Introducción
El 6 de octubre de 2026, la conferencia de presidentes de la Asamblea Nacional francesa retiraba una vez más del orden del día el proyecto de ley sobre resiliencia de infraestructuras críticas. Este texto debía transponer al derecho francés tres directivas europeas: NIS2, DORA y la Directiva sobre Resiliencia de Entidades Críticas (CER). Resultado: sin fecha a la vista. El ponente Éric Bothorel menciona una posible reinserción «en los próximos quince días o tres semanas», una fórmula que ya se había escuchado en aplazamientos anteriores.
Detrás de este nuevo deslizamiento se esconde una aritmética incómoda. Francia debía haber transpuesto NIS2 antes del 17 de octubre de 2024. Dos años de retraso, un procedimiento abierto ante el Tribunal de Justicia de la Unión Europea desde el 8 de julio de 2026, y aproximadamente 15 000 organizaciones francesas navegando a la deriva.
Un calendario legislativo fragmentado
El texto no llega virgen al debate. La disolución de la Asamblea Nacional en junio de 2024 interrumpió un primer intento. La ley superó posteriormente el trámite del Senado a comienzos de 2025 y fue aprobada en comisión especial en septiembre de 2025, para quedar de nuevo bloqueada en el pleno desde entonces.
El calendario parlamentario no carga solo con la culpa. Un punto de fricción marcadamente político paraliza también los debates: el artículo 16 bis del texto, que prohíbe expresamente la integración de mecanismos técnicos que debiliten de forma deliberada la seguridad de los sistemas —es decir, las puertas traseras en herramientas de cifrado—. Esta disposición choca con la resistencia de los servicios de inteligencia, que quieren conservar capacidades de acceso a las comunicaciones cifradas. La Comisión Superior del Digital y los Correos ya había identificado esta cuestión como una línea de división política de calado estructural.
El coste concreto de la inacción
La Comisión Europea no optó por la paciencia indefinida. Tras una advertencia formal en noviembre de 2024 y un dictamen motivado en mayo de 2025, presentó el caso ante el Tribunal de Justicia de la Unión Europea el 8 de julio de 2026, junto con España, Irlanda y los Países Bajos. Las sanciones solicitadas combinan una suma a tanto alzado y multas coercitivas diarias calculadas hasta la notificación de la transposición completa.
Para las organizaciones francesas, las consecuencias son más inmediatas y menos mediáticas. NIS2 abarca más de 15 000 entidades: cualquier organización de más de 50 empleados o 10 millones de euros de facturación que opere en alguno de los 18 sectores críticos contemplados. Estas entidades se clasifican en dos categorías —esenciales e importantes— con obligaciones graduadas en materia de gobernanza de ciberseguridad, gestión de riesgos, notificación de incidentes y seguridad de la cadena de suministro.
Sin ley nacional aprobada, estas organizaciones se encuentran en un vacío jurídico incómodo: los principios rectores de la directiva son públicos desde hace meses, pero las modalidades precisas de aplicación nacional, los umbrales exactos, los plazos de cumplimiento y las condiciones de supervisión por parte de la ANSSI —la agencia francesa de ciberseguridad— siguen suspendidos en la incertidumbre.
Esperar no es una estrategia
Este retraso legislativo no suspende los riesgos de ciberseguridad que NIS2 pretendía abordar. Las organizaciones que esperaron al texto nacional para iniciar su diagnóstico de cumplimiento ya han perdido dos años de ventaja. Las que anticiparon —cartografiando sus sistemas críticos, reforzando su gobernanza de incidentes, auditando a sus proveedores clave— estarán en condiciones de ajustarse con rapidez en cuanto se promulgue la ley.
Para los directores de TI y los responsables de seguridad de la información, el mensaje es pragmático: el marco europeo existe y las obligaciones de la directiva son accesibles. Estructurar el proceso de cumplimiento sobre la base del texto de la directiva —con los ajustes necesarios cuando llegue la transposición nacional— sigue siendo mucho más razonable que suspender todo esfuerzo a la espera de que la Asamblea Nacional actúe.
El procedimiento ante el TJUE es una mala noticia para Francia. Convertirlo en una excusa adicional para seguir esperando sería el error que ninguna organización puede permitirse.