Europa lleva a España ante los tribunales por no haber adoptado su ley de ciberseguridad

Publicado: julio 8, 2026, 11:24 am

La Comisión Europea ha anunciado su decisión de denunciar a España ante el Tribunal de Justicia de la Unión Europea (TJUE) por no haber completado la transposición de la directiva NIS2, la gran reforma comunitaria con la que Bruselas busca endurecer las obligaciones de ciberseguridad de empresas y administraciones que operan en sectores críticos. Junto a España, también han sido denunciados Irlanda, Francia y Países Bajos, los cuatro países que, según el Ejecutivo comunitario, siguen sin comunicar la incorporación plena de la norma a su legislación nacional. La directiva NIS2 , aprobada en 2022, obliga a reforzar la protección de redes y sistemas en 18 sectores considerados especialmente críticos, entre ellos la energía, el transporte, la sanidad, la banca, las infraestructuras digitales, la administración pública, el agua, la alimentación o la gestión de residuos. Su objetivo es elevar el nivel de defensa frente a potenciales ciberataques y exigir a las organizaciones la aplicación de medidas concretas de gestión de riesgos, continuidad de negocio, seguridad en la cadena de suministro y notificación rápida de incidentes. El problema es que en España, igual que en el resto de países denunciados por Bruselas, la transposición de la norma sigue incompleta. El Gobierno aprobó en enero de 2025 en consejo de ministros el anteproyecto de ley de coordinación encargado de cumplir con esa función. Sin embargo, un año después, la norma no ha culminado su tramitación, por lo que no ha sido oficialmente adoptada. La Comisión recuerda que los Estados miembros tenían de plazo hasta el 17 de octubre de 2024 para transponer la directiva, que entró en vigor en enero del año anterior. Algo con lo que cumplieron la mayoría de países europeos. Ahora, el Ejecutivo espera que el Tribunal de Justicia de la UE imponga sanciones económicas a los infractores. En concreto, reclama una multa fija y penalizaciones diarias hasta que comuniquen que han terminado de adoptar la directiva. La denuncia llega en un momento en el que la ciberseguridad está convertiendose en una prioridad creciente para la UE. En enero de 2026, la Comisión presentó un paquete de ciberseguridad con ajustes puntuales sobre NIS2 para aclarar algunos conceptos y facilitar el cumplimiento por parte de las empresas. Bruselas sostiene que el endurecimiento de las reglas es necesario para responder ante los peligros de las amenazas digitales, que cada vez son más sofisticadas, y por la necesidad de blindar mejor las infraestructuras y servicios esenciales frente a posibles ciberataques.