España se queda atrás: el retraso en la ley de ciberseguridad pone en riesgo a las empresas
La Unión Europea endurece las reglas para protegerse de los ataques digitales, pero España se muestra reacia a cumplir con los plazos. El retraso en la aplicación de la directiva NIS2 deja a las empresas vulnerables ante una ola de ciberataques en aumento.
Más de 122.000 incidentes de ciberseguridad golpearon a españa en 2025
La directiva NIS2, diseñada para reforzar la seguridad de redes y sistemas de información, busca elevar el nivel de protección digital en toda la UE. La normativa amplía el alcance a sectores como energía, banca y sanidad, exigiendo a las organizaciones una gestión de riesgos más estricta y una notificación más rápida de los incidentes. Pero mientras Bruselas exige resultados, España se arrastra.
El Instituto Nacional de Ciberseguridad (INCIBE) registró más de 122.000 incidentes de ciberseguridad en 2025, un 26% más que en 2024. Los sectores más afectados fueron la banca, el transporte y la energía, con el phishing, el malware y los ataques de ransomware como las amenazas más frecuentes. ¿Y España? El Gobierno aprobó un anteproyecto de ley de coordinación de ciberseguridad en enero, pero aún no ha sido aprobado. La fecha límite de la Comisión Europea era el 17 de octubre de 2024.
La falta de transposición genera incertidumbre jurídica para las empresas, que no saben con claridad cuáles serán sus obligaciones. Además, Bruselas podría iniciar procedimientos de infracción contra los países que no cumplan con la normativa. El retraso no es formalidad; es una exposición deliberada al riesgo. La directiva exige que los órganos de gestión supervisen activamente las medidas de ciberseguridad y puedan ser sancionados si no cumplen las obligaciones establecidas. Las sanciones pueden llegar hasta 10 millones de euros o el 2% de la facturación global para las empresas calificadas como "importantes".
La ciberseguridad ya no es un problema aislado, es un riesgo sistémico. Las empresas están gastando fortunas en protegerse, pero la falta de una regulación clara en España las deja a la deriva. El tiempo apremia. Mientras tanto, los ciberdelincuentes no descansan.