NIS2 es la directiva europea de ciberseguridad que España debía transponer antes del 17 de octubre de 2024. Esa fecha pasó, la ley española sigue en tramitación y la Comisión Europea ya ha reclamado dos veces. Pero cuidado: que la ley nacional se retrase no significa que puedas esperar. Los requisitos ya están fijados en la propia directiva. Esta guía explica en qué punto está la transposición española, a quién afectará, qué exigirá, y qué significa todo esto, desde hoy, para el logging y la monitorización de tu organización.
De la directiva NIS2 a la ley española: en qué punto estamos
NIS2 (Directiva (UE) 2022/2555) es la sucesora de la primera directiva NIS y debía estar transpuesta al derecho nacional antes del 17 de octubre de 2024. España no llegó a esa fecha. La transposición avanza a través del Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025, pero a mediados de 2026 el texto sigue en tramitación parlamentaria y todavía no se ha publicado en el BOE.
Bruselas no lo ha dejado pasar: la Comisión Europea envió en mayo de 2025 un dictamen motivado y el 19 de mayo de 2026 un segundo requerimiento formal, exigiendo a España transponer la directiva “con urgencia”. La conclusión práctica es doble: la ley definitiva puede llegar en cualquier momento, y cuando llegue, es poco probable que incluya periodos de gracia generosos.
Por eso, esperar a la publicación en el BOE es una mala estrategia. El contenido esencial de las obligaciones no lo decide la ley española: ya está escrito en la directiva, y el anteproyecto lo sigue de cerca. Quien empiece hoy con el análisis de riesgos, la detección y el registro de eventos llega preparado; quien espere, tendrá que correr.
¿Me afecta NIS2?
Como la directiva, el anteproyecto distingue dos categorías de entidades, con supervisión y sanciones diferentes:
- Entidades esenciales: grandes organizaciones de sectores como energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable y aguas residuales, infraestructura digital, administración pública y espacio.
- Entidades importantes: organizaciones medianas y grandes de sectores como servicios postales y de mensajería, gestión de residuos, química, alimentación, fabricación (incluidos productos sanitarios y electrónica), proveedores digitales e investigación.
El umbral de tamaño de referencia está en torno a los 50 empleados o 10 millones de euros de facturación anual. Organizaciones más pequeñas también pueden quedar incluidas, por ejemplo como único proveedor de un servicio esencial. Si tu organización opera en uno de estos sectores y supera el umbral, lo prudente es asumir que la ley te alcanzará y actuar en consecuencia.
Las obligaciones: gestión de riesgos y responsabilidad de la dirección
El núcleo del anteproyecto, igual que el de la directiva, son medidas técnicas y organizativas proporcionadas para gestionar los riesgos de tus redes y sistemas de información. La directiva menciona expresamente, entre otras:
- análisis de riesgos y políticas de seguridad de la información;
- gestión de incidentes: detectar, analizar, contener y recuperar, y poder demostrarlo;
- continuidad de negocio, copias de seguridad y gestión de crisis;
- seguridad de la cadena de suministro;
- seguridad en el desarrollo, la adquisición y el mantenimiento de sistemas;
- procedimientos para medir la eficacia de las medidas;
- ciberhigiene y formación en seguridad;
- criptografía y, cuando proceda, cifrado;
- control de acceso, seguridad del personal y gestión de activos;
- autenticación multifactor y comunicaciones seguras.
Una de las grandes novedades es la responsabilidad al nivel de la dirección: los órganos de dirección deben aprobar las medidas, supervisar su aplicación y formarse en ciberseguridad. La seguridad deja de ser un asunto exclusivo del departamento de TI y pasa a ser una obligación de gobierno corporativo.
En el plano institucional, el anteproyecto crea un Centro Nacional de Ciberseguridad como órgano de coordinación y reparte las competencias entre los ministerios del Interior, de Defensa (a través del CCN) y de Transformación Digital. Ese reparto puede ajustarse durante la tramitación; las obligaciones materiales para las entidades, no.
La notificación de incidentes: 24 horas, 72 horas, un mes
Los incidentes significativos deberán notificarse de forma escalonada, siguiendo el esquema que fija la propia directiva:
- En 24 horas: una alerta temprana, con una primera valoración de si el incidente puede deberse a una acción ilícita o malintencionada y si puede tener efectos transfronterizos.
- En 72 horas: una notificación completa del incidente, con una evaluación inicial de gravedad e impacto y, cuando existan, indicadores de compromiso (IOC).
- En un mes: un informe final con la descripción detallada del incidente, la causa probable, las medidas adoptadas y el impacto transfronterizo.
Estos plazos son cortos. Quien empieza a recopilar logs después del incidente no llega: decir algo fundamentado en 24 horas sobre una posible acción malintencionada exige que los logs relevantes ya existan, sean consultables, y que la detección haya visto el incidente en primer lugar.
Supervisión y sanciones
El anteproyecto prevé un régimen sancionador alineado con la directiva, con multas de hasta 10 millones de euros para los incumplimientos más graves. A eso se suman las facultades de supervisión: las entidades esenciales estarán sujetas a supervisión proactiva (auditorías e inspecciones), las importantes a supervisión reactiva (tras indicios o incidentes).
Igual de relevante que la multa es la responsabilidad personal: la dirección responde de aprobar y supervisar las medidas. Un expediente sancionador que concluye que la organización ni registraba ni detectaba lo que ocurría en sus sistemas es difícil de defender ante cualquier autoridad.
Qué significa esto, en concreto, para el logging y la monitorización
El logging y la monitorización aparecen detrás de casi todas las obligaciones: sin los logs adecuados no puedes detectar un incidente, ni fundamentar una alerta de 24 horas, ni escribir un informe final. Y esta es exactamente la parte que no depende de la tramitación en las Cortes: puedes construirla hoy. En la práctica:
Centraliza tus logs
Los logs de servidores, equipos de red, proveedores de identidad, servicios cloud y aplicaciones deben estar en un único sistema consultable. Reconstruir un incidente saltando entre diez sistemas sueltos no es viable en 72 horas.
Consérvalos el tiempo suficiente, de forma demostrable
La directiva no fija un plazo de retención concreto; el criterio es que puedas investigar y notificar incidentes. En la práctica lo habitual es entre 6 y 18 meses, con una capa caliente consultable y un archivo más económico. Documenta tu decisión y su justificación: es precisamente lo que preguntará una autoridad de supervisión.
Monitoriza en tiempo real, no a posteriori
Los plazos de notificación presuponen que ves los incidentes mientras ocurren. Eso exige reglas de detección sobre tus logs (intentos de acceso fallidos, comportamiento anómalo, conexiones de red sospechosas) y un sistema de alertas que llegue a tiempo a una persona, sin ahogarla en falsos positivos.
Mantén una pista de auditoría
Quién hizo qué y cuándo, también dentro de tu propia plataforma de logs. Una pista de auditoría a prueba de manipulaciones respalda tanto tus notificaciones como tu rendición de cuentas ante la autoridad.
Seamos claros: ningún producto te hace conforme a NIS2 por sí solo. La conformidad exige análisis de riesgos, procesos y decisiones de dirección. Lo que LogPulse cubre es la parte de logging, detección y monitorización: gestión centralizada de logs con retención configurable, más de 50 detecciones integradas con mapeo a MITRE ATT&CK, alertas basadas en riesgo que entregan un puñado de incidentes reales en lugar de miles de avisos, e informes que vinculan tus detecciones y datos con los requisitos de NIS2. Todos los datos permanecen en la UE (GCP Ámsterdam), lo que simplifica los acuerdos de tratamiento y la rendición de cuentas.
Paso a paso: cómo empezar sin esperar al BOE
- Determina si te afectará: sector, tamaño y papel en la cadena de suministro. En caso de duda, asume que sí.
- Implica a la dirección: la responsabilidad será suya y debe aprobar el enfoque desde el principio.
- Haz un análisis de riesgos e identifica qué sistemas y proveedores son críticos para tu servicio.
- Centraliza el logging y monta la detección: es el cimiento tanto de la gestión de riesgos como de la notificación.
- Ensaya el proceso de notificación: quién avisa en 24 horas, a quién, y con qué información.
- Documéntalo todo: medidas, decisiones, plazos de retención y simulacros. La conformidad que no puedes demostrar no existe para una autoridad de supervisión.
¿Quieres ver cómo LogPulse cubre la parte de logging, detección e informes? Consulta conformidad NIS2 con LogPulse y las capacidades de detección del SIEM de LogPulse, o revisa los planes y precios y empieza gratis hoy mismo.