Andy Garcia · dev freelance
FRENES
Volver al blog
Ciber y ley

Francia retiró su proyecto de ley NIS2, con casi dos años de retraso. Su línea sobre los editores de software es discutida

19 de octubre de 2026 9 min de lectura

El martes 6 de octubre, la Conférence des présidents de la Asamblea Nacional de Francia, la reunión que fija el orden del día de la cámara, retiró un proyecto de ley de las sesiones del miércoles 7 y el viernes 9 de octubre. El acta oficial de la reunión lo dice en una línea: «retrait du projet de loi, adopté par le Sénat, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité».

Ese proyecto es la transposición francesa de NIS2, la directiva europea (UE) 2022/2555 que fija obligaciones de ciberseguridad a las entidades «esenciales» e «importantes» en 18 sectores. Los Estados miembros tenían hasta el 17 de octubre de 2024 para transponerla. El acta no da ningún motivo de la retirada. Archiva el cambio bajo las «semaines du Gouvernement», las semanas reservadas a los textos del Gobierno.

La Conférence volvió a reunirse el 13 de octubre y no reinscribió el texto. Mientras escribo, el 19 de octubre, no tiene nueva fecha. La próxima Conférence se reúne el 20 de octubre.

Soy CTO de una LegalTech construida sobre Claude, y construí BidForge, una IA que lee los expedientes de contratación pública franceses para pequeñas empresas. Así que leo este proyecto desde dos sillas: la de un editor de software, y la de un desarrollador cuyos usuarios venden a las regiones, departamentos y grandes ciudades que el texto nombra. Esto es lo que el cambio de agenda no dice.

Dos años, en fechas

El Gobierno presentó el proyecto en el Senado el 15 de octubre de 2024, dos días antes del plazo de transposición, por el procedimiento acelerado. El Senado lo aprobó el 12 de marzo de 2025 y lo envió a la Asamblea al día siguiente. Allí, una comisión especial recibió 505 enmiendas al texto del Senado y adoptó su propia versión el 10 de septiembre de 2025.

Después, durante un año no llegó nada al pleno. El 22 de septiembre de 2026, la Conférence des présidents inscribió el proyecto para el 7 de octubre, con el resto del debate el 9 de octubre. Dos semanas después, había desaparecido.

Bruselas lleva su propio calendario. La Comisión Europea envió a Francia una carta de emplazamiento el 28 de noviembre de 2024 y un dictamen motivado el 7 de mayo de 2025. El 8 de julio de 2026, remitió a Francia, España, Irlanda y los Países Bajos al Tribunal de Justicia de la UE por no haber notificado la transposición completa. «Aunque la mayoría cumplió», dice el comunicado, estos cuatro no lo han hecho. La Comisión pidió al Tribunal que imponga «una suma a tanto alzado y multas diarias hasta la notificación de la transposición completa».

Un detalle más hace que el objetivo se mueva. El 20 de enero de 2026, la Comisión propuso modificaciones puntuales de la propia NIS2, para dar «mayor seguridad jurídica». Francia llega tarde a una directiva que ya se está revisando.

Y el pleno está ocupado. El calendario que la Conférence fijó el 29 de septiembre sitúa la segunda parte del proyecto de presupuestos de 2027 en el pleno del 27 de octubre al 16 de noviembre, con una votación solemne el 17 de noviembre.

Qué dice el texto en espera

El texto que la Asamblea iba a debatir es la versión de la comisión especial del 10 de septiembre de 2025. Unas líneas importan a cualquiera que construya o compre software.

El ámbito, por tamaño. Una empresa de un sector «de importancia crítica elevada» es una entidad esencial si emplea al menos a 250 personas, o si su facturación anual supera los 50 millones de euros y su balance supera los 43 millones de euros. Una empresa de un sector de importancia crítica elevada o crítica pasa a ser entidad importante con 50 empleados, o con facturación y balance superiores cada uno a 10 millones de euros. El informe de la comisión cita el estudio de impacto del proyecto: 15.000 entidades afectadas.

Las multas. Hasta 10 millones de euros o el 2 % de la facturación mundial del ejercicio anterior para las entidades esenciales, y 7 millones de euros o el 1,4 % para las importantes, aplicándose la cifra más alta, «proporcionada a la gravedad del incumplimiento». La aritmética es simple: los dos porcentajes alcanzan su importe fijo con 500 millones de euros de facturación. Por debajo, el tope es el importe fijo. Para un editor con 2 millones de euros de ingresos, el 2 % serían 40.000 euros, pero el tope es de 10 millones.

El reloj de los incidentes. Tras tener conocimiento de un incidente significativo, una entidad envía a la ANSSI, la agencia nacional de ciberseguridad, una primera notificación en 24 horas, una intermedia en 72 horas y un informe final como máximo un mes después. También avisa a los destinatarios de sus servicios, «sin demora injustificada», cuando el incidente les afecta directamente.

Los proveedores. Las medidas de gestión de riesgos deben proteger las redes y los sistemas de información «incluso en caso de subcontratación». La ANSSI espera que las entidades afectadas sean sobre todo empresas medianas y grandes, entidades locales y administraciones. Esa cláusula es la vía por la que una ley así puede alcanzar a los pequeños proveedores que les venden.

La línea sobre los editores de software

El artículo 8 enumera las entidades esenciales. En la versión del Senado, el apartado 6.º decía: «Les fournisseurs de services de système de noms de domaine», los proveedores de servicios DNS. En la versión de la comisión de la Asamblea, dice: «Les fournisseurs de services de système de noms de domaine et les éditeurs de logiciels.» Los editores de software.

El informe de la comisión dice de dónde viene: una enmienda de Véronique Riotton, adoptada en comisión, «incluant les entreprises éditrices de logiciels dans la liste des entités essentielles».

Léela junto al apartado 1.º. Las empresas de sectores de importancia crítica elevada pasan a ser esenciales con 250 empleados o con la prueba de facturación. La línea de los editores de software, como la del DNS a la que se añadió, no lleva ningún umbral de tamaño propio.

No iba a pasar sin oposición. Entre las enmiendas presentadas para el debate en el pleno, seis suprimen sin más «et les éditeurs de logiciels». Proceden de Philippe Latombe, que preside la comisión especial, de Éric Bothorel, su ponente general, de los diputados de Horizons Vincent Thiébaut y Marie-Agnès Poussier-Winsback, de diputados del Rassemblement National encabezados por Alexandre Sabatou, y del Gobierno. La enmienda del Gobierno, presentada el sábado 3 de octubre, califica la línea de «surtransposition manifeste de la directive NIS 2», una sobretransposición manifiesta. Sostiene que la directiva solo cubre una parte del sector (proveedores de nube, de servicios gestionados y de servicios de seguridad gestionados), por debajo de los umbrales de tamaño de los artículos 8 y 9, y que el Cyber Resilience Act europeo, que según dice entra en vigor en 2027, cubre la seguridad de los productos que venden los editores. El Gobierno ha retirado desde entonces esa enmienda, pero la de Bothorel hace el mismo recorte con el mismo argumento y sigue pendiente. El Rassemblement National también presentó una enmienda de repliegue que aplicaría los umbrales de tamaño del apartado 1.º. Y Véronique Riotton, cuya enmienda creó la línea, presentó una para sustituirla por una designación caso por caso por el Primer Ministro.

Así que no concluiría que todas las empresas de software francesas serán entidades esenciales. La línea tiene que sobrevivir a esas enmiendas, a un acuerdo con el Senado y a los decretos que definen subsectores y tipos de entidades. Pero es el texto que iba a debatirse. Si publicas software en Francia, es la línea que vigilar.

Qué cambia el retraso, y qué no

Cambia la fecha. Mientras una ley no se promulgue y sus decretos no se publiquen, las obligaciones de este proyecto no son derecho francés. El portal NIS2 de la ANSSI lo dice claramente: «La transposition de la directive NIS 2 en France est en cours.»

No cambia la dirección. El mismo portal invita a las futuras entidades esenciales e importantes a empezar «dès à présent», y ofrece un test en línea para comprobar si una organización está afectada y un servicio de preinscripción. La ANSSI también ha publicado una versión de trabajo de su Référentiel Cyber France (ReCyF), la lista de medidas que recomienda para cumplir los objetivos de NIS2. La ANSSI dice que está destinado a convertirse en «le socle de la réglementation cyber française» y que puede ajustarse para reflejar el debate parlamentario.

Los dos primeros objetivos del ReCyF no son nada exóticos. Enumerar todas las actividades y servicios, nombrar un responsable para cada uno y listar los sistemas de información que los sostienen. Hacer al máximo directivo responsable de la seguridad digital. Nada de eso espera una votación.

Qué haría este mes

Pasa dos veces el test de elegibilidad de la ANSSI: una para tu propia empresa, otra para tus tres mayores clientes. Si están afectados, la cláusula de subcontratación te hará parte de su cumplimiento, y un cliente que se prepara ahora no necesita la votación para pedírtelo.

Escribe el camino de las 24 horas. Quién nota un incidente, quién decide que es significativo, quién escribe a los clientes y desde qué lista. Si suministras a una entidad afectada, sus 24 horas empiezan cuando tiene conocimiento del incidente, así que querría que mi propia promesa de notificación a un cliente se midiera en horas, no en días.

Compara lo que ya haces con la versión de trabajo del ReCyF, empezando por el inventario y el responsable nombrado. No pulas la redacción: la ANSSI dice que el texto aún puede moverse. Si eres proveedor de nube, de servicios gestionados o de DNS, el texto de la comisión te remite más bien al Reglamento de Ejecución europeo 2024/2690.

Si publicas software, lee el artículo 8 del texto de la comisión y las enmiendas presentadas sobre él, y consulta cada martes el acta de la Conférence des présidents en el sitio de la Asamblea. Ahí reaparecerá el proyecto.

Bruselas ha pedido al Tribunal que cuente el retraso de Francia en días. El proyecto, cuando se apruebe, contará el tuyo en horas.

Fuentes

¿Un proyecto del mismo estilo?

Diseño y despliego productos como este. Hablemos.

Hablemos