Plazo de NIS2 en España: fechas clave hasta 2027

Las fechas que importan

• • Octubre de 2024: fecha límite teórica de transposición de la directiva (UE) 2022/2555 por los Estados miembros.
• • 2026: entrada en vigor de la norma española de transposición y de su desarrollo reglamentario.
• • Enero de 2027: plazo de referencia para que las entidades afectadas estén adaptadas y registradas.

Por qué no conviene esperar a 2027

Cumplir NIS2 no es rellenar un formulario: exige políticas de riesgos aprobadas por la dirección, un procedimiento de gestión de incidentes capaz de notificar en 24 horas, continuidad de negocio probada, control de la cadena de suministro y formación de la dirección. Eso son meses de trabajo, no días.

Además, la presión llega antes que la fecha por la vía de los clientes: las entidades esenciales ya están enviando cuestionarios y cláusulas de ciberseguridad a sus proveedores para cubrir su propia cadena de suministro.

Qué hacer ahora

El primer paso es saber si estás obligada y en qué categoría (esencial o importante). A partir de ahí, un análisis de gaps frente a las 10 medidas del artículo 21 te dice qué te falta y en qué orden abordarlo.