La Comisión lleva a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber transpuesto las normas sobre ciberseguridad
La Comisión Europea ha decidido hoy llevar a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber notificado las medidas de transposición al Derecho nacional de la Directiva SRI 2 sobre la seguridad de las redes y los sistemas de información [Directiva (UE) 2022/2555].
La Directiva refuerza la ciberseguridad de la UE al establecer normas estrictas para las entidades que operan en dieciocho sectores críticos, como la salud, la energía, el transporte y el sector público. Su plena aplicación es esencial para mejorar la resiliencia de la UE y las capacidades de respuesta en caso de incidentes de las entidades públicas y privadas que operan en estos sectores críticos y de la UE en su conjunto.
Los Estados miembros tenían de plazo hasta el 17 de octubre de 2024 para transponer esta Directiva. Aunque la mayoría cumplieron con esa fecha límite, España, Francia, Irlanda y los Países Bajos aún no han notificado la plena transposición. La Comisión envió cartas de emplazamiento el 28 de noviembre de 2024 y dictámenes motivados el 7 de mayo de 2025. Las remisiones incluyen una solicitud al Tribunal para que imponga sanciones financieras consistentes en una cantidad a tanto alzado y multas diarias hasta la notificación de la transposición completa.
Contexto
La ciberseguridad implica la protección de las redes y los sistemas de información, los usuarios y las personas afectadas frente a incidentes y amenazas cibernéticos. Dado que las ciberamenazas van en aumento, la Directiva SRI 2 exige a los Estados miembros que refuercen sus capacidades de ciberseguridad e introduzcan medidas de gestión de riesgos y obligaciones de notificación de incidentes para las entidades de dieciocho sectores críticos.
El 20 de enero de 2026, como parte de un paquete de ciberseguridad, la Comisión propuso modificaciones específicas de la Directiva SRI 2 para aportar una mayor claridad jurídica. Las modificaciones facilitan el cumplimiento de las normas de ciberseguridad y los requisitos de gestión de riesgos por parte de las empresas que operan en la UE.
Más información
Procedimiento de infracción de la UE
Base de datos de las decisiones sobre infracciones y mapa y gráficos de infracciones
Paquete de procedimientos de infracción de julio de 2026
Procedimiento de infracción contra Irlanda [INFR(2024)0279]
Procedimiento de infracción contra España [INFR(2024)0270]
Procedimiento de infracción contra Francia [INFR(2024)0274]
Procedimiento de infracción contra los Países Bajos [INFR(2024)0288]
