Un mapa desigual
En mayo de 2026, 23 de los 27 Estados miembros habían transpuesto NIS2 a su ordenamiento nacional. El grupo restante incluye a España, con una transposición parcial, junto a Bulgaria, Polonia y Eslovenia. La Comisión Europea ha llevado a siete Estados miembros ante el Tribunal de Justicia por no haber efectuado la transposición.
Para una organización que opera en un solo país, esto es una anécdota. Para una que opera en seis, es un problema de planificación sin una respuesta limpia, porque el panorama de obligaciones es realmente distinto según dónde se mire y cambia con un calendario que nadie controla.
Las tres posturas posibles y lo que cuesta cada una
En líneas generales, las entidades multinacionales están eligiendo uno de tres enfoques, y cada uno tiene un modo de fallo distinto.
Esperar a la ley nacional. Defendible y cada vez más incómodo. Las obligaciones de la directiva no surgen de la nada cuando se aprueba una ley nacional - llegan con plazos de implementación asociados, y las organizaciones que empezaron en el momento de la transposición han comprobado sistemáticamente que el margen era más corto de lo esperado. Además, le deja sin nada que mostrar si entretanto se produce un incidente en una jurisdicción donde el fondo de la directiva está políticamente vivo, aunque la norma aún no esté en vigor.
Cumplir con la base de la directiva en todas partes. Lo más sencillo desde el punto de vista operativo, y ligeramente sobreinclusivo. Se implementan los requisitos de la directiva en toda la Unión y se acepta que algunas jurisdicciones acabarán pidiendo un poco más o un poco menos. La mayoría de las grandes organizaciones que vemos está aquí.
Cumplir con la norma nacional más estricta en todas partes. Lo más seguro y lo más caro. Tiene sentido para un pequeño número de entidades altamente reguladas y es difícil de justificar en otros casos, porque la transposición más estricta en cada punto concreto no corresponde al mismo país en todos los puntos.
Dónde difieren realmente las transposiciones
La directiva armoniza más de lo que se le reconoce, y las divergencias se concentran en un conjunto previsible de puntos. Si está construyendo un programa multijurisdiccional, estos son los campos que conviene seguir país por país en lugar de dar por hecha una única respuesta.
La identificación de entidades y la mecánica de registro difieren sustancialmente - quién se registra, en qué plataforma, en qué plazo y si es el supervisor quien identifica a las entidades o la propia entidad quien se autoidentifica. Los canales y umbrales de notificación de incidentes varían en torno a una cadencia común. Las estructuras de supervisión difieren: algunos Estados concentran la supervisión en una autoridad nacional de ciberseguridad y otros la reparten entre los reguladores sectoriales. Los procedimientos sancionadores y la aplicación práctica de la responsabilidad de los órganos de dirección varían de forma significativa. Y varios Estados han ampliado el ámbito de aplicación más allá del mínimo de la directiva, incorporando sectores o umbrales de tamaño que la directiva no exigía.
La buena noticia es que las expectativas de control subyacentes son, en líneas generales, coherentes. La variación está en la interfaz con el supervisor, no en el fondo de lo que hay que hacer.
Por qué una única base de evidencias resiste la variación
La conclusión práctica se deriva de este último punto. Si los controles son en general coherentes y las interfaces difieren, lo costoso de construir por jurisdicción es la interfaz, y lo costoso de construir una sola vez es la evidencia.
Eso implica resistirse a la tendencia organizativa natural hacia silos de cumplimiento por país. Una filial polaca que construye su propio repositorio de evidencias porque la ley polaca aún no está en vigor, y una filial portuguesa que construye otro porque el CNCS ha empezado a auditar, producen dos imágenes incompletas y una función de grupo incapaz de responder a una pregunta sobre ninguna de ellas.
Una base de evidencias única que registre qué ocurrió, cuándo y bajo la autoridad de quién - consultable por entidad, por jurisdicción y por supervisor - responde hoy a Portugal y responderá a Polonia cuando le llegue el turno. Planteamos un argumento estructuralmente idéntico sobre regímenes superpuestos, en lugar de jurisdicciones superpuestas, en construir una única capa de evidencias para entidades financieras con doble regulación.
- Mantener una hoja de situación por jurisdicción que recoja el estado de la transposición, el supervisor, la mecánica de registro y el canal de notificación, y revisarla mensualmente en lugar de anualmente
- Construir los controles sobre la base de la directiva y tratar las variaciones nacionales como una configuración superpuesta, no como programas separados
- Conservar las evidencias de forma centralizada, con la jurisdicción como atributo, para que la solicitud de un supervisor pueda atenderse sin un ejercicio de recopilación de datos
- Identificar cuál de sus entidades sería la primera en someterse a supervisión y usar esa jurisdicción para poner a prueba el modelo del grupo
- Seguir los procedimientos de infracción, ya que la remisión al Tribunal de Justicia suele preceder a una acción nacional rápida
- Portugal es actualmente la jurisdicción más instructiva a seguir, ya que tanto el registro como la actividad supervisora están en marcha - consulte nuestra cobertura sobre Portugal
- La postura de aplicación de Alemania ofrece la señal más clara de cómo es una relación de supervisión madura - consulte dentro de la oleada de aplicación de NIS2 en Alemania
- El panorama de la aplicación a escala de la Unión, incluidas las primeras multas, se sigue en el seguimiento de la aplicación de NIS2
Si hoy las evidencias de su grupo están repartidas en tantos lugares como filiales tiene, consolidarlas supone menos trabajo de lo que parece. Puede empezar con una entidad y una jurisdicción o ver cómo se estructuran los despliegues multientidad en la página enterprise de ROOTKey.