Bruselas ya plantea imponer sanciones económicas
Óscar Puente. LA GACETA
Por Unai Cano
30 de octubre de 2026
El Gobierno de Pedro Sánchez lleva más de dos años sin incorporar al ordenamiento jurídico español la directiva europea NIS2, una normativa destinada a reforzar la ciberseguridad de las infraestructuras críticas que habría impuesto nuevas exigencias de control y protección sobre los sistemas informáticos de Adif. El retraso cobra especial relevancia después del accidente ferroviario ocurrido este miércoles en Urda (Toledo), donde una colisión entre un tren AVE y otro de Iryo ha vuelto a poner bajo sospecha el funcionamiento de los sistemas de seguridad y de control de la circulación.
La normativa europea, aprobada en diciembre de 2022, establecía que todos los Estados miembros debían haber completado su incorporación a la legislación nacional antes del 17 de octubre de 2024. Sin embargo, España continúa sin aprobar la correspondiente ley de transposición, una situación que ha provocado incluso que la Comisión Europea decidiera denunciar al Estado español ante el Tribunal de Justicia de la Unión Europea.
La decisión de Bruselas se anunció el pasado 8 de julio, después de que el Ejecutivo comunitario hubiera enviado advertencias formales a España por incumplir el calendario establecido. El procedimiento contempla la posibilidad de imponer sanciones económicas si persiste la falta de transposición.
La propia página oficial del Centro Criptológico Nacional (CCN), organismo adscrito al Centro Nacional de Inteligencia (CNI), reconoce expresamente que la directiva debería haberse incorporado a la legislación española antes del 17 de octubre de 2024.
El documento del CNI también identifica al transporte ferroviario como uno de los sectores de alta criticidad afectados por la normativa. En concreto, menciona a los administradores de infraestructuras y a las empresas ferroviarias, categorías en las que se encuadran Adif y Renfe.
La directiva contempla obligaciones relacionadas con la prevención de ciberataques, la identificación de vulnerabilidades, la gestión de incidentes, la continuidad de los servicios esenciales y la supervisión de los sistemas tecnológicos utilizados por estas entidades.
Las denuncias internas sobre los sistemas informáticos de Adif
El retraso en la aplicación de NIS2 coincide con las advertencias trasladadas a este periódico sobre el estado de determinados sistemas tecnológicos utilizados por Adif.
Una fuente conocedora del funcionamiento interno de la compañía denuncia que algunas herramientas y alarmas continúan utilizando sistemas operativos antiguos, entre ellos Windows XP, cuyo soporte general por parte de Microsoft finalizó en abril de 2014.
«Adif, al ser un sector de alta criticidad, estaría afectado por esta normativa, que implicaría cambiar sistemas internos y unas cuantas alarmas montadas que siguen funcionando con Windows XP», sostiene.
La fuente también cuestiona la respuesta de la empresa pública ante las necesidades de modernización tecnológica.
«La actitud interna es aplazar los problemas y no hacer nada hasta que les obliguen por ley», denuncia, aunque aclara que sus manifestaciones se refieren a la actuación interna de Adif y no a instrucciones que pueda atribuir directamente al Gobierno.
Estas afirmaciones plantean interrogantes sobre el mantenimiento y la actualización de determinadas herramientas informáticas. No obstante, la utilización de un sistema operativo antiguo no permite determinar por sí sola si una instalación incumple los requisitos de ciberseguridad, puesto que también deben examinarse su aislamiento, las medidas compensatorias y su exposición a posibles amenazas.
NIS2 tampoco establece una obligación específica de sustituir Windows XP, aunque sí contempla la gestión de vulnerabilidades, el mantenimiento seguro de los sistemas y la adopción de medidas proporcionadas a los riesgos.
Adif y Renfe sufrieron un incidente de ciberseguridad en septiembre
Las preocupaciones sobre la protección de las redes informáticas ferroviarias adquirieron una dimensión adicional el pasado 25 de septiembre, cuando Renfe reconoció públicamente haber sufrido un incidente de ciberseguridad relacionado con servidores de Adif que habían resultado previamente comprometidos.
Según explicó entonces la operadora pública, los atacantes pudieron acceder a información limitada de usuarios, principalmente nombres y direcciones de correo electrónico.
La compañía aseguró que había activado sus protocolos de respuesta, aislado los entornos afectados y recurrido a especialistas independientes para reforzar sus defensas.
Adif también reconoció la detección de actividad anómala en sus sistemas, aunque sostuvo que ninguna aplicación relacionada con la explotación ferroviaria había resultado afectada y que la circulación de los trenes se mantenía en condiciones normales.
El episodio evidenció la importancia de proteger las interconexiones informáticas entre las dos principales entidades públicas del sector ferroviario español.
Precisamente, uno de los objetivos de NIS2 es reforzar la gestión de los riesgos relacionados con la cadena de suministro, los proveedores tecnológicos y los sistemas de información utilizados para prestar servicios esenciales.
Una normativa europea que exige reforzar la prevención y el control
El artículo 21 de la directiva establece diez grandes grupos de medidas que deben aplicar las entidades incluidas en su ámbito de actuación.
Entre ellas figuran el análisis de riesgos, las políticas de seguridad, la gestión de incidentes, los planes de continuidad de actividad, la protección de las comunicaciones, el control de accesos y los procedimientos para detectar y corregir vulnerabilidades.
La normativa también atribuye mayores responsabilidades a los órganos de dirección de las entidades afectadas, que deben supervisar las medidas adoptadas y disponer de formación adecuada para comprender los principales riesgos de ciberseguridad.
Su transposición completa habría establecido un marco actualizado de supervisión y cumplimiento para organizaciones como Adif y Renfe.
No obstante, España ya dispone de otras disposiciones de ciberseguridad, como el Real Decreto-ley 12/2018 y el Esquema Nacional de Seguridad, aprobado mediante el Real Decreto 311/2022. Por tanto, la falta de transposición de NIS2 no significa que las empresas públicas ferroviarias estén exentas de obligaciones de protección informática.
El retraso legislativo sí ha impedido completar en plazo la incorporación del nuevo marco europeo y de sus mecanismos específicos de supervisión.