Con España ya ante el Tribunal de Justicia de la UE por el retraso en la transposición de la directiva, la pregunta ya no es cuándo llegará la ley, sino si las organizaciones pueden demostrar que su red está bajo control
Por Antonio Pérez, Sales Director de Kirey España
El pasado 8 de julio, la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa de la Directiva NIS2. España no está sola: Irlanda, Francia y Países Bajos se encuentran en la misma situación. Pero el mensaje de Bruselas es claro y llega acompañado de una petición de sanciones económicas: una cantidad a tanto alzado más multas diarias hasta que la directiva quede plenamente incorporada al ordenamiento nacional.
El plazo venció el 17 de octubre de 2024, hace ya dos años. En enero de 2025, el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crearía un Centro Nacional de Ciberseguridad como autoridad nacional única. Sin embargo, a día de hoy, la ley sigue sin estar en vigor ni publicada en el BOE.
Para muchas empresas, la tentación es evidente: si la ley no se ha publicado en el BOE, todavía hay tiempo. Es justo al revés. Mientras el calendario legislativo se alarga, las amenazas no esperan. Según el último balance anual del INCIBE (Instituto Nacional de Ciberseguridad), en 2025 se gestionaron en España 122.223 incidentes de ciberseguridad, un 26 % más que el año anterior, y se detectaron y notificaron 237.028 sistemas vulnerables expuestos a posibles ataques. Las entidades esenciales e importantes, precisamente aquellas en las que se centra NIS2, sumaron 401 incidentes, con la banca, el transporte y la energía como sectores más afectados.
Además, aunque las obligaciones de NIS2 no sean directamente exigibles sin una ley nacional, la directiva ya está llegando al mercado por otras vías: requisitos contractuales de clientes que operan en países donde NIS2 ya se ha transpuesto, el reglamento DORA en el sector financiero o el Esquema Nacional de Seguridad (ENS) para las empresas que trabajan con la Administración pública. En la práctica, los clientes y los auditores suelen pedir evidencias de cumplimiento antes que el regulador.
El punto ciego: miles de reglas que nadie revisa
Cuando se habla de NIS2, la conversación suele centrarse en la notificación de incidentes o en la responsabilidad de los órganos de dirección, que pasan a tener que aprobar y supervisar las medidas de gestión de riesgos. Pero hay una pregunta más básica que muchas organizaciones no pueden responder con seguridad: ¿qué tráfico está permitido hoy en nuestra red, y por qué?
En la mayoría de las medianas y grandes empresas, la respuesta está en un entorno híbrido y multifabricante: firewalls de distintos fabricantes en el centro de datos, grupos de seguridad en una o varias nubes, SASE, SD-WAN, microsegmentación… Y miles de reglas acumuladas durante años. Reglas cuyo origen nadie recuerda, permisos temporales que se han vuelto permanentes y cambios manuales hechos con prisas desde varias consolas a la vez.
Cada uno de esos cambios abre la puerta a un error o a una exposición no deseada, y las configuraciones incorrectas siguen estando entre las causas de riesgo más habituales. Y cuando llega una auditoría, las organizaciones tienen que poder demostrar qué hay implantado, por qué y cómo se está gestionando.
Del cumplimiento puntual al control continuo
Por eso, prepararse para NIS2 en el ámbito de la red no debería ser una revisión anual, sino un cambio de enfoque basado en tres pilares:
Saber qué está accesible, y por qué
El primer paso es tener una visibilidad unificada: un inventario real de reglas, objetos y conectividad en todo el entorno, tanto on-premise como en la nube. Solo así es posible depurar reglas obsoletas, redundantes o demasiado permisivas y reducir la superficie de ataque con criterios claros.
Ir rápido sin perder el control
El negocio exige agilidad, y la red no puede convertirse en un cuello de botella. Automatizar los cambios, con un análisis de riesgo previo y un flujo de aprobación trazable, permite responder en horas en lugar de semanas sin abrir nuevas brechas por el camino.
Demostrarlo, no solo cumplir
NIS2 pone el foco en la rendición de cuentas. Generar evidencias de forma continua (quién aprobó cada cambio, cuándo y por qué) convierte las auditorías en un paso más del día a día, y no en un proyecto que se come semanas cada año.
Tecnología y experiencia para poner orden en la red
Con este objetivo, Kirey España trabaja con tecnologías de automatización de políticas de seguridad de red que centralizan en una sola plataforma la gestión de políticas en firewalls on-premise, entornos cloud, SASE, SD-WAN y microsegmentación, y permiten a las organizaciones visualizar, automatizar y mantener el cumplimiento de forma continua en toda su red híbrida.
A la tecnología, Kirey suma su experiencia en consultoría, auditoría de riesgos y cumplimiento, diseño e implantación de arquitecturas de seguridad y servicios gestionados, incluido el aseguramiento continuo de firewalls. El objetivo es que la tecnología no se quede en una licencia y se traduzca en un control real y sostenible en el tiempo, ayudando a las organizaciones a prepararse para marcos como NIS2, ENS, DORA o ISO 27001.
Porque NIS2 no va de tener más herramientas de seguridad, sino de poder demostrar que lo que ya tienes está bajo control. Cuando los requisitos normativos sean exigibles, el margen para ponerse al día será mucho más corto de lo que parece, y las organizaciones que ya sepan responder qué está abierto en su red, y por qué, irán un paso por delante.
De todo esto, y de mucho más, hablará Kirey en Tech Show Madrid, que se celebra los días 4 y 5 de noviembre en IFEMA Madrid.
