El passat 8 de juliol, la Comissió Europea va decidir portar Espanya, juntament amb Irlanda, França i Països Baixos, davant el Tribunal de Justícia de la Unió Europea (TJUE) per no haver transposat encara la Directiva NIS2 de ciberseguretat, gairebé dos anys després que expirés el termini fixat per fer-ho, el 17 d'octubre de 2024. Brussel·les demana al tribunal que imposi sancions financeres —una quantitat a tant alçat més multes diàries que, segons els criteris habituals de la Comissió per a aquest tipus de procediments, poden oscil·lar entre els 1.000 i els 100.000 euros— fins que el Govern notifiqui la transposició completa de la norma.
Un pols que s'ha anat accelerant
El cas espanyol no és un simple retard administratiu, sinó una escalada progressiva. La Comissió va enviar les primeres cartes d'emplaçament el 28 de novembre de 2024 i, davant la manca d'avenços, va elevar el to amb un dictamen motivat el 7 de maig de 2025. Un any després, l'1 de juny de 2026, Brussel·les va llançar un segon avís formal exigint a Espanya transposar la directiva "amb urgència". La vicepresidenta executiva de la Comissió, Henna Virkkunen, responsable de sobirania tecnològica, seguretat i democràcia, va subratllar aleshores que la ciberseguretat és "fonamental" per a la Unió i que els ciberatacs "alteren infraestructures crítiques i l'estabilitat econòmica". Aquell avís de juny donava a entendre que Espanya tindria fins al setembre abans que el cas arribés als tribunals; la Comissió, però, no va esperar: va remetre l'expedient al TJUE ja al juliol, abans del previst.
Espanya, de fet, no arriba sola a Luxemburg per retards normatius: en el mateix paquet d'infraccions de juliol, la Comissió també va denunciar el país per no transposar a temps la directiva sobre fons propis bancaris i per incompliments en el reconeixement de qualificacions professionals de traductors i intèrprets jurats. No és, per tant, una ensopegada aïllada, sinó un patró d'acumulació d'expedients oberts amb Brussel·les.
Per què s'encalla al Congrés
El Consell de Ministres va aprovar al gener de 2025, en primera volta, l'avantprojecte de la Llei de Coordinació i Governança de la Ciberseguretat, el text cridat a transposar la directiva. Any i mig després, aquest avantprojecte segueix sense passar el tràmit de segona volta al Consell de Ministres ni ha arribat a les Corts Generals. La causa no és només burocràtica: l'Executiu afronta la tramitació sense una majoria parlamentària folgada, i una llei que crea un nou Centre Nacional de Ciberseguretat i redistribueix competències entre organismes com el CCN i l'INCIBE no és, políticament, un tràmit menor ni exempt de negociació entre grups.
Aquest retard té un efecte poc intuïtiu: com més tard arribi la llei, menys marge tindran les empreses per adaptar-se. Fonts jurídiques que segueixen la tramitació coincideixen que, atès el temps ja perdut davant Brussel·les, previsiblement entrarà en vigor l'endemà de la seva publicació, sense un període transitori llarg. És a dir: el dia que s'aprovi, les obligacions seran exigibles gairebé de manera immediata, a diferència del que va passar amb altres països que sí van transposar a temps i van poder repartir l'adaptació en diversos mesos.
Què obliga realment la norma, sense la lletra petita
NIS2 amplia de manera notable el nombre de sectors sota supervisió respecte a la directiva anterior de 2016: divuit sectors considerats crítics, dividits en "entitats essencials" (energia, transport, banca, infraestructures de mercats financers, sanitat, aigua, infraestructura digital, administració pública i espai, entre d'altres) i "entitats importants" (serveis postals, gestió de residus, química, alimentació, fabricació industrial, proveïdors digitals i recerca). El criteri de mida que determina si una empresa entra dins de l'àmbit d'aplicació és l'habitual per a mitjana empresa en la normativa europea: queden afectades les organitzacions d'aquests sectors amb 50 empleats o més, o amb un volum de negoci o balanç superior a 10 milions d'euros, amb algunes excepcions que capturen entitats més petites per la seva criticitat, com proveïdors de DNS o registres de dominis.
El que exigeix la norma a aquestes empreses no és exòtic ni exclusivament tècnic: anàlisi i gestió de riscos aprovats pel propi òrgan de direcció (no delegable al departament d'IT), notificació d'incidents significatius en un termini de 72 hores, i control de la seguretat en la cadena de subministrament, és a dir, exigir a proveïdors i subcontractes un nivell mínim de protecció. El règim sancionador previst, un cop en vigor, distingeix entre categories: fins a 10 milions d'euros o el 2% de la facturació mundial anual per a entitats essencials, i fins a 7 milions d'euros o l'1,4% per a entitats importants, aplicant-se la xifra més alta de cada forquilla.
El risc no espera que existeixi la llei
Aquí hi ha el matís que moltes pimes encara no han entès: no cal que la llei espanyola estigui al BOE per notar-ne els efectes. Com ja vam explicar en aquest mitjà fa unes setmanes sobre com asseguradores i grans clients s'han convertit en els veritables reguladors de facto de la seguretat de la pime espanyola, les companyies d'assegurances de ciberrisc i els departaments de compres de les grans empreses ja estan incorporant als seus qüestionaris i pòlisses bona part dels requisits que NIS2 acabarà fent obligatoris per llei. Una pime que forma part de la cadena de subministrament d'un hospital, una elèctrica o una administració pública pot trobar-se ja avui amb exigències de seguretat calcades de la directiva, encara que tècnicament encara no estigui obligada per cap norma espanyola.
Aquesta anticipació té una conseqüència pràctica: esperar que es publiqui la llei per començar a actuar deixa l'empresa amb el pitjor dels escenaris possibles, el d'haver de complir d'un dia per l'altre un cop la norma entri en vigor, sense el marge d'adaptació amb què sí van comptar les empreses d'altres països que van transposar la directiva a temps.
De la norma a la infraestructura: què canvia en la pràctica
Traduït a decisions concretes, bona part dels requisits de NIS2 —gestió de riscos, seguretat perimetral, control de la cadena de subministrament— passen per revisar l'equipament de xarxa amb què treballa l'empresa, començant pel punt d'entrada i sortida de tot el trànsit: el firewall. Distribuïdors especialitzats en infraestructura de xarxa per a empresa, com Cybersstock, assenyalen que bona part de les pimes que ara es plantegen la seva adaptació segueixen operant amb equips dimensionats per a una xarxa molt més petita o antiga que l'actual, sense funcions d'inspecció de trànsit xifrat, VPN de lloc a lloc o segmentació per departaments que avui es consideren mínimes per complir amb el control d'accés que exigeix la norma.
En aquest sentit, els firewalls Fortinet FortiGate il·lustren el tipus de salt de generació —d'un equip domèstic o de gamma baixa a un amb gestió centralitzada multisede i control d'accés per segments— que les auditories de proveïdors i asseguradores comencen a exigir de facto.
Què pot fer una pime ja, sense esperar la llei
Els advocats i consultores que segueixen de prop la tramitació coincideixen en un mateix consell: no esperar al BOE. En la pràctica, això es tradueix en quatre passos que una pime pot començar a fer des d'ara, estigui o no formalment dins de l'àmbit de la futura llei: identificar quins actius i proveïdors són crítics per a la seva activitat; documentar un procediment mínim de resposta i notificació d'incidents, encara que encara no existeixi l'obligació legal dels terminis de 72 hores; revisar els contractes i qüestionaris de seguretat que ja envien clients grans i asseguradores, que solen anticipar el que la llei acabarà exigint; i auditar el perímetre de xarxa davant del que avui ofereix el mercat, comparant l'equip actual amb el catàleg de firewalls per a empreses disponible per a negocis de mida similar, abans que una auditoria externa ho faci per ells i en pitjors condicions.
Amb Espanya camí del Tribunal de Justícia de la UE, sense data certa per al BOE i amb la Comissió Europea pressionant cada cop amb menys paciència, el missatge per a la pime espanyola no és tant "espereu la llei" com "comenceu ja": els requisits que la llei acabarà imposant ja estan arribant per una altra via, i quan Brussel·les i Luxemburg acabin de forçar la mà al Govern, previsiblement no hi haurà temps de reacció.
--
Contingut patrocinat