El 17 de octubre de 2026 se cumplieron dos años del fin del plazo de transposición de la Directiva NIS2, y ni España ni Irlanda tenían en vigor, al cierre de este análisis, una ley que la incorpore. Ambos países fueron llevados ante el Tribunal de Justicia de la UE el 8 de julio de 2026, con petición de sanciones económicas. Para los titulares de marca, el retraso importa por el artículo 28 de la NIS2: la norma que obliga a los registros de dominios y a los registradores a mantener datos exactos y a responder en 72 horas a las solicitudes de acceso legítimas sigue sin ley nacional que la respalde para los proveedores establecidos en esos dos países.
En resumen
- La Directiva NIS2 debía transponerse a más tardar el 17 de octubre de 2024 y aplicarse desde el 18 de octubre de 2024 (artículo 41).
- El anteproyecto español de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en primera vuelta el 14 de enero de 2025; a principios de octubre de 2026 no había llegado al Congreso ningún proyecto de ley.
- La National Cyber Security Bill irlandesa seguía en la lista de prioridades de publicación del Gobierno; a principios de octubre de 2026 no figuraba entre los proyectos del Oireachtas.
- La Comisión ha pedido al Tribunal una suma a tanto alzado y multas coercitivas diarias hasta que se notifique la transposición completa.
- Mientras tanto, obtener datos de titulares de registros y registradores establecidos en España o Irlanda depende de sus propias políticas y de las herramientas de la ICANN para los dominios genéricos.
¿Cómo va la transposición de la NIS2 en España e Irlanda?
El artículo 41 de la Directiva (UE) 2022/2555 (NIS2) obligaba a los Estados miembros a adoptar y publicar sus medidas de transposición a más tardar el 17 de octubre de 2024. La Comisión Europea indicó el 8 de julio de 2026 que la mayoría lo había hecho, pero que Irlanda, España, Francia y Países Bajos aún no habían notificado la transposición completa.
| Paso | España | Irlanda |
|---|---|---|
| Texto de partida | Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado en primera vuelta por el Consejo de Ministros el 14 de enero de 2025 (La Moncloa) | Esquema general de la National Cyber Security Bill, publicado en 2024 (Law Society Gazette) |
| Notificación a la Comisión | Notificado como proyecto de reglamento técnico el 21 de febrero de 2025; el periodo de statu quo terminó el 26 de mayo de 2025 (TRIS 2025/0104/ES) | Sin texto del proyecto publicado todavía |
| Procedimiento de la Comisión | Carta de emplazamiento el 28 de noviembre de 2024, dictamen motivado el 7 de mayo de 2025 y recurso ante el Tribunal el 8 de julio de 2026 | Mismas fechas |
| Situación a principios de octubre de 2026 | Ningún proyecto de ley sobre la NIS2 entre los que recogen los datos abiertos del Congreso de los Diputados | Prioridad de publicación en el programa legislativo de otoño de 2026, según William Fry (17 de septiembre de 2026); no figura en la base de datos de proyectos del Oireachtas |
En ambos países, el siguiente hito visible es que el texto llegue al parlamento. En España, eso exige la segunda vuelta en el Consejo de Ministros; en Irlanda, la publicación del proyecto.
¿Qué ocurre en el Tribunal de Justicia?
El recurso de la Comisión pide al Tribunal que imponga sanciones económicas: una suma a tanto alzado y multas coercitivas diarias hasta que el Estado notifique la transposición completa. El recurso no cambia por sí solo las obligaciones de registros y registradores, porque las sanciones recaen sobre el Estado y no sobre las empresas; lo que hace es aumentar la presión para legislar. Al cierre de este análisis, el Tribunal no se había pronunciado en ninguno de los dos asuntos.
¿Qué cambia la transposición de la NIS2 para los registros de dominios?
El artículo 28 de la Directiva obliga a los Estados miembros a imponer las siguientes obligaciones a los registros de dominios de primer nivel y a las entidades que prestan servicios de registro de nombres de dominio, a las que la Directiva se aplica con independencia de su tamaño (artículo 2.4):
- Recopilar y mantener datos de registro precisos y completos, de conformidad con el Derecho de la Unión en materia de protección de datos.
- Incluir al menos el nombre de dominio, la fecha de registro, el nombre del solicitante, su correo y su teléfono de contacto, y los del punto de contacto que administre el dominio si es distinto.
- Contar con políticas y procedimientos públicos, incluidos procedimientos de verificación.
- Hacer públicos, sin demora indebida tras el registro, los datos que no sean de carácter personal.
- Dar acceso a datos específicos, previa solicitud lícita y debidamente justificada, a los solicitantes de acceso legítimos, y responder sin demora indebida y, en cualquier caso, en 72 horas.
Según el artículo 26, los registros y los prestadores de servicios de registro quedan sometidos a la jurisdicción del Estado miembro en el que tengan su establecimiento principal en la UE. Por eso, el titular de una marca que persigue a un ciberocupante necesita saber dónde está establecido el registrador, no dónde se usa el dominio.
¿Qué puede obtener hoy el titular de derechos en .es, .ie y los dominios genéricos?
- .ie: según la política de servicios WHOIS de .ie, vigente desde el 16 de noviembre de 2020, el nombre del titular se publica cuando es una persona jurídica (sociedad constituida u organización benéfica registrada en la isla de Irlanda), pero no cuando es una persona física, salvo que lo consienta. Siempre aparece el contacto de abuso del registrador.
- .es: Red.es exige datos exactos y considera los datos falsos o incorrectos causa de cancelación, pero la obligación de dar acceso en 72 horas del artículo 28 solo vinculará a los registradores establecidos en España cuando la ley esté en vigor.
- Dominios genéricos: el Servicio de Solicitud de Datos de Registro (RDRS) de la ICANN permite a los profesionales de la propiedad intelectual, entre otros, pedir datos de registro no públicos. La Junta de la ICANN decidió mantenerlo hasta dos años más tras el fin del piloto en noviembre de 2025. No cubre los ccTLD.
Ninguna de estas vías exige conocer al titular antes de actuar. Según el párrafo 3(b)(v) del Reglamento de la UDRP, el procedimiento de la ICANN para recuperar dominios genéricos, puede presentarse una demanda contra un titular no identificado, y el proveedor facilita después los datos que obtiene del registrador.
Qué significa para su empresa
- Identifique dónde tienen su establecimiento principal en la UE los registradores de los dominios infractores; de ello depende que el artículo 28 tenga ya fuerza nacional.
- Redacte cada solicitud de datos como lícita y debidamente justificada: sus derechos, el dominio, los datos concretos que necesita y para qué.
- Guarde un registro fechado de cada solicitud y respuesta; cuando la transposición esté completa, el plazo de 72 horas será una palanca útil.
- No deje que una solicitud pendiente paralice la defensa: presente la demanda UDRP o del ccTLD cuando tenga la prueba lista.
- Revise también sus propios dominios: tener datos de titular exactos le evita problemas de verificación cuando las nuevas normas entren en vigor.
Nuestro equipo de disputas de dominios e identificación de titulares ante registradores de la UE puede preparar y seguir estas solicitudes. Dentro del mismo grupo, META Channel asesora a las empresas que entran en el ámbito de la NIS2 sobre sus propias obligaciones de cumplimiento.
Dónde se suelen equivocar las empresas
- Dar por hecho que la NIS2 ya se aplica en todas partes. Una solicitud a un registrador establecido en España o Irlanda todavía no puede apoyarse en una obligación nacional de responder en 72 horas.
- Enviar solicitudes genéricas. Una petición que no explica la base jurídica ni la finalidad es fácil de rechazar, diga lo que diga la ley.
- Mirar al país equivocado. La ley aplicable la decide el establecimiento principal del registrador, no la extensión ni el idioma de la web.
- Esperar a tener los datos para actuar. Los ciberocupantes mueven los nombres, y según el Reglamento de la UDRP el registrador solo bloquea el dominio una vez presentada la demanda.
- Olvidar el seguimiento. Los datos obtenidos pueden llevar a otros dominios del mismo titular; nuestro equipo de defensa de la PI puede coordinar los siguientes pasos, incluida la vía judicial si hace falta.
Preguntas frecuentes
¿Ha transpuesto España la Directiva NIS2?
No al cierre de este análisis. El Consejo de Ministros aprobó en primera vuelta el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, y se notificó a la Comisión en febrero de 2025. A principios de octubre de 2026 no figuraba ningún proyecto de ley sobre la NIS2 en el Congreso, y España había sido llevada ante el Tribunal de Justicia.
¿Ha transpuesto Irlanda la Directiva NIS2?
No al cierre de este análisis. El esquema general de la National Cyber Security Bill se publicó en 2024 y el proyecto seguía siendo prioridad de publicación en el programa de otoño de 2026. A principios de octubre de 2026 no figuraba entre los proyectos del Oireachtas, e Irlanda había sido llevada ante el Tribunal de Justicia en julio de 2026.
¿Puede el titular de una marca obtener datos del titular de un dominio de un registrador en España o Irlanda?
Puede pedirlos, y muchos registradores tienen procedimientos de divulgación, pero hasta que se transponga la NIS2 no hay una norma nacional que obligue a responder en 72 horas. Para los dominios genéricos, el RDRS de la ICANN ofrece un canal normalizado. También puede presentarse una demanda UDRP sin conocer al titular; el proveedor obtiene los datos del registrador.
¿Puede IP Global Guard encargarse de las solicitudes de datos y de las disputas de dominios?
Sí. Preparamos solicitudes lícitas y justificadas a registros y registradores, seguimos las respuestas y presentamos demandas UDRP o de ccTLD cuando la prueba lo permite. Para registradores y tribunales fuera de nuestro alcance directo, coordinamos corresponsales locales cualificados en Europa, Latinoamérica y África desde un único punto de contacto.
Cómo le ayuda IP Global Guard mientras llega la transposición
El retraso en España e Irlanda no impide actuar a los titulares de marca; cambia cómo deben redactarse las solicitudes y qué herramientas tienen peso. IP Global Guard, línea de propiedad industrial e intelectual de META Channel Corporation Limited, combina la defensa de dominios con la práctica regulatoria del grupo en NIS2, en más de 25 jurisdicciones de Europa, Latinoamérica y África; consulte nuestra cobertura.
Envíenos los dominios contra los que quiere actuar y los registradores implicados. Le diremos qué normas se aplican, qué pedir y cómo seguir si no hay respuesta. Hable con nuestro equipo de defensa de dominios.
Este artículo es información general y no constituye asesoramiento jurídico; refleja el estado de la transposición al cierre de su redacción.
Fuentes
- EUR-Lex, Directiva (UE) 2022/2555 (NIS2), artículos 2, 26, 28 y 41 (14 de diciembre de 2022)
- Comisión Europea, recurso contra Irlanda, España, Francia y Países Bajos ante el Tribunal de Justicia (8 de julio de 2026)
- Law Society Gazette Ireland, Ireland referred to CJEU over cyber bill (8 de julio de 2026)
- La Moncloa, rueda de prensa del Consejo de Ministros (14 de enero de 2025)
- Comisión Europea, notificación TRIS 2025/0104/ES (21 de febrero de 2025)
- Congreso de los Diputados, datos abiertos de iniciativas legislativas (consultado el 2 de octubre de 2026)
- William Fry, Government legislative priorities for Autumn 2026 (17 de septiembre de 2026)
- Houses of the Oireachtas, base de datos de proyectos de ley (consultada el 2 de octubre de 2026)
- .ie, WHOIS Services Policy (vigente desde el 16 de noviembre de 2020)
- Red.es (dominios.es), Preguntas frecuentes (consultado en octubre de 2026)
- ICANN, Registration Data Request Service (RDRS)
- ICANN, Reglamento de la UDRP (actualizado el 21 de febrero de 2024), párrafos 3(b)(v) y 4(b)
