Cuando se habla de la ley española de ciberseguridad, la conversación termina casi siempre en que sigue sin aprobarse, y el sector la archiva como un asunto de informática. En su anexo de sectores regulados, entre la gestión de residuos y la investigación científica, figura la seguridad privada.
En resumen: El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad incorpora la seguridad privada a los sectores sujetos a obligaciones, una decisión propia de España que la Directiva NIS2 no imponía. Este artículo explica qué supondría para una empresa de vigilancia y qué le exige ya hoy el Esquema Nacional de Seguridad.
El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad es la norma con la que España traspone la Directiva (UE) 2022/2555, conocida como NIS2. El Consejo de Ministros lo aprobó el 14 de enero de 2025, a propuesta conjunta de los ministerios del Interior, Defensa y Transformación Digital. Se anunció con tramitación urgente. A mediados de 2026 continúa sin publicarse en el BOE.
El plazo europeo venció el 17 de octubre de 2024. España lo incumplió, y la Comisión Europea remitió un dictamen motivado en mayo de 2025, el paso formal previo a llevar el asunto ante el Tribunal de Justicia de la UE. Por vías laterales sí ha entrado algo de NIS2 en el ordenamiento: el Real Decreto-ley 7/2025, de 24 de junio, de refuerzo del sistema eléctrico, incorporó una parte de la directiva aprovechando un vehículo normativo de urgencia ajeno a la ciberseguridad.
Conviene separar dos cosas que suelen mezclarse. El calendario español es incierto; el contenido de fondo, no. Las obligaciones nacen de la directiva, están fijadas desde 2022 y no van a cambiar sustancialmente por el trámite parlamentario. Lo que la ley española decide es a quién se las aplica.
NIS2 no menciona la seguridad privada. España la ha añadido. El anteproyecto sitúa el sector entre los de menor criticidad, junto a los servicios postales y de mensajería, la gestión de residuos, la industria química, la producción y distribución de alimentos, los proveedores de servicios digitales y la investigación científica. Es una de las dos ampliaciones nacionales del texto; la otra es la industria nuclear, incorporada a los sectores de alta criticidad.
La consecuencia práctica cambia el planteamiento por completo. En otros países, una empresa de vigilancia queda fuera del listado y solo nota la norma cuando un cliente regulado le traslada exigencias por contrato. En España, con el anteproyecto en la mano, la empresa de seguridad es sujeto obligado por derecho propio.
El criterio de tamaño es el general de la norma: 50 o más trabajadores, o un volumen de negocio superior a 10 millones de euros. En un sector donde una compañía de vigilancia de tamaño medio supera los 50 vigilantes sin dificultad, ese umbral no filtra gran cosa. El Gobierno calculó más de 5.700 empresas en el ámbito directo de aplicación repartidas entre todos los sectores.
Quedar clasificado como entidad importante y no como esencial marca una diferencia relevante en la supervisión: las esenciales se someten a control proactivo, con inspecciones que no requieren un incidente previo; las importantes, a control reactivo, es decir, la autoridad actúa cuando hay indicios de incumplimiento. Las obligaciones de fondo son las mismas. Lo que cambia es cuándo llega la pregunta.
Las obligaciones que recoge el anteproyecto para las entidades incluidas se resumen en cinco bloques: evaluación individualizada de riesgos, medidas de seguridad sobre las redes y sistemas de información propios, evaluación de los terceros con acceso a datos críticos, designación de un responsable de la seguridad de la información y notificación de incidentes.
La notificación sigue el esquema escalonado de la directiva: alerta temprana en 24 horas desde que se tiene conocimiento del incidente, notificación con valoración en 72 horas e informe final en el plazo de un mes. El reloj arranca con el conocimiento, no con el cierre del análisis interno. Para una empresa que trabaja a turnos y reparte la información entre el vigilante del objeto, el jefe de servicio y la oficina, 24 horas se consumen antes de lo que parece.
Hay un detalle del anteproyecto que pasa desapercibido y que ordena bien las prioridades. Al regular el control estatal sobre determinado personal de ciberseguridad, el texto toma como referencia el protocolo de comprobación de honorabilidad y antecedentes que ya se aplica a los ingenieros y técnicos de seguridad privada. El legislador considera el modelo del sector lo bastante sólido como para exportarlo. El problema del sector no está, por tanto, en el control de las personas. Está en la trazabilidad de lo que esas personas hacen durante el turno.
Mientras el anteproyecto avanza, existe una norma en vigor desde 2022 que alcanza a buena parte del sector y que rara vez se lee en clave de vigilancia: el Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad. El ENS se aplica a los sistemas de información del sector público y, expresamente, a sus proveedores. Quien presta servicio en un edificio de una administración pública está dentro.
Su anexo II organiza 75 medidas en tres marcos y dieciséis familias. Una de ellas, mp.if, cubre la protección de las instalaciones e infraestructuras. Dos medidas concretas describen el trabajo de un servicio de vigilancia con una precisión notable: mp.if.1, áreas separadas y con control de acceso, que obliga a compartimentar los locales de modo que el acceso a cada área esté controlado y registrado, y mp.if.2, identificación de las personas. El artículo 17 de la norma regula la autorización y el control de los accesos, y el 18, la protección de las instalaciones.
Un contrato público de vigilancia sobre un edificio con sistemas incluidos en el ENS ya obliga hoy a producir ese registro. La diferencia con la futura ley de ciberseguridad es de destinatario, no de naturaleza: en el ENS, la evidencia se entrega al cliente público; con la ley aprobada, la empresa respondería además por sí misma. Quien tenga ya ordenada la documentación del control de accesos habrá hecho la mitad del trabajo cuando el texto salga del Congreso. Es la misma lógica que rige lo que exigen realmente las licitaciones de seguridad privada: el pliego no pregunta si el servicio se presta, pregunta cómo se demuestra.
El régimen sancionador del anteproyecto reproduce el de la directiva: hasta 10 millones de euros o el 2 por ciento de la facturación mundial para entidades esenciales, y hasta 7 millones de euros o el 1,4 por ciento para entidades importantes, que es la categoría en la que caería una empresa de seguridad. Las infracciones se gradúan en leves, graves y muy graves, con un tramo inferior que arranca en 10.000 euros.
El texto va más allá de la multa a la sociedad y atribuye responsabilidad a los miembros de los órganos de dirección. En una empresa de vigilancia mediana, donde la dirección conoce cada contrato, esa responsabilidad no se diluye en un comité. Recae sobre personas concretas. Hasta dónde llega en la práctica dependerá del texto final y de cómo lo interpreten los tribunales, así que conviene contrastarlo con el asesor jurídico propio antes de dar nada por hecho.
Una advertencia sobre el calendario, porque circula mucha fecha suelta. El anteproyecto no fija todavía un día de entrada en vigor conocido, y algunas previsiones que apuntan a finales de 2026 dependen por completo del avance parlamentario. Planificar contra una fecha concreta sería un error. Planificar contra el contenido, no.
Ninguna exige inversión previa y las tres sirven igual si la ley se retrasa otro año.
La tercera comprobación es la que suele fallar, y casi nunca por falta de rigor del personal. Falla porque el dato está repartido: el acceso a la sala técnica anotado en un libro en la garita, la incidencia enviada por WhatsApp al jefe de servicio, el relevo transmitido de palabra. Reconstruir un turno con esas tres fuentes lleva horas, y el resultado no resiste una revisión externa.
Un sistema de control de rondas resuelve el problema en el origen, registrando el trabajo en el momento en que se hace. En COREDINATE, cada lectura de un punto de control queda anotada en el libro de novedades digital con marca de tiempo inalterable, de modo que la pregunta sobre quién estuvo en qué acceso y a qué hora se responde con una consulta y no con una reconstrucción. La gestión de incidencias permite documentar un suceso sobre el terreno con fotografía y ubicación y enviarlo de inmediato a quien corresponda, que es lo que hace viable un plazo de 24 horas. Y el acceso opcional para clientes permite dar al cliente público sujeto al ENS acceso de lectura a los registros de su propio contrato, sin correo intermedio.
Los servidores están en Alemania y el tratamiento se ajusta al RGPD, un punto que los pliegos públicos españoles vienen concretando cada vez más.
No. El Consejo de Ministros aprobó el anteproyecto el 14 de enero de 2025, pero a mediados de 2026 el texto sigue en tramitación y no se ha publicado en el BOE. El plazo europeo venció el 17 de octubre de 2024 y la Comisión Europea remitió a España un dictamen motivado en mayo de 2025 por el retraso.
Sí. El anteproyecto incorpora la seguridad privada a los sectores de menor criticidad, junto a los servicios postales, la gestión de residuos, la industria química, la alimentación, los proveedores de servicios digitales y la investigación científica. Es una adición española que la Directiva NIS2 no exigía. Una empresa con 50 o más trabajadores, o más de 10 millones de euros de facturación, quedaría clasificada como entidad importante.
Análisis de riesgos documentado, medidas de seguridad sobre sus propios sistemas, evaluación de los terceros con acceso a datos críticos, designación de un responsable de la seguridad de la información y notificación de incidentes significativos en tres fases: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
El Esquema Nacional de Seguridad alcanza a los proveedores de los sistemas del sector público. Su anexo II incluye la familia de medidas de protección de las instalaciones, con mp.if.1 (áreas separadas y con control de acceso) y mp.if.2 (identificación de las personas). Quien vigila un edificio de una administración pública ya produce hoy parte de esa evidencia, aunque no la tenga ordenada como tal.
Hasta 10 millones de euros o el 2 por ciento de la facturación mundial para entidades esenciales, y hasta 7 millones de euros o el 1,4 por ciento para entidades importantes. Las infracciones se clasifican en leves, graves y muy graves, con multas que arrancan en 10.000 euros, y el texto atribuye responsabilidad a los miembros de los órganos de dirección.
¿Cuánto tardaría hoy en acreditar quién accedió a una sala técnica en un turno de hace tres semanas? Hable con nuestro equipo comercial o solicite el kit de prueba de 14 días con dispositivos reales.