elevar sus estándares de seguridad de inmediato si quieren seguir trabajando para las grandes entidades.

Reloj en marcha: 24 horas para avisar de un ataque

La Directiva NIS2 no permite despistes. En caso de que una empresa sufra un incidente, los tiempos de reacción serán asfixiantes:

• 24 horas: plazo máximo para emitir una alerta temprana del ataque.
• 72 horas: plazo para una notificación formal detallando el impacto.
• 1 mes: entrega obligatoria de un informe final completo.

Para centralizar esta defensa, el plan incluye la creación del Centro Nacional de Ciberseguridad, un organismo bajo la Presidencia del Gobierno que unificará las competencias que hoy se reparten Interior, Defensa y Transformación Digital en España.

En conclusión, el Gobierno se juega nuestra credibilidad digital y cartera en los próximos meses.