Estado de implementación de NIS2

    Siga el progreso de la transposición de la Directiva NIS2 en todos los Estados miembros de la EU, incluidas las autoridades competentes y los calendarios de aplicación.

    A fecha de octubre de 2026

    Novedades recientes de la transposición

    • Octubre de 2026 — Austria: la NISG 2026 entró en vigor el 1 de octubre; registro de entidades antes del 1 de enero de 2027. Italia: cumplimiento pleno de las medidas de seguridad exigible desde el 1 de octubre. Polonia: el plazo de registro se cerró el 3 de octubre.
    • 15 de agosto de 2026 — Países Bajos: entrada en vigor de la Cyberbeveiligingswet (Cbw).
    • Julio de 2026 — La Comisión Europea lleva a Francia, Irlanda y España ante el TJUE por no transponer NIS2. El Senado neerlandés aprueba la Cbw el 7 de julio.
    • 6 de mayo de 2026 — Luxemburgo: aprobada la ley de transposición de NIS2 (antiguo Proyecto 8364).

    Instantánea del estado de implementación de NIS2

    Totalmente notificado (16)
    Adoptado (8)
    Borrador (3)

    Última verificación: 09/10/2026 · Revisión mensual

    Estado miembroEstadoAutoridad competenteNotasFuente
    Austria
    Adoptado
    		Federal Ministry of the Interior (BMI) / Bundesamt für Cybersicherheit (operational 1 October 2026)NISG 2026 promulgada el 23 de diciembre de 2025 y en vigor desde el 1 de octubre de 2026; registro de entidades antes del 1 de enero de 2027; la Comisión revisa la integridad de la notificación.Fuente oficial
    Verificado 09/10/2026
    Bélgica
    Totalmente notificado
    		Centre for Cybersecurity Belgium (CCB) — CyFun® / Safeonweb@WorkLey NIS2 en vigor desde el 18 de octubre de 2024; el registro a través de Safeonweb@Work se cerró el 18 de marzo de 2025; plazo de autoevaluación CyFun® o SoA de ISO 27001 el 18 de abril de 2026 (ya vencido); certificación completa antes del 18 de abril de 2027.Fuente oficial
    Verificado 09/10/2026
    Bulgaria
    Adoptado
    		Multiple national competent authorities (Ministry of Defence, Ministry of Interior, State Agency for National Security) — Minister of e-Government maintains national registerModificaciones de la Ley de Ciberseguridad en vigor desde el 17 de febrero de 2026; sanciones reducidas para infracciones cometidas antes del 1 de junio de 2026; metodología de designación del Consejo de Ministros prevista para ~17 de agosto de 2026 — modelo de designación administrativa.Fuente oficial
    Verificado 09/10/2026
    Croacia
    Totalmente notificado
    		Security and Intelligence Agency (SOA) — National Cybersecurity Center (NCSC-HR); CERT.hr (CARNET) for incident reporting via PiXi; autonomous sector supervisors (HNB, HANFA, HACZ)Ley de Ciberseguridad (NN 14/2024) en vigor desde el 15 de febrero de 2024 — una de las transposiciones más tempranas de la UE; Reglamento de Ciberseguridad (NN 135/2024) en vigor desde el 30 de noviembre de 2024; modelo de notificación liderado por la autoridad con un plazo de cumplimiento de 12 meses; las desviaciones nacionales incluyen el sector de la Educación, autoevaluación bienal para entidades importantes y controles técnicos más estrictos.Fuente oficial
    Verificado 09/10/2026
    Chipre
    Adoptado
    		Digital Security Authority (DSA) — primary; Commissioner of Communications also designated as supervisory authorityLey de modificación de la Seguridad de las Redes y Sistemas de Información 60(I)/2025 promulgada el 10 de abril de 2025, en vigor desde el 25 de abril de 2025; las desviaciones nacionales incluyen un plazo de alerta temprana de 6 horas (más estricto que las 24 h de la Directiva) y un modelo de identificación de entidades dirigido por la DSA (sin autorregistro); la integridad de la notificación a la Comisión está en revisión.Fuente oficial
    Verificado 09/10/2026
    República Checa
    Adoptado
    		National Cyber and Information Security Agency (NUKIB)Ley sobre Ciberseguridad n.º 264/2025 Rec. en vigor desde el 1 de noviembre de 2025; autoidentificación a través del portal NÚKIB (plazo de registro 31 de diciembre de 2025 para las entidades en el ámbito); plazo de cumplimiento de 12 meses para medidas de seguridad y notificación desde la decisión de registro; las entidades esenciales deben notificar todos los incidentes de origen cibernético (más estricto que la Directiva); NÚKIB está facultada para restringir o prohibir proveedores inseguros de la cadena de suministro a entidades de importancia estratégica.Fuente oficial
    Verificado 09/10/2026
    Dinamarca
    Adoptado
    		Ministry for Societal Resilience and Contingency (MSSB) — coordinator; sector regulators (Danish Energy Agency, Finanstilsynet, telecom regulators) — primary supervisors; CFCS — National CSIRTLey NIS2 (L 141) en vigor desde el 1 de julio de 2025 sin período transitorio de gracia; autorregistro a través de Virk.dk (plazo 1 de octubre de 2025 — vencido); enfoque de transposición mínima (sin gold-plating); desviaciones nacionales: no se aplican multas administrativas directas (las sanciones se tramitan por la fiscalía mediante proceso penal) y la responsabilidad personal de la dirección no se ha transpuesto (regulada por el deber de diligencia de la Ley de Sociedades danesa); la integridad de la notificación a la Comisión está en revisión.Fuente oficial
    Verificado 09/10/2026
    Estonia
    Totalmente notificado
    		Estonian Information System Authority (RIA)Ley de Ciberseguridad modificada en vigor desde el 1 de enero de 2026; ~3.500 → ~6.500 entidades en el ámbito; instituciones de investigación añadidas como sector nacional adicional; gestión de riesgos alineada con los controles de referencia E-ITS; cumplimiento por fases — plazo de autorregistro mediante RIA hacia el 1 de abril de 2026 (ya vencido), controles de gobernanza para el 1 de enero de 2027, cumplimiento técnico completo y primeras auditorías para el 1 de enero de 2028.Fuente oficial
    Verificado 09/10/2026
    Finlandia
    Totalmente notificado
    		Traficom (NCSC-FI) — coordinator; sector authorities superviseLey de Ciberseguridad (124/2025) en vigor desde el 8 de abril de 2025; fecha límite de registro 8 de mayo de 2025 y sistema de gestión de riesgos 8 de julio de 2025 ambas vencidas; supervisión descentralizada en siete autoridades sectoriales coordinadas por el NCSC-FI de Traficom; multas administrativas impuestas por una junta de sanciones establecida por separado a propuesta de la autoridad supervisora; las entidades del sector público no pueden ser multadas; sector financiero excluido (cubierto por DORA).Fuente oficial
    Verificado 09/10/2026
    Francia
    Borrador
    		ANSSI (French National Agency for Information Systems Security)La Loi Résilience (que consolida NIS2, CER y DORA) fue aprobada por el Senado el 12 de marzo de 2025 y por la comisión especial de la Asamblea Nacional el 10 de septiembre de 2025; la aprobación definitiva y la promulgación siguen pendientes. Tras el dictamen motivado del 7 de mayo de 2025, la Comisión llevó a Francia ante el TJUE en julio de 2026. El portal de prerregistro MonEspaceNIS2 de la ANSSI está activo; ~15.000–18.000 entidades en 18 sectores.Fuente oficial
    Verificado 09/10/2026
    Alemania
    Totalmente notificado
    		Bundesamt für Sicherheit in der Informationstechnik (BSI)NIS2UmsuCG en vigor desde el 6 de diciembre de 2025 sin período transitorio; ~4.500 → ~29.000–30.000 entidades en el alcance; el plazo de registro en el BSI del 6 de marzo de 2026 ha vencido; registro en dos pasos vía portal del BSI / Mein Unternehmenskonto (MUK); formación obligatoria en ciberseguridad de la dirección cada tres años; exención para "actividades insignificantes" en virtud del § 28(3) BSIG.Fuente oficial
    Verificado 09/10/2026
    Grecia
    Totalmente notificado
    		National Cybersecurity Authority (NCSA)Ley 5160/2024 en vigor desde el 28 de noviembre de 2024; complementada por MD 1645/2025 (registro) y MD 1689/2025 (marco de seguridad de 22 temas); los plazos de registro (28 de marzo de 2025 para infraestructura digital; 30 de septiembre de 2025 general) han vencido; nombramiento obligatorio del ICSSO (incompatible con el DPO); las auditorías de la NCSA comenzaron en el cuarto trimestre de 2025.Fuente oficial
    Verificado 09/10/2026
    Hungría
    Adoptado
    		SZTFH (primary) / NKI/NCSC (CSIRT)Ley LXIX de 2024 en vigor desde el 1 de enero de 2025; SZTFH es el regulador principal (registro, registro de auditores, tasas de supervisión); NKI/NCSC es el CSIRT nacional; banca, infraestructura del mercado financiero y administración pública excluidas del ámbito; plazos de registro y contrato de auditor vencidos; plazo de la primera auditoría de ciberseguridad 30 de junio de 2026 (vencido); dictamen motivado de la CE 7 de mayo de 2025 — evaluación de la Comisión en curso.Fuente oficial
    Verificado 09/10/2026
    Irlanda
    Borrador
    		National Cyber Security Centre (NCSC-IE)El National Cyber Security Bill 2024 sigue en tramitación parlamentaria y aún no se ha promulgado; la Comisión llevó a Irlanda ante el TJUE en julio de 2026 por no transponer NIS2. NIS1 (S.I. 360 of 2018) sigue aplicándose; supervisión federada propuesta (NCSC como líder + CRU, ComReg, Central Bank of Ireland).Fuente oficial
    Verificado 09/10/2026
    Italia
    Totalmente notificado
    		Italian National Cybersecurity Authority (ACN) + sector regulatorsDecreto Legislativo n.º 138/2024 en vigor desde el 16 de octubre de 2024; la ACN es el regulador principal y gestiona un portal central de registro y notificación. Ámbito ampliado mediante los anexos nacionales III y IV. Plazos de registro vencidos en 2025; notificación de incidentes obligatoria desde el 1 de enero de 2026; cumplimiento pleno de las medidas de seguridad exigible desde el 1 de octubre de 2026. Totalmente notificada a la Comisión.Fuente oficial
    Verificado 09/10/2026
    Letonia
    Totalmente notificado
    		National Cybersecurity Centre (NCSC)La Ley Nacional de Ciberseguridad de Letonia está en vigor desde el 1 de septiembre de 2024 (sustituye la anterior Ley de Seguridad de TI); el Reglamento n.º 397 (requisitos mínimos de ciberseguridad) está en vigor desde el 2 de julio de 2025; el dictamen motivado de la CE de mayo de 2025 está resuelto. El Centro Nacional de Ciberseguridad (NCSC) — Ministerio de Defensa con CERT.LV — es el supervisor principal; la Oficina de Protección de la Constitución supervisa la infraestructura TIC crítica. Las entidades deben nombrar un responsable de ciberseguridad, clasificar los sistemas en tres niveles (A/B/C) y realizar revisiones anuales de seguridad TIC. Todos los plazos iniciales (registro, nombramiento del responsable, primera autoevaluación) han vencido; transposición plenamente notificada.Fuente oficial
    Verificado 09/10/2026
    Lituania
    Totalmente notificado
    		National Cyber Security Centre (NCSC)La Ley de Ciberseguridad modificada de Lituania entró en vigor el 18 oct. 2024; la Resolución Gubernamental sobre la Aplicación siguió el 12 nov. 2024. El NCSC notificó el registro inicial de 1.443 entidades alrededor del 17 abr. 2025; el cumplimiento es escalonado (medidas organizativas ~17 abr. 2026 — vencido; medidas técnicas ~17 abr. 2027). Lituania amplía el ámbito más allá de la Directiva (administración pública local, entidades críticas de I+D, proveedores de alojamiento de información electrónica), exige la designación de un responsable de ciberseguridad y requiere que las entidades esenciales se sometan a una evaluación de conformidad independiente trienal. Plenamente notificada a la Comisión Europea.Fuente oficial
    Verificado 09/10/2026
    Luxemburgo
    Adoptado
    		ILR (most sectors) / CSSF (financial); HCPN coordinationNIS2 transpuesta por la Ley de 6 de mayo de 2026 (antiguo Proyecto 8364), que sustituye a la ley NIS1; la Comisión revisa la integridad de la notificación. Supervisión compartida — ILR para la mayoría de sectores, CSSF para entidades financieras, HCPN para coordinación; ámbito ampliado (~6.000–8.000 entidades); notificación de incidentes y registro a través de la plataforma SERIMA del ILR.Fuente oficial
    Verificado 09/10/2026
    Malta
    Totalmente notificado
    		CIPD (primary) / MCA (digital + postal); CSIRT Malta (incidents)NIS2 transpuesta mediante el Legal Notice 71 of 2025 (S.L. 460.41), publicado el 8 de abril de 2025 y plenamente en vigor desde el 23 de enero de 2026 en virtud del L.N. 22 of 2026; sustituye al NIS1 (L.N. 216/2018). El CIPD es supervisor principal; la MCA es competente para infraestructura digital y servicios postales/de mensajería; CSIRT Malta (dentro del CIPD) gestiona la respuesta a incidentes; el CIPAB asesora sobre sanciones. Las entidades deben autorregistrarse ante el CIPD y designar un CSIRT interno/autónomo; las primeras auditorías formales se esperan para el segundo semestre de 2027.Fuente oficial
    Verificado 09/10/2026
    Países Bajos
    Adoptado
    		Sector-specific competent authorities under the Cbw; NCSC (CSIRT)La Cyberbeveiligingswet (Cbw) fue aprobada por el Senado (Eerste Kamer) el 7 de julio de 2026 y entró en vigor el 15 de agosto de 2026, sustituyendo a la Wbni; la Comisión revisa la integridad de la notificación. Modelo multirregulador con autoridades sectoriales (p. ej., RDI para infraestructura digital, ILT para transporte); el NCSC es el CSIRT nacional y coordinador. Doble notificación de incidentes (NCSC + autoridad sectorial); formación obligatoria de la dirección; registro en mijn.ncsc.nl ahora obligatorio.Fuente oficial
    Verificado 09/10/2026
    Polonia
    Totalmente notificado
    		Ministry of Digital Affairs (lead) / sectoral ministries (supervision); CSIRT GOV, NASK, MON (incidents)Reforma de la UKSC (Ley del Sistema Nacional de Ciberseguridad) en vigor desde el 3 de abril de 2026; procedimiento de infracción cerrado con la transposición. El Ministerio de Asuntos Digitales lidera y mantiene el registro; los ministerios sectoriales supervisan; CSIRT GOV/NASK/MON gestionan incidentes. SGSI obligatorio (ISO 27001 + ISO 22301), formación indelegable del consejo y responsabilidad personal; multas de hasta 100 M PLN. Plazo de registro cerrado el 3 de octubre de 2026; próximos hitos: SGSI completo antes del 3 de abril de 2027 y primera auditoría antes del 3 de abril de 2028.Fuente oficial
    Verificado 09/10/2026
    Portugal
    Totalmente notificado
    		CNCS (lead) / sectoral + special supervisory authorities; Crisis Office (coordination)Portugal completó la transposición de NIS2 mediante el Decreto-Ley n.º 125/2025 (Regime Jurídico da Cibersegurança); publicado el 4 de diciembre de 2025; en vigor desde el 3 de abril de 2026 (120 días después de la publicación); sustituye íntegramente la Ley 46/2018 y el Decreto-Ley 65/2021; incumplió el plazo del 17 de octubre de 2024; el dictamen motivado de la CE de 7 de mayo de 2025 quedó resuelto con la publicación. Modelo de supervisión multinivel — CNCS como autoridad líder + autoridades sectoriales y de supervisión especiales + nueva Oficina de Crisis. Responsable de ciberseguridad obligatorio (miembro del órgano de dirección o dependiente directo) y punto de contacto permanente 24/7 con el CNCS, ambos con vencimiento el 4 de mayo de 2026 (20 días hábiles desde la entrada en vigor — vencido). Clasificación de organismos públicos en Grupo A / Grupo B. Cumplimiento por fases — registro en la plataforma del CNCS 60 días después del lanzamiento (fecha por confirmar); obligaciones principales (gestión de riesgos, cadena de suministro, notificación anual) 24 meses después de la publicación de los reglamentos de desarrollo del CNCS.Fuente oficial
    Verificado 09/10/2026
    Rumanía
    Totalmente notificado
    		National Cybersecurity Directorate (DNSC)Rumanía completó la transposición de NIS2 mediante GEO 155/2024 (adoptada el 30 dic 2024; en vigor desde el 31 dic 2024); refinada por la Ley 124/2025 (en vigor desde el 10 jul 2025) que amplía el sector sanitario a la cadena de suministro farmacéutica y farmacias minoristas (NACE 4773); operativizada mediante Órdenes DNSC 1/2025 (registro) y 2/2025 (evaluación de riesgos), ambas en vigor desde el 20 ago 2025; disposiciones sancionadoras desde el 30 ene 2025; autoridad principal DNSC; facultad de duplicar la multa máxima en casos agravados (incl. topes de 10 M€ / 2 %); designación obligatoria de persona responsable de ciberseguridad (independiente del jefe operativo de TI) y formación obligatoria en ciberseguridad para la dirección; registro de entidades vía la plataforma NIS2@RO — plazo inicial ~19 sep 2025 (vencido); solo los registros posteriores al 20 ago 2025 son legalmente válidos; cadena de cumplimiento de cuatro pasos — registro → autoevaluación de nivel de riesgo → autoevaluación de madurez (en 60 días) → plan de remediación (en 30 días); excluidas las entidades de defensa nacional, orden público, seguridad nacional, MAE y aplicación de la ley.Fuente oficial
    Verificado 09/10/2026
    Eslovaquia
    Totalmente notificado
    		NBÚ (lead) / sector ministries (supervision); SK-CERT (incidents)Eslovaquia completó la transposición de NIS2 mediante la <strong>Ley Nº 366/2024 Coll.</strong>, que modifica la Ley de Ciberseguridad Nº 69/2018 Coll.; aprobada por el Consejo Nacional el 28 nov 2024; publicada en la Recopilación de Leyes el 19 dic 2024; en vigor desde el 1 ene 2025; Eslovaquia es el 4º Estado miembro de la UE en completar la transposición; se prevé que entre 3.500 y 14.000 entidades estén dentro del ámbito; autoridad principal NBÚ (Národný bezpečnostný úrad); SK-CERT (National Cyber Security Centre, dentro del NBÚ) gestiona la respuesta a incidentes; ministerios sectoriales (p. ej., Salud, Transporte) tienen funciones complementarias; marco alineado con la familia de normas ISO 27000; Reglamento de Medidas de Seguridad de apoyo desarrollado durante 2025; los terceros de la cadena de suministro están explícitamente regulados como entidades directas (más allá del mínimo de la Directiva); registro a través de la plataforma JISKB — plazo inicial ~1 mar 2025 (vencido); nuevas entidades 60 días desde su entrada en el ámbito; cumplimiento total de todas las obligaciones requerido para el 31 dic 2026; SK-CERT puede solicitar un informe intermedio entre la notificación a las 72 horas y el informe final.Fuente oficial
    Verificado 09/10/2026
    Eslovenia
    Totalmente notificado
    		URSIV (lead/NCC-SI/SPOC); SI-CERT (private) / SIGOV-CERT (gov) (incidents)Eslovenia completó la transposición de NIS2 mediante la Ley de Seguridad de la Información (ZInfV-1) (Zakon o informacijski varnosti); adoptada por la Asamblea Nacional el 23 de mayo de 2025; publicada en el Boletín Oficial n.º 40/25 el 4 de junio de 2025; en vigor desde el 19 de junio de 2025; nueva ley integral que sustituye a la anterior ZInfV (2018); adoptada por procedimiento de urgencia tras el dictamen motivado de la CE de 7 de mayo de 2025; autoridad principal URSIV (Oficina Gubernamental para la Seguridad de la Información), también actuando como NCC-SI y punto de contacto único nacional; SI-CERT (operado por ARNES) como CSIRT nacional para el sector privado; SIGOV-CERT para instituciones gubernamentales; ámbito ampliado más allá del mínimo de la Directiva para incluir instituciones de investigación y enseñanza superior; marco de requisitos de ciberseguridad anexo a la ley; ISO/IEC 27001 como norma aplicable; ISMS + BCMS obligatorios; plazo de registro ante URSIV 19 de diciembre de 2025 (vencido); nuevas entidades 30 días desde su inclusión; plazos escalonados de gestión de riesgos — 19 de junio de 2026 (prestadores de servicios esenciales bajo la anterior ZInfV) / 19 de diciembre de 2026 (resto de entidades esenciales/importantes); evaluación de conformidad por un CAB acreditado al menos cada 2 años para entidades esenciales.Fuente oficial
    Verificado 09/10/2026
    España
    Borrador
    		CNC (proposed lead/SPOC); CCN-CERT (public) / INCIBE-CERT (private) / ESPDEF-CERT (defence) (CSIRTs)El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025, sigue en las Cortes Generales; la Comisión llevó a España ante el TJUE en julio de 2026. NIS1 (RD-ley 12/2018) sigue aplicándose. El proyecto crea el Centro Nacional de Ciberseguridad (CNC) como autoridad principal; CSIRT CCN-CERT (público), INCIBE-CERT (privado), ESPDEF-CERT (defensa); ámbito más allá del mínimo de la Directiva; multas escalonadas de 10.000 € a 2 M€, con topes NIS2 para los casos más graves.Fuente oficial
    Verificado 09/10/2026
    Suecia
    Totalmente notificado
    		MSB/MCF (lead/coordinator/SPOC/CSIRT); PTS (digital sectors); sector authoritiesSuecia ha completado la transposición de la NIS2 mediante la Cybersäkerhetslagen (Ley de Ciberseguridad, SFS 2025:1506), aprobada por el Riksdag el 10 de diciembre de 2025 y en vigor desde el 15 de enero de 2026 — una nueva ley integral que sustituye a la Ley de Seguridad de la Información 2018:1174; en paralelo se dictó la Cybersäkerhetsförordningen. Suecia incumplió el plazo del 17 de octubre de 2024 y recibió un dictamen motivado de la CE el 7 de mayo de 2025 (resuelto tras la adopción). MSB (Myndigheten för samhällsskydd och beredskap) fue renombrada MCF (Myndigheten för civilt försvar — Agencia Sueca de Defensa Civil y Resiliencia) el 1 de enero de 2026; MSB/MCF actúa como coordinador nacional, punto de contacto único de la UE y CSIRT nacional. Suecia opera un modelo de supervisión descentralizado — las autoridades sectoriales supervisan sus respectivos sectores, mientras que PTS (Post- och telestyrelsen — Agencia Sueca de Correos y Telecomunicaciones) corregula la infraestructura digital, los proveedores digitales, la gestión de servicios TIC (B2B), el espacio y los servicios postales y de mensajería. Enfoque de entidad completa — toda la huella informática de las entidades en ámbito debe cumplir. La formación obligatoria de la dirección es sancionable. Los proveedores de servicios de confianza deben presentar tanto la alerta temprana como la notificación de incidente en un plazo de 24 horas (excepción al plazo de 72h). Prohibición temporal de ejercer funciones directivas posible para miembros de órganos de dirección de entidades esenciales. Plazo de registro 16 de febrero de 2026 (vencido); portal de notificación MSB/MCF activo desde el 2 de febrero de 2026; todas las obligaciones se aplican de inmediato desde el 15 de enero de 2026 sin periodo de gracia general.Fuente oficial
    Verificado 09/10/2026

    Muchos de estos Estados miembros han adoptado leyes primarias, pero aún necesitan una legislación secundaria completa y la notificación de la Comisión antes de que la aplicación se considere completa.

    Leyenda de estado

    • Totalmente notificado = transposición nacional adoptada y sin opinión motivada abierta de la Comisión sobre notificación incompleta.
    • Adoptado = ley de transposición nacional adoptada (o publicada) pero la Comisión ha solicitado más información / exhaustividad de la notificación (o la notificación aún está por confirmar). Si la ley ya está en vigor pero la notificación está pendiente de revisión, se indica.
    • Borrador = proceso legislativo en curso / no hay ley nacional final publicada.
    Ver guías por país y sector

    Notas clave de implementación

    Fecha límite y acción de la Comisión

    Todos los Estados miembros debían transponer la NIS2 antes del 17 de octubre de 2024; la mayoría incumplió este plazo. El 7 de mayo de 2025, la Comisión Europea emitió dictámenes motivados a 19 Estados miembros por no notificar la transposición completa. En julio de 2026, la Comisión llevó a Francia, Irlanda y España ante el Tribunal de Justicia de la UE (TJUE) por no transponer NIS2 y puede solicitar sanciones económicas.

    "Adoptado" vs. "Totalmente Notificado"

    Algunos Estados miembros han promulgado leyes nacionales, pero aún no han notificado completamente todas las medidas de implementación a la Comisión. Otros Estados miembros todavía están en fase de borrador o revisión legislativa/parlamentaria.

    Aplicación y preparación regulatoria

    Siempre que la legislación nacional esté en vigor, el registro de entidades, la elaboración de informes de incidentes, las competencias de supervisión y las sanciones (hasta 10 millones de EUR o el 2 % de la facturación para las entidades esenciales) se están aplicando progresivamente mediante reglamentos secundarios.

    Aplicación pendiente

    En los Estados miembros con estado de Adoptado o Borrador, las obligaciones de registro y presentación de informes aún no son exigibles hasta que la legislación nacional esté en vigor y las autoridades hayan publicado los instrumentos jurídicos y los portales. Esto no impide que las empresa diligentes inicien ahora sus trayectorias de cumplimiento de la NIS2.

    Aclaraciones de la autoridad competente

    En toda la UE, los Estados miembros designan una o varias autoridades competentes responsables de la aplicación y el cumplimiento de la NIS2.

    Supervisión del cumplimiento

    Supervisión del cumplimiento de las obligaciones de la NIS2 por parte de las entidades esenciales e importantes

    Recepción de informes de incidentes

    Procesamiento y coordinación de las respuestas a las notificaciones de incidentes de ciberseguridad

    Mantenimiento de listas de entidades

    Mantenimiento de registros de entidades esenciales e importantes dentro de su jurisdicción

    Aplicación de requisitos

    Implementación de requisitos de gestión de riesgos y gobernanza mediante acciones reguladoras

    Tipos de autoridad típicos

    • Autoridades/Agencias Nacionales de Ciberseguridad o reguladores de ciberseguridad dedicados (por ejemplo, CCB, ACN, NUKIB, ANSSI)
    • Reguladores sectoriales para finanzas, telecomunicaciones, energía, donde se delegan responsabilidades
    • Los CSIRT cumplen funciones de coordinación e informes en virtud de la legislación nacional