¡La UE pone el turbo a la ciberseguridad! Irlanda, España, Francia y Países Bajos, al banquillo por la directiva NIS2

Imagina que te toca hacer la declaración de la renta y, cuando llegas a Hacienda, te dicen: 'Lo siento, aún no hemos aprobado el nuevo formulario. Vuelva en unos meses, o quizás el año que viene'. Pues algo así está pasando con la ciberseguridad en Europa. La Comisión Europea ha dicho 'basta' y ha llevado a Irlanda, España, Francia y Países Bajos ante la Corte de Justicia de la UE por no haber notificado la transposición completa de la directiva NIS2. Y ojo, que esto no es un simple tirón de orejas: las empresas de estos países pueden enfrentarse a un auténtico dolor de cabeza normativo.

¿Qué es la NIS2 y por qué debería importarte?

La directiva NIS2 (Network and Information Security 2) es la gran apuesta de la UE para elevar el nivel de ciberseguridad en sectores críticos como energía, transporte, banca, salud e infraestructuras digitales. Vino a sustituir a su predecesora, la NIS, que se quedó corta ante amenazas como el ransomware o los ataques a cadenas de suministro. El plazo para que los Estados miembros la incorporaran a su legislación nacional expiró el 17 de octubre de 2024. Pero, como en los deberes del cole, algunos han llegado tarde.

Los 'alumnos' rezagados

Irlanda, España, Francia y Países Bajos son los cuatro países que la Comisión ha decidido llevar ante el tribunal. No es que no hayan hecho nada: algunos tienen borradores o proyectos de ley, pero no han completado el proceso. Y la Comisión, que ya había enviado cartas de emplazamiento en diciembre de 2024, se ha cansado de esperar. El resultado: un procedimiento judicial que puede acarrear multas millonarias para estos Estados.

¿Y qué pasa con las empresas?

Aquí viene lo jugoso. Si tu empresa opera en uno de estos países y pertenece a un sector cubierto por la NIS2, te encuentras en un limbo legal. Por un lado, la directiva europea ya está en vigor y exige medidas como la notificación de incidentes, la gestión de riesgos y la seguridad en la cadena de suministro. Pero, al no estar transpuesta, las autoridades nacionales no tienen herramientas para exigir su cumplimiento ni para imponer sanciones. Es como tener un semáforo en ámbar intermitente: ¿pasas o te paras?

Algunas empresas, las más previsoras, ya están implementando medidas voluntariamente para no pillar un rebote cuando la ley nacional se apruebe de golpe. Otras, en cambio, se relajan y cruzan los dedos. Pero ojo, porque cuando la transposición llegue (y llegará), puede que venga con exigencias retroactivas o plazos ajustados. Y las sanciones previstas son serias: hasta 10 millones de euros o el 2% de la facturación anual global, lo que sea mayor.

Analogía para no aburrirte: la mudanza

Piensa en la NIS2 como en una mudanza. La UE te ha dicho que tienes que embalar tus cosas (proteger tus sistemas) antes del 17 de octubre. Pero el país donde vives (tu Estado miembro) no te ha dado las cajas ni te ha dicho dónde aparcar el camión. Tú puedes empezar a meter la ropa en bolsas de basura, pero cuando lleguen las cajas oficiales, igual tienes que deshacerlo todo. O peor: que el camión no pueda aparcar y te multen por obstrucción. Vamos, un lío.

¿Qué hacer si tu empresa está en España, Irlanda, Francia o Países Bajos?

Primero, no esperes a que la ley nacional esté publicada en el BOE (o equivalente). Revisa si tu empresa está dentro del alcance de la NIS2: sectores de alta criticidad (energía, banca, infraestructuras digitales) y otros sectores importantes (servicios postales, gestión de residuos, fabricación). Si es así, empieza a documentar tus medidas de ciberseguridad, a formar a tu personal y a establecer protocolos de notificación de incidentes. Te recomiendo que consultes el texto oficial de la directiva en EUR-Lex para conocer los requisitos exactos.

Segundo, mantente al día de los avances legislativos en tu país. Por ejemplo, en España el proyecto de ley de ciberseguridad está en tramitación parlamentaria. En Francia, la transposición avanza a trompicones. Suscríbete a boletines de despachos de abogados especializados o sigue a la autoridad nacional de ciberseguridad (INCIBE en España, ANSSI en Francia, etc.).

Tercero, no te confíes. Aunque ahora no haya multas, cuando la ley se apruebe, las autoridades pueden exigir que demuestres que has cumplido desde la fecha límite original. Es decir, que si has estado de brazos cruzados, podrías tener que justificar por qué no implementaste medidas a tiempo. Y eso, amigo mío, es un dolor de cabeza que te ahorras si empiezas hoy.

El futuro: más presión, más plazos

Este movimiento de la Comisión es una señal clara: la UE va en serio con la ciberseguridad. No es la primera vez que lleva a Estados miembros ante la Corte por retrasos en directivas (recordemos la GDPR), y no será la última. Las empresas que operan en varios países de la UE deberían tener un plan de cumplimiento armonizado, porque la NIS2 no es una opción, es una obligación. Y como en el chiste del médico: 'Doctor, me duele cuando hago esto'. Pues no lo hagas. No esperes a que te duela.