El retraso de la NIS 2 en Francia no es una prórroga de cumplimiento

Un aplazamiento no es un indulto, y las organizaciones francesas que lean las noticias de esta semana como un permiso para esperar están interpretando mal su propia exposición. El proyecto de ley que transpone la directiva NIS 2 al derecho francés estaba programado para ser debatido en la Asamblea Nacional el 7 de octubre de 2026. El órgano encargado de fijar el orden del día lo retiró el día anterior, sin nueva fecha asignada.

Parece una buena noticia si gestionas la seguridad o el cumplimiento en un grupo hospitalario, un productor químico, un instituto de investigación o un fabricante por contrato que nunca ha respondido ante un regulador europeo de ciberseguridad. No lo es. El reportaje de Silicon.fr sobre el proyecto describe un texto que amplía el perímetro regulado de 6 sectores a 18 y de unas 500 entidades a casi 15.000. Cuando sea que se celebre la votación, a esas organizaciones se les hará una pregunta que no pueden responder de memoria.

La pregunta es sencilla. ¿Puedes demostrar, cuando te lo pidan, que los datos sensibles que entran y salen de tu organización fueron controlados, registrados y reportables según los tiempos del regulador? El cumplimiento de NIS 2 es tanto un ejercicio de evidencia como de seguridad, y reunir esa evidencia lleva más tiempo del que cualquier calendario legislativo te dará. El intercambio seguro de datos de Kiteworks cubre exactamente ese vacío, por lo que este retraso importa más al CISO y al Chief Compliance Officer de lo que sugiere el titular.

Conclusiones clave

1. El retraso no es un indulto.

La Asamblea retiró el proyecto el 6 de octubre de 2026, pero el plazo de transposición de la UE venció en octubre de 2024 y la Comisión Europea ya está pidiendo a un tribunal que imponga sanciones económicas a Francia.

2. El perímetro regulado está a punto de multiplicarse por treinta.

El proyecto prevé pasar de unas 500 entidades reguladas a casi 15.000, abarcando 18 sectores en vez de 6.

3. Las obligaciones ya se pueden conocer.

La directiva establece una alerta temprana en 24 horas, una notificación de incidentes en 72 horas, obligaciones de seguridad en la cadena de suministro y límites de multas de al menos 10 millones de euros o el 2% de la facturación mundial para entidades esenciales.

4. La evidencia, no las herramientas, es el cuello de botella.

Registros fragmentados entre correo electrónico, uso compartido de archivos y transferencia gestionada de archivos convierten el plazo de 72 horas para informar en un proyecto forense manual.

5. Primero el alcance, luego la evidencia, nunca esperar.

Los CISOs y Chief Compliance Officers deben confirmar el estatus de la entidad, mapear el intercambio de datos sensibles con proveedores y preparar un paquete de evidencia exportable antes de que se redacten los decretos franceses.

Qué pasó esta semana con el proyecto francés de NIS 2

El texto es el proyecto de ley número 1112, sobre la resiliencia de infraestructuras críticas y el refuerzo de la ciberseguridad. También incluye la transposición de la directiva de resiliencia de entidades críticas y la directiva que acompaña a DORA, así que NIS 2 es una de las tres cuestiones que viajan en el mismo vehículo. El gobierno lo presentó en el Senado el 15 de octubre de 2024 bajo el procedimiento acelerado. El Senado lo adoptó el 12 de marzo de 2025, por 181 votos contra 134. Una comisión especial de la Asamblea adoptó su propia versión el 10 de septiembre de 2025.

Luego esperó. El resumen legal de Leto sobre el aplazamiento recoge que el 6 de octubre la conferencia de presidentes de la Asamblea retiró el proyecto del orden del día para las sesiones del 7 y 9 de octubre. Oficialmente, el calendario está saturado; el examen de un proyecto de ley sobre violencia sexual y sexista se está alargando. El ponente, Éric Bothorel, ha dicho que espera que el texto vuelva en dos o tres semanas. La próxima conferencia de presidentes se reúne el 13 de octubre, y un texto retirado no recupera su lugar automáticamente.

Vuelve a leer esa secuencia. Un proyecto que superó el Senado en marzo de 2025 ha sufrido ya dos retrasos en la Asamblea, el primero hasta septiembre de 2026. Nadie serio espera que el gobierno francés abandone la transposición. Todos deberían esperar que el calendario siga siendo imprevisible.

Un detalle político merece atención porque muestra dónde está el punto de fricción. El Senado añadió un artículo, el 16 bis, que prohibiría al Estado exigir a los proveedores de cifrado que incorporen puertas traseras o entreguen claves maestras. El análisis de NOVRISK sobre la retirada informa que el gobierno presentó una enmienda para suprimirlo el 3 de octubre, tres días antes de la retirada, y señala que ningún documento público vincula ambos hechos. Ese es un debate sobre la política de cifrado, no sobre las obligaciones de NIS 2. Indica que el retraso tiene una explicación política, y las explicaciones políticas caducan.

El salto de alcance: de 500 a casi 15.000 entidades

Aquí tienes la cifra que debería cambiar tus prioridades. Hoy, unas 500 entidades francesas están bajo el anterior régimen NIS. Después, la propia memoria explicativa del proyecto prevé casi 15.000. Es una expansión de unas treinta veces en la población que debe demostrar gobernanza de ciberseguridad ante una autoridad nacional.

La autoridad es ANSSI, la agencia nacional de ciberseguridad de Francia. Según Silicon.fr, el informe de la comisión prevé que ANSSI supervise unas 14.500 entidades. La misma cobertura señala que el perímetro incluye unas 1.500 autoridades locales, entre ellas comunas de más de 30.000 habitantes, junto con administraciones centrales, empresas medianas y grandes, y actores de la cadena de suministro.

Dos aspectos del diseño importan para el sector privado. Primero, las entidades se clasifican en esenciales e importantes, con obligaciones ajustadas a la criticidad. Segundo, el Estado, las autoridades locales y sus organismos públicos administrativos están exentos de las multas, pero no de las obligaciones de seguridad y notificación. Si trabajas en un organismo público, la multa no es tu riesgo; el hallazgo de auditoría sí lo es.

La lista de sectores proviene de la propia Directiva NIS 2, cuyos anexos van mucho más allá de los operadores de energía, transporte y banca que cubrían las normas anteriores. Incluyen sanidad, infraestructura digital, química, servicios postales y de mensajería, investigación y fabricación de ciertos productos, entre otros. Un fabricante de dispositivos médicos de tamaño medio, una red regional de laboratorios, un productor químico por contrato y un proveedor de hosting gestionado pueden entrar en el alcance sin haber presentado nunca un informe de ciberseguridad a un regulador.

Considera un caso hipotético, etiquetado como tal. Un fabricante de precisión de 600 personas en la región de Auvernia-Ródano-Alpes suministra componentes a un contratista aeroespacial y comparte archivos de ingeniería, registros de calidad de proveedores y datos de empleados con once socios por correo electrónico, SFTP y un servicio de uso compartido de archivos que alguien en operaciones adoptó hace cuatro años. Nadie en la empresa ha tenido que mostrar a un auditor quién envió qué, a quién, bajo qué política. Bajo el nuevo régimen, esa pregunta será habitual. El fabricante no necesita productos nuevos el lunes. Necesita saber qué entregaría el martes.

Bruselas ya ha superado el debate

El plazo de transposición de NIS 2 fue el 17 de octubre de 2024. Cuando la Asamblea francesa retome el texto, Francia llevará dos años de retraso.

La UE no lo considera un simple redondeo. El 8 de julio de 2026, la Comisión Europea anunció que remitía a Irlanda, España, Francia y Países Bajos al Tribunal de Justicia de la Unión Europea por no notificar las medidas nacionales de transposición, e incluyó una solicitud de sanciones económicas. La Comisión busca sanciones que se mantendrán hasta que se notifique la transposición completa, así que el aplazamiento no detiene el contador. Lo mantiene activo.

La comparación también importa, porque la idea de que Francia es solo uno de muchos rezagados es errónea. El rastreador de transposición de NIS 2 de ECSO cuenta 23 de los 27 estados miembros con una ley nacional adoptada, aunque su recuento refleja la legislación principal, no la prueba más estricta que aplica la Comisión. Eso sitúa a Francia entre los cuatro países que la Comisión llevó a los tribunales, no en una Europa a medio transponer. Las empresas con operaciones en Italia o Bélgica ya están bajo normas nacionales, y una filial francesa que reporta a un CISO de grupo ya está recibiendo preguntas sobre la preparación para NIS 2 por parte de su propia matriz.

La consecuencia práctica es una postura de cumplimiento a dos velocidades. Tu grupo probablemente ya se mide según las expectativas de NIS 2. Tu entidad francesa espera una ley. Esas dos posiciones no pueden sobrevivir al primer cuestionario de cliente ni a la primera auditoría transfronteriza.

Las obligaciones no esperan a que la ley sea definitiva

Los decretos franceses de aplicación aún no están redactados y, según ANSSI citada por Silicon.fr, NIS 2 solo entra en vigor en Francia cuando la ley, los decretos y las órdenes estén promulgados. No hay fecha pública de cumplimiento. Ese es el argumento más fuerte para esperar, y es más débil de lo que parece, porque la directiva ya te dice la mayor parte de lo que los decretos concretarán.

Empieza por la rendición de cuentas. Según la directiva, el órgano de dirección de una entidad debe aprobar las medidas de gestión de riesgos de ciberseguridad y supervisar su implementación, y sus miembros pueden ser responsables por infracciones, como el propio texto de la directiva deja claro. Esa frase convierte NIS 2 de un problema de TI en uno de consejo de administración, y por eso el Chief Compliance Officer y el asesor jurídico deben estar en la sala junto al CISO.

Luego, el reloj. La misma directiva exige una alerta temprana en 24 horas tras tener conocimiento de un incidente significativo, una notificación en 72 horas y un informe final en un mes. Una organización que necesita una semana para averiguar qué archivos salieron y por qué canal no puede cumplir esa secuencia. El plan de respuesta a incidentes no suele ser el punto débil en la mayoría de las organizaciones. Lo son los datos que lo alimentan.

Después, la seguridad en la cadena de suministro. La directiva exige medidas de gestión de riesgos que aborden la seguridad de las relaciones con proveedores y prestadores de servicios directos. Si tu gestión de riesgos de la cadena de suministro es una hoja de cálculo de proveedores y un cuestionario, tienes un inventario, no evidencia de control. Un evaluador preguntará cómo se mueven los datos sensibles entre tú y un proveedor, quién lo aprobó y dónde está el registro.

Por último, las sanciones. Silicon.fr informa que el texto francés limita las multas administrativas a 10 millones de euros o el 2% de la facturación anual mundial, lo que refleja el mínimo de la directiva para entidades esenciales. Las entidades importantes enfrentan un límite menor, al menos 7 millones de euros o el 1,4%. Para una empresa mediana, la multa es un techo que esperas no rozar nunca. La responsabilidad que llega antes es una auditoría fallida, una orden correctiva y un contrato que tu mayor cliente no renovará hasta que lo soluciones. El contexto sobre auditoría y aplicación de NIS 2 muestra cómo suele desarrollarse esa secuencia.

La brecha de evidencia detrás de cada plazo

La mayoría de las organizaciones no falla el cumplimiento porque les falte un control. Fallan porque no pueden demostrar que el control funcionó.

Esa es la pauta en los datos de encuestas que Kiteworks recopiló de 225 líderes de seguridad, TI, cumplimiento y riesgos, realizada en el cuarto trimestre de 2025. En el Informe Anual de Pronóstico de Riesgos de Seguridad y Cumplimiento de Datos 2026 de Kiteworks, solo el 39% de los encuestados tenía un enfoque unificado para el intercambio de datos con aplicación de políticas. El otro 61% operaba con enfoques parciales, específicos por canal o mínimos, y el informe vincula esa fragmentación directamente a registros dispersos en distintas plataformas, cada una con su propio formato y política de retención.

Piénsalo en un plazo de 72 horas. Ocurre un incidente. El equipo de seguridad debe determinar qué datos estuvieron involucrados, quién accedió a ellos y por qué canal. Los registros de correo electrónico están en un sistema, los de transferencia gestionada de archivos en otro, la auditoría de uso compartido de archivos en un tercero y los envíos de formularios web en ningún sitio obvio. Nadie falló en seguridad. Fallaron en ensamblar la evidencia. El mismo informe halló que un tercio de los encuestados carece por completo de registros de auditoría con calidad de evidencia.

Las encuestas de proveedores merecen escepticismo, incluidas las nuestras. Este estudio de Kiteworks tiene una muestra modesta, así que tómalo como una tendencia. Pero el patrón que describe es el mismo que cualquier Chief Compliance Officer reconoce, y ese es el enfoque útil aquí. Los registros existen. No son evidencia. Un auditor no quiere doce exportaciones y una explicación verbal. Quiere una cadena de custodia coherente que la organización pueda entregar en días, porque el reloj del regulador cuenta en días, y el paquete de evidencia suele tardar semanas.

Llama a esto la brecha de ensamblaje. Es la distancia entre tener registros y poder demostrar lo que muestran, y ahí es donde se ganará o perderá una investigación NIS 2.

Dónde se cruza el intercambio de datos sensibles con NIS 2

Enfoca el análisis en la carga de trabajo que la directiva implica más directamente para los recién regulados: los datos sensibles que salen y entran en la organización. Datos de pacientes e investigación en sanidad. Planos de ingeniería, formulaciones y registros de proveedores en manufactura y química. Archivos de personal en todos los sectores. Cada uno de esos flujos cruza un límite donde confluyen las obligaciones de la directiva sobre control de acceso, cifrado, gestión de incidentes y seguridad en la cadena de suministro.

El planteamiento arquitectónico a considerar es un único plano de control para ese intercambio, en vez de un conjunto de herramientas por canal. En el Control Plane de Kiteworks, la MFT segura, el correo electrónico seguro y el uso compartido seguro de archivos comparten un motor de políticas y un registro de auditoría consolidado, así que una pregunta sobre un archivo concreto obtiene una respuesta desde un solo lugar. Los registros de auditoría están diseñados para ser inmutables, y los feeds de registros pueden enviarse a un SIEM en tiempo real, lo que importa cuando el reloj de alerta temprana de 24 horas ya está corriendo. La plataforma también cuenta con certificaciones ISO 27001, ISO 27017 e ISO 27018 y SOC 2 Tipo II, que responden a las preguntas de aseguramiento de proveedores que tus propios clientes empezarán a hacer.

Sé preciso sobre lo que eso hace y lo que no. Ningún software hace que una organización cumpla NIS 2. El cumplimiento es una determinación sobre tu gobernanza, gestión de riesgos y reporte, hecha por un regulador. Lo que proporciona una capa unificada de intercambio de datos es la parte de evidencia, la más difícil de improvisar después de un incidente. Por eso los reguladores regulan datos, no herramientas. A ANSSI no le importará qué producto compraste. Le importará si puedes demostrar quién accedió a qué, cuándo y bajo qué autoridad.

Para las organizaciones de sanidad, la coincidencia con GDPR y las normas nacionales de datos de salud hace que ese registro sea aún más valioso, porque el mismo registro sirve para el Responsable de Protección de Datos y para el archivo de incidentes del CISO. Para manufactura y química, responde a la mitad de la directiva orientada a proveedores, donde la propiedad intelectual y los datos operativos viajan a socios que no controlas.

Qué hacer antes de que lleguen los decretos

Esperar a los decretos es una decisión razonable desde el punto de vista legal, pero mala para la preparación. Esto es lo que un CISO y un Chief Compliance Officer pueden hacer ya, en un orden que encaja en un ciclo de planificación habitual.

Resuelve la cuestión del alcance. Determina si tu entidad, y cada filial, probablemente será esencial, importante o quedará fuera de alcance, usando los anexos de la directiva y la orientación publicada por ANSSI cuando esté disponible. No asumas que ser pequeño o no haber estado regulado antes te protege. El perímetro se expande unas treinta veces.

Asigna un responsable con nombre y apellido. La directiva hace responsable al órgano de dirección, lo que deja a muchas organizaciones con una ambigüedad que deberían resolver de forma deliberada. En muchas, esa responsabilidad se reparte entre el CIO, el CISO y legal, y nadie ha escrito quién se encarga de cada paso. Escribe quién se encarga de la notificación de incidentes, quién de la garantía a proveedores y quién firma la evidencia.

Mapea el intercambio de datos sensibles. Enumera cada canal por el que los datos regulados o confidenciales se mueven a proveedores, clientes y socios, incluidos los canales sombra. Para cada canal, haz la pregunta de la brecha de ensamblaje. Si ocurriera un incidente en este canal esta noche, ¿cuánto tardarías en producir un registro completo de qué se movió, quién lo tocó y qué política se aplicó?

Haz el simulacro de 24 y 72 horas. No pruebes el plan escrito. Prueba la evidencia. Elige un incidente plausible, pon el cronómetro y mide cuánto tardas en reunir el contenido de la notificación. El primer intento será duro. Mejor aprenderlo en octubre que en pleno incidente.

Prepara el paquete de evidencia. Decide ya qué entregarías a un evaluador y en qué formato. Políticas, revisiones de acceso, postura de cifrado, registros de garantía a proveedores y una auditoría recuperable forman el núcleo. Usa un análisis de distancia NIS 2 interno para ver qué falta y dimensiona el esfuerzo frente a costes realistas de cumplimiento NIS 2, para que la conversación presupuestaria llegue antes que el plazo.

Nada de esto requiere la Asamblea. Todo será exigido por quien responda ante ANSSI primero.

Para saber más sobre cómo construir evidencia lista para auditoría de NIS 2 en correo electrónico, uso compartido y transferencia gestionada de archivos, solicita una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog La batalla por tus datos: cómo las leyes CLOUD y SHIELD enfrentan seguridad y privacidad
• Artículo del Blog Protege datos sensibles mapeando DSPM con tus objetivos de cumplimiento
• Resumen Las 3 principales infracciones FERPA y cómo evitarlas
• Artículo del Blog Orden Ejecutiva 14117: Protegiendo los datos personales sensibles de los estadounidenses
• Artículo del Blog ¿Necesitas cumplimiento NIS2? Empieza con ISO 27001