Ley de Coordinación y Gobernanza de la Ciberseguridad en España

La Ley de Coordinación y Gobernanza de la Ciberseguridad es la transposición al ordenamiento jurídico español de la Directiva NIS2 de la Unión Europea. Dicho de otra manera, es la Ley de Ciberseguridad que se va a aplicar en España. Pero, ¿a qué empresas y sectores afecta? ¿Qué obligaciones establece? ¿Qué se debe hacer para cumplir con esta normativa? En este resumen te lo contamos todo.

¿Qué es la Ley para la Coordinación y Gobernanza de la Ciberseguridad?

La Ley para la Coordinación y Gobernanza de la Ciberseguridad, también llamada Ley de Ciberseguridad, es la norma que impulsa España para transponer la Directiva NIS2 al ordenamiento nacional. Su objetivo es reforzar la protección frente a ciberamenazas mediante una mejor coordinación entre administraciones públicas, operadores esenciales y proveedores críticos, garantizando una respuesta eficaz ante incidentes y consolidando una gobernanza clara de la ciberseguridad en el país.

Esta normativa sobre ciberseguridad se une a otras regulaciones que vienen a legislar el uso de las nuevas tecnologías, como la Ley de Inteligencia Artificial.

*Nota: A fecha de abril 2025 en España se ha aprobado el anteproyecto de Ley, pero la normativa todavía no ha sido aprobada ni publicada en el BOE, por tanto no se puede considerar que ha entrado en vigor.

¿Cuándo entra en vigor?

La ley aún se encuentra en fase de anteproyecto, pero al tratarse de la transposición de la Directiva NIS 2, España debe aprobarla y ponerla en marcha antes del 17 de octubre de 2024, que es el plazo que marca la normativa europea. El Gobierno prevé que la entrada en vigor de la Ley de Ciberseguridad se produzca a lo largo de 2025, una vez finalice su tramitación parlamentaria y se publique en el Boletín Oficial del Estado.

¿A qué empresas aplica la Ley de Ciberseguridad?

La ley afecta a un amplio espectro de organizaciones, tanto públicas como privadas, pero establece unos criterios concretos para determinar qué empresas están obligadas a cumplirla.

Por regla general, afecta a todas aquellas entidades que:

• Presten servicios esenciales o formen parte de sectores estratégicos.
• Sean medianas o grandes empresas, es decir, que superen los 50 empleados o tengan un volumen de negocio anual superior a 10 millones de euros.
• Forman parte de la cadena de suministro crítica de los operadores esenciales o importantes.
• Presten servicios en España, aunque estén establecidas fuera del país, siempre que sus actividades tengan impacto en la ciberseguridad nacional.

Además, la ley establece una distinción entre:

• Entidades esenciales, que tienen un papel clave en la prestación de servicios básicos para la sociedad o la economía.
• Entidades importantes, que aunque no sean críticas, siguen desempeñando una función relevante y están sujetas a obligaciones de seguridad.

¿Cuáles son los sectores afectados?

Los sectores afectados por la Ley de ciberseguridad son aquellos considerados como esenciales o importantes para le economía digital del país. Es decir, aquellos sectores cuya interrupción de su actividad podría acarrear graves consecuencias para la economía, la seguridad, la salud pública o para las relaciones entre Estados miembros de la UE.

Sectores esenciales:

• Energía (electricidad, gas, petróleo, calefacción urbana)
• Transporte (aéreo, ferroviario, marítimo, por carretera)
• Banca
• Infraestructuras de mercados financieros
• Salud (asistencia sanitaria, laboratorios, industria farmacéutica)
• Agua potable y aguas residuales
• Infraestructura digital (proveedores de DNS, centros de datos, cloud)
• Administración pública

Sectores importantes:

• Servicios postales y de mensajería
• Gestión de residuos (incluidos residuos peligrosos)
• Fabricación, producción y distribución de productos químicos
• Producción, transformación y distribución de alimentos
• Proveedores de servicios TIC gestionados (MSP/MSSP)
• Fabricación de dispositivos médicos, productos informáticos o maquinaria crítica
• Investigación relacionada con estos sectores
• Actividades espaciales (satélites y comunicaciones)

Está obligadas a cumplir la Ley de Ciberseguridad todas las empresas con más de 50 empleados o facturación superior a 10 millones de euros cuya actividad se desarrolle en sectores esenciales o críticos.

¿Cuáles son los objetivos de la Ley para la Coordinación y Gobernanza de la Ciberseguridad?

Esta ley no nace como un simple trámite para cumplir con Europa: tiene una visión estratégica clara. Su propósito es convertir la ciberseguridad en una prioridad de Estado, asegurando que tanto el sector público como el privado estén preparados para responder ante las amenazas crecientes en el entorno digital.

Entre los objetivos de la Ley de Ciberseguridad destacan:

• Refuerzo de la resiliencia nacional: La ley busca que las infraestructuras críticas y los servicios esenciales sean capaces de prevenir, resistir y recuperarse rápidamente frente a ciberataques.
• Coordinación eficaz entre administraciones y operadores privados: Establece un sistema claro de gobernanza, donde cada entidad —pública o privada— sepa cuál es su papel ante incidentes de ciberseguridad.
• Respuesta rápida ante incidentes: Se crea un marco ágil para la detección y notificación temprana de ataques, minimizando los daños y evitando que un incidente aislado tenga efectos en cadena.
• Mejora continua de la seguridad: Se promueve que las empresas evalúen y actualicen constantemente sus sistemas y protocolos de protección.
• Fomento de la cooperación internacional: La ley refuerza la conexión de España con los mecanismos europeos de ciberseguridad, garantizando que las respuestas nacionales estén alineadas con los estándares comunitarios.

En definitiva, se trata de asegurar que la protección frente a ciberamenazas no dependa solo de la buena voluntad de cada organización, sino que exista un marco legal robusto que garantice la seguridad de todos.

¿Cuál será el ámbito de aplicación de la normativa sobre Ciberseguridad?

La Ley de Ciberseguridad en España se aplicará en todo el territorio nacional, pero su alcance va mucho más allá de las fronteras físicas del país. De hecho, uno de sus puntos clave es que no se limita solo a las empresas establecidas en el país: también afecta a aquellas que, aunque operen desde el extranjero, presten servicios o suministren productos esenciales dentro de España.

En términos prácticos, la Ley se dirige a:

• Organizaciones públicas y privadas que gestionen servicios esenciales o importantes para la sociedad y la economía española.
• Empresas medianas y grandes, según los criterios de la normativa: más de 50 empleados o un volumen de negocio superior a 10 millones de euros.
• Proveedores críticos de la cadena de suministro, incluso si su actividad no está directamente orientada al público final, pero da soporte a sectores esenciales o importantes.
• Proveedores digitales y tecnológicos, como servicios cloud, centros de datos o plataformas de comunicaciones.
• Empresas extranjeras que presten servicios dentro de España que puedan tener un impacto relevante en la ciberseguridad nacional.

Lo relevante aquí es que la Ley adopta una visión integral: no importa tanto dónde esté domiciliada la empresa, sino el impacto que sus servicios o productos puedan tener sobre la seguridad digital de España.

Obligaciones de la Ley de Ciberseguridad

La Ley para la Coordinación y Gobernanza de la Ciberseguridad impone un conjunto de obligaciones que exigen a las empresas ir mucho más allá de la simple reacción ante un ciberataque. La norma busca que las organizaciones integren la ciberseguridad como parte esencial de su estrategia de negocio y su operativa diaria.

Evaluación y gestión de riesgos

No se trata de cumplir por cumplir. La ley exige que las empresas realicen un análisis realista y periódico de los riesgos a los que están expuestas. Deben identificar vulnerabilidades en sus procesos, infraestructuras, y en la relación con proveedores, y adoptar medidas proporcionales a la gravedad de esos riesgos. El objetivo es crear una cultura de prevención, que no deje cabos sueltos.

Medidas técnicas y organizativas de protección

La normativa exige que se implanten mecanismos concretos de defensa, adaptados al nivel de amenaza. Esto incluye desde controles de acceso, encriptación y detección de intrusiones, hasta planes de continuidad del negocio y recuperación ante desastres. No se admiten aproximaciones genéricas: las medidas deben responder a la realidad operativa de cada empresa.

Notificación de incidentes graves

Una de las grandes novedades es la obligación de comunicar los incidentes relevantes en un plazo muy concreto: 24 horas desde que se tenga conocimiento del mismo. Esta notificación debe incluir información suficiente para que las autoridades evalúen el impacto y, si es necesario, activen mecanismos de respuesta a nivel nacional. Además, la empresa tendrá que actualizar la información a medida que avance la gestión del incidente.

Supervisión de la cadena de suministro

La seguridad no termina en la puerta de la empresa. La ley obliga a evaluar y vigilar que los proveedores clave, especialmente aquellos que suministran servicios o tecnologías críticas, también cumplen con estándares adecuados de ciberseguridad. Es decir, las empresas deberán exigir a sus socios comerciales compromisos contractuales claros en esta materia.

Designación de responsables de ciberseguridad

Las organizaciones tendrán que designar una persona o equipo que asuma la responsabilidad directa de la gestión de la ciberseguridad. Esta figura debe tener suficiente conocimiento técnico y autonomía para garantizar que la empresa cumple con la ley y actúa con diligencia ante cualquier amenaza o incidente.

Formación y sensibilización interna

La ley pone un énfasis importante en el factor humano. La empresa no puede delegar toda la responsabilidad en los sistemas tecnológicos: debe asegurarse de que sus empleados reciben formación periódica y están preparados para identificar amenazas como el phishing o el malware. Una plantilla formada puede convertirse en la primera línea de defensa.

Colaboración con las autoridades

En situaciones de crisis o ante requerimientos ordinarios, las empresas están obligadas a colaborar con las autoridades de supervisión y respuesta. Esto puede incluir desde compartir información técnica sobre un incidente, hasta participar en ejercicios de simulación organizados por el Estado para mejorar la respuesta coordinada a ciberataques.

De esta forma, la ley establece un enfoque integral: no se trata solo de proteger los sistemas, sino de construir una cultura de ciberseguridad que abarque toda la organización y su ecosistema.

¿Qué sanciones impone la Ley de Ciberseguridad por incumplimiento?

La Ley para la Coordinación y Gobernanza de la Ciberseguridad no deja lugar a dudas: las obligaciones que impone no son opcionales, y el incumplimiento puede tener consecuencias económicas muy serias. El régimen sancionador que establece es robusto y está pensado para disuadir cualquier dejadez en la gestión de la ciberseguridad.

Cuantía de las multas según la gravedad de la infracción

Las sanciones de la Ley de Ciberseguridad se clasifican según la gravedad de la infracción:

1. Infracciones muy graves: Aquí se encuentran los incumplimientos que tienen o podrían tener un impacto severo en la seguridad de los servicios esenciales o en la seguridad nacional. Por ejemplo:

• No aplicar las medidas de seguridad requeridas.
• Incumplir la obligación de notificar incidentes graves.
• Resistirse a las actuaciones de supervisión o inspección de las autoridades competentes.

Sanción: Hasta 10 millones de euros o el 2 % del volumen de negocio mundial anual total de la empresa, aplicándose la cifra que resulte más elevada.

2. Infracciones graves: Se refieren a situaciones que, sin alcanzar la gravedad máxima, siguen suponiendo un riesgo importante para la ciberseguridad o la integridad de los servicios prestados. Por ejemplo:

• Deficiencias en la gestión de la cadena de suministro.
• Retrasos injustificados en la notificación de incidentes.
• Falta de cooperación con las autoridades en tareas de supervisión.

Sanción: Hasta 7 millones de euros o el 1,4 % del volumen de negocio mundial anual total.

3. Infracciones leves

Estas son conductas que implican incumplimientos formales o deficiencias menores que no comprometen de manera significativa la seguridad, pero que igualmente son sancionadas para garantizar un cumplimiento estricto de la norma.

Sanción: Multas proporcionales y medidas correctivas inmediatas que fijarán las autoridades competentes.

Las sanciones por incumplir la Ley de Ciberseguridad pueden llegar a los 10 millones de euros o el 2% de la facturación anual.

Responsabilidad directa de la alta dirección

Un aspecto especialmente relevante de la Ley es que se introduce la responsabilidad directa de los administradores o responsables legales de la empresa. Esto significa que la gestión deficiente de la ciberseguridad no será solo un problema corporativo abstracto: los altos cargos pueden enfrentarse personalmente a consecuencias legales si se demuestra negligencia en el cumplimiento de las obligaciones.

Medidas complementarias a las multas

Además de las sanciones económicas, las autoridades podrán imponer otras medidas como:

• Requerimientos de cumplimiento inmediato.
• Suspensión temporal de actividades relacionadas con el incidente.
• Publicación de la infracción para que tenga efecto disuasorio público.

El mensaje es claro: no cumplir con las exigencias de la Ley no es una opción sin coste.

¿Qué órganos se encargan de la supervisión y cumplimiento de la Ley de Ciberseguridad?

La Ley para la Coordinación y Gobernanza de la Ciberseguridad no solo establece obligaciones para las empresas, sino que también crea una estructura institucional clara para supervisar, coordinar y garantizar que estas obligaciones se cumplan eficazmente.

Estos son los principales organismos que jugarán un papel clave:

• Centro Criptológico Nacional (CCN): Dependiente del Centro Nacional de Inteligencia (CNI), el CCN será uno de los actores principales en la protección de los sistemas y redes de la Administración General del Estado. Además, prestará apoyo técnico y operativo frente a incidentes que afecten a la seguridad nacional o a entidades esenciales.
• Instituto Nacional de Ciberseguridad (INCIBE): Este organismo se centrará especialmente en apoyar al sector privado, ofreciendo orientación y ayuda técnica a las empresas, especialmente pymes, para que cumplan con las exigencias de la ley. También actuará como punto de referencia para la gestión de incidentes y campañas de concienciación pública.
• Agencia Española de Protección de Datos (AEPD): cómo órgano de apoyo encargado de la protección de datos y la privacidad.
• Centro Nacional de Protección de Infraestructuras Críticas (CNPIC): Responsable de coordinar la protección física y lógica de las infraestructuras críticas, garantizando la continuidad de los servicios esenciales y coordinando la respuesta ante amenazas o ataques que puedan tener impacto significativo.
• CSIRT y CERT nacionales (Equipos de Respuesta ante Incidentes de Seguridad Informática): Estos equipos especializados proporcionan respuesta rápida ante incidentes de ciberseguridad. Su labor incluye desde la detección y análisis de amenazas hasta la coordinación de medidas de contención y mitigación.
• Consejo Nacional de Ciberseguridad: Este órgano actúa como el máximo responsable de la estrategia nacional de ciberseguridad, garantizando la coherencia entre las políticas públicas y las necesidades del sector privado. Define las prioridades y coordina la acción de todos los organismos implicados.
• Ministerios de Interior, Defensa, Presidencia y Transformación Digital: Varios ministerios tienen competencias compartidas o específicas en función del tipo de amenaza o sector afectado. Por ejemplo, Interior lidera la respuesta a amenazas que impacten la seguridad ciudadana, mientras que Defensa asume un papel clave en incidentes que comprometan la seguridad nacional.

Uno de los grandes valores añadidos de esta Ley es precisamente la creación de un sistema de gobernanza donde los organismos no actúan de forma aislada, sino que colaboran estrechamente entre sí y con las empresas afectadas. El objetivo es garantizar una respuesta ágil, coordinada y eficaz ante incidentes, evitando solapamientos o lagunas de responsabilidad.

¿Cómo deben prepararse las empresas para cumplir con la Ley?

La Ley para la Coordinación y Gobernanza de la Ciberseguridad no deja margen para la improvisación. Las empresas que entren dentro de su ámbito de aplicación tendrán que adoptar un enfoque sistemático y proactivo para cumplir con sus obligaciones. No se trata solo de evitar sanciones, sino de proteger su continuidad operativa y su reputación frente a un entorno de amenazas cada vez más sofisticado.

Esto son los pasos clave que cualquier empresa debería empezar a tomar cuanto antes para cumplir la Ley de Ciberseguridad:

Realizar una auditoría interna de ciberseguridad

Antes de actuar, es fundamental tener un diagnóstico claro. Identificar vulnerabilidades, evaluar riesgos específicos del negocio y entender el nivel de madurez de la ciberseguridad dentro de la organización. Esta radiografía inicial servirá como hoja de ruta.

Nombrar responsables claros de ciberseguridad

La ley exige que haya una figura o equipo responsable de la ciberseguridad dentro de la empresa. No basta con repartir tareas de manera informal: debe haber una persona o departamento que asuma la responsabilidad legal y operativa.

Reforzar la formación interna

Muchas brechas de seguridad se abren por desconocimiento o descuidos humanos. Es esencial formar y sensibilizar a todos los empleados sobre las buenas prácticas de ciberseguridad, actualizando la formación de manera periódica para mantener la vigilancia activa.

Revisar la seguridad de la cadena de suministro

La ley obliga a vigilar no solo la propia empresa, sino también a los proveedores y socios tecnológicos críticos. Es recomendable incorporar cláusulas contractuales específicas sobre ciberseguridad y establecer controles que garanticen el cumplimiento de la normativa en toda la cadena.

Establecer protocolos claros de notificación de incidentes

La notificación rápida es una de las obligaciones clave. La empresa debe tener definidos procesos internos para detectar incidentes relevantes y comunicarlos a las autoridades competentes en el plazo exigido de 24 horas.

Mantener un plan de mejora continua

La ciberseguridad no es un esfuerzo puntual. La amenaza evoluciona, y con ella deben evolucionar también las medidas de protección. Es recomendable que la empresa establezca ciclos regulares de revisión y mejora de sus políticas y herramientas de seguridad.

Consultar con expertos y apoyarse en organismos oficiales

Entidades como el INCIBE ofrecen recursos, guías y soporte técnico que pueden facilitar mucho la adaptación a la normativa. Además, apoyarse en consultores especializados puede acelerar el proceso y garantizar que no se pasen por alto obligaciones importantes.

Resumen de la Ley para la Coordinación y Gobernanza de la Ciberseguridad

¿Qué es?

La norma que adapta en España la Directiva NIS 2, para reforzar la protección frente a ciberataques y coordinar la respuesta ante incidentes que afecten a servicios esenciales o la seguridad nacional.

¿Cuándo entra en vigor?

Se prevé su aprobación durante 2025, aunque debe estar en marcha antes del 17 de octubre de 2024, plazo marcado por la directiva europea.

¿A quién afecta?

• Empresas medianas y grandes: más de 50 empleados o más de 10 millones de euros de facturación anual.
• Operadores de sectores estratégicos.
• Proveedores críticos de la cadena de suministro.
• Empresas extranjeras que presten servicios relevantes en España.

Sectores afectados:

Energía, transporte, sanidad, administración pública, infraestructuras digitales, banca, gestión del agua y residuos, servicios postales, sector alimentario, actividades espaciales, y proveedores TIC.

Objetivos clave:

• Aumentar la resiliencia nacional ante ciberataques.
• Mejorar la coordinación pública y privada.
• Garantizar la respuesta rápida ante incidentes.
• Integrar la ciberseguridad como prioridad estructural de las empresas.
• Fortalecer la cooperación europea e internacional.

Obligaciones para las empresas:

• Evaluación continua de riesgos.
• Medidas técnicas y organizativas de protección.
• Notificación de incidentes graves en 24 horas.
• Supervisión de la ciberseguridad en la cadena de suministro.
• Designación de responsables internos de ciberseguridad.
• Formación continua de empleados.
• Cooperación con autoridades de supervisión.

Sanciones:

• Hasta 10 millones de euros o el 2 % de la facturación global anual para infracciones muy graves.
• Responsabilidad directa de la alta dirección.
• Medidas correctivas adicionales y posible suspensión de actividades.

Órganos de supervisión:

• Centro Criptológico Nacional (CCN).
• Instituto Nacional de Ciberseguridad (INCIBE).
• Centro Nacional de Protección de Infraestructuras Críticas (CNPIC).
• Equipos CSIRT.
• Consejo Nacional de Ciberseguridad.
• Ministerios de Interior, Defensa y Transformación Digital.

Cómo deben prepararse las empresas:

• Auditoría interna de ciberseguridad.
• Nombramiento de responsables claros.
• Revisión de la seguridad de proveedores y contratos.
• Establecimiento de protocolos de notificación.
• Formación del personal.
• Consultoría especializada y seguimiento de guías oficiales.

Preguntas frecuentes

¿Si mi empresa no es grande, me afecta igualmente?

Sí, si estás en un sector esencial o formas parte de la cadena de suministro crítica, la ley te puede aplicar, aunque seas una empresa mediana o incluso pequeña.

¿Tengo que esperar a que me notifiquen que estoy obligado a cumplir?

No. La responsabilidad es proactiva: si cumples los criterios de la ley, debes actuar sin esperar comunicación formal.

¿Basta con tener medidas de seguridad básicas como antivirus y cortafuegos?

No. La ley exige una estrategia integral de ciberseguridad: gestión de riesgos, protocolos de respuesta, supervisión de proveedores y formación del personal.

¿Cuándo empieza la cuenta atrás para cumplir con la ley?

Aunque está en tramitación, se espera que entre en vigor en 2025. No conviene esperar: prepararse con antelación es clave.

¿Qué pasa si contrato servicios de ciberseguridad externos? Cumplo ya, ¿verdad?

No exactamente. Aunque ayuda, la responsabilidad legal sigue siendo de la empresa. Deberás asegurarte de que tu proveedor cumple los estándares exigidos y que tú, como empresa, supervisas adecuadamente.

¿Tengo que informar de todos los incidentes que sufra mi empresa?

No, solo de los incidentes graves que puedan afectar a la prestación de tus servicios esenciales o a la seguridad nacional. Y debes hacerlo en un plazo máximo de 24 horas.

¿Hay ayudas o apoyo público para adaptarme a la ley?

Sí. Organismos como INCIBE ofrecen recursos, guías y posibles ayudas para facilitar la adaptación de las empresas.

¿Qué pasa si incumplo y luego intento corregirlo?

Dependerá del caso. La ley prevé medidas correctivas, pero si hay negligencia grave, la sanción económica no se elimina. La mejor estrategia es la prevención.

¿Esta ley me afecta si mi empresa está fuera de España pero tengo clientes aquí?

Sí. Si tus servicios impactan en la seguridad de infraestructuras críticas o sectores esenciales españoles, debes cumplir con la normativa, aunque operes desde otro país.

¿Qué nivel de implicación debe tener la dirección de la empresa?

Máximo. La alta dirección es directamente responsable de garantizar el cumplimiento de la ley y de incorporar la ciberseguridad en la estrategia global del negocio.