Comunicación de que la Comisión Europea ha informado que ha iniciado el plazo para emitir dictamen motivado sobre la vulneración del principio de subsidiariedad respecto de la Propuesta de Directiva del Parlamento Europeo y del Consejo por la que se modifica la Directiva (UE) 2022/2555 sobre medidas de simplificación y armonización con la [Propuesta de Reglamento sobre la Ciberseguridad 2] COM (2026) 13, de conformidad con lo previsto en el Protocolo (número 2) anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea sobre la aplicación de los principios de subsidiariedad y proporcionalidad, y asimismo, de la remisión de la citada iniciativa legislativa de la Unión Europea a las Asambleas Legislativas de las Comunidades Autónomas, en cumplimiento de lo dispuesto en el artículo 6.1 de la Ley 8/1994, de 19 de mayo

Resumen del informe de la Comisión (expediente 282/000141) – “Comunicación de que la Comisión Europea ha iniciado el plazo para emitir dictamen motivado sobre la vulneración del principio de subsidiariedad”

Tipo de documento: Informe de la Comisión – aprobado por asentimiento.

---

1. Argumentos a favor (defendidos por el Grupo Parlamentario Popular)

Tema	Argumento	Explicación sencilla
Necesidad de una normativa europea de ciberseguridad	El sector de la ciberseguridad es transfronterizo: un ataque a una infraestructura española afecta a redes francesas, alemanas, italianas, etc. Por eso la defensa de la ciberseguridad debe ser coordinada a nivel europeo.	La seguridad digital de un país está ligada a la de los demás; una defensa aislada no es eficaz.
Papel de ENISA y de la certificación europea	ENISA (Agencia de la UE para la Ciberseguridad) y un marco europeo de certificación son esenciales para crear normas comunes y garantizar la confianza en los proveedores de tecnología.	Tener una “agencia central” y normas comunes ayuda a que todos los países usen productos seguros.
Compatibilidad con el principio de subsidiariedad	Los informes del Gobierno que cuestionan la propuesta son contradictorios; aunque reconocen la amenaza, al mismo tiempo limitan la acción europea. El ponente sostiene que la propuesta respeta la subsidiariedad porque complementa, no sustituye, las competencias nacionales.	La UE solo actúa cuando la cuestión supera lo que pueden resolver los Estados por sí solos; la propuesta cumple con esa regla.
Coherencia con la estrategia nacional y europea	La propuesta se alinea con la estrategia española de ciberseguridad y con la directiva NIS2 (norma europea que obliga a los Estados a reforzar su seguridad digital).	La norma europea ya obliga a los países a mejorar; la propuesta refuerza esa obligación.
Beneficios para el mercado interior digital	Una normativa armonizada protege el mercado único digital, favorece la competitividad de las pymes y evita costes duplicados por regulaciones distintas en cada país.	Uniformizar reglas evita que las empresas tengan que cumplir con normas diferentes en cada Estado.

Resumen del argumento: El Grupo Popular, a través del diputado Cortés Carballo, defendió que la propuesta de directiva sobre ciberseguridad es necesaria, está alineada con la estrategia europea, respeta la subsidiariedad y aporta seguridad y competitividad al mercado digital.

---

2. Argumentos en contra (no se menciona en este fragmento del Diario de Sesiones)

No se menciona en este fragmento del Diario de Sesiones.

---

3. Resultado del debate y acuerdo

• Tras la exposición del informe, el presidente preguntó si se aprobaba “por asentimiento”.
• Los informes fueron aprobados por asentimiento, es decir, sin que ningún grupo presentara una oposición formal durante la votación.

---

4. Puntos clave para la ciudadanía

• Subsidiariedad: principio que obliga a la UE a intervenir solo cuando la acción a nivel nacional no es suficiente. El informe concluye que la propuesta cumple con este principio.
• ENISA: agencia europea que coordina la ciberseguridad; su refuerzo es parte central de la propuesta.
• NIS2: normativa europea que ya obliga a los Estados a mejorar su ciberseguridad; la nueva directiva complementa esa obligación.
• Aprobación: el informe fue aceptado sin voto en contra, lo que indica consenso entre los grupos presentes (al menos en lo que respecta al contenido del informe).

---

En síntesis: El informe de la Comisión sobre la posible vulneración del principio de subsidiariedad en la propuesta de directiva de ciberseguridad fue defendido por el Grupo Popular, que argumentó su necesidad y conformidad con la subsidiariedad. No se registraron intervenciones contrarias en el texto disponible. El informe fue aprobado por asentimiento, reflejando un acuerdo parlamentario sobre su contenido.

Informe de la Comisión Mixta para la Unión Europea (13 abril 2026) que evalúa, bajo el control de subsidiariedad, la propuesta del Parlamento Europeo y del Consejo para modificar la Directiva (UE) 2022/2555 (NIS2) y alinearla con la futura “Regulación sobre ciberseguridad 2”.

Contexto legal

• El control de subsidiariedad, establecido en el Protocolo de Lisboa y desarrollado en España por la Ley 24/2009, obliga a los Parlamentos nacionales a verificar que una iniciativa europea solo intervenga cuando los objetivos no puedan alcanzarse suficientemente a nivel nacional, regional o local.
• La Comisión Europea aprobó la propuesta y la remitió a los Parlamentos con un plazo de ocho semanas para el examen, que finaliza el 15 de abril 2026.

Valoración de la Comisión

• La propuesta se basa en el artículo 114 del Tratado de Funcionamiento de la UE, que permite la armonización para el funcionamiento del mercado interior.
• Se considera necesaria porque las ciberamenazas actuales (uso de IA, actores estatales) afectan a entidades esenciales y a sectores críticos en varios Estados miembros, generando fragmentación normativa, dificultades en la notificación de incidentes y sobrecarga regulatoria.
• La armonización a nivel de la UE permitiría:
  • Clarificar ámbito de aplicación, definiciones y obligaciones de notificación.
  • Facilitar el cumplimiento mediante una certificación europea única.
  • Reducir cargas regulatorias y evitar desigualdades en la transposición de la Directiva NIS2.
  • Mejorar la coordinación con ENISA, DORA, CER y la normativa 5G.
• Estos objetivos no pueden lograrse de forma suficiente por los Estados miembros de manera aislada, pero sí a escala de la Unión sin exceder lo necesario para un nivel de protección elevado.

Conclusión
La Comisión Mixta considera que la propuesta de modificación de la Directiva (UE) 2022/2555 cumple con el principio de subsidiariedad del Tratado de la UE.

Estado de la iniciativa
El informe, aprobado el 13 de abril 2026, cierra la fase de control de subsidiariedad (plazo hasta el 15 abril 2026) y será remitido al Pleno del Congreso para que emita su dictamen definitivo.