NIS2 en España: la transposición sigue pendiente, pero las obligaciones ya marcan cómo gestionar la movilidad corporativa
El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado en enero de 2025, continúa en tramitación en 2026. Repasamos qué exige NIS2 a entidades esenciales e importantes y qué implica para la gestión de dispositivos móviles.
La Directiva NIS2 debía estar transpuesta el 17 de octubre de 2024. El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, pero a fecha de octubre de 2026 la norma sigue en tramitación parlamentaria y la Comisión Europea ha requerido formalmente a España por el retraso.
Lo que ya se sabe del texto
- Designa al CCN y a INCIBE como autoridades competentes, según el ámbito.
- Prevé sanciones de hasta 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y hasta 7 millones o el 1,4 % para las importantes.
- Exige medidas de gestión de riesgos, notificación de incidentes y responsabilidad directa de los órganos de dirección.
Qué implica para la movilidad corporativa
Los smartphones y tablets son puntos finales con acceso a correo, aplicaciones y datos de la organización. Bajo NIS2, una entidad esencial o importante debe poder demostrar que:
- conoce y controla su inventario de dispositivos móviles,
- aplica políticas de cifrado, bloqueo, borrado remoto y actualización,
- gestiona el acceso a aplicaciones y datos con trazabilidad,
- mantiene esa capa de gestión protegida y con soporte.
Una plataforma EMM es la herramienta que materializa estos controles. Cuando además la entidad opera en defensa, seguridad pública, administración o infraestructuras críticas, la exigencia de soberanía del dato empuja hacia un despliegue On-Prem, con la consola y los datos de la flota dentro de la organización.
En Bomontec ayudamos a traducir NIS2 y el ENS a requisitos concretos de movilidad: solicita una revisión.
Nota: las fuentes sobre el estado de tramitación son análisis de despachos y consultoras; conviene verificar el estado parlamentario en el Congreso de los Diputados y el BOE antes de tomar decisiones.
Source: Cuatrecasas · Análisis
The assessment is a preliminary guidance session and does not constitute an audit, certification, accreditation, expert report or guarantee of compliance. Its conclusions depend on the information provided and must be technically validated within the scope of each project.