Comunicación de que la Comisión Europea ha informado que ha iniciado el plazo para emitir dictamen motivado sobre la vulneración del principio de subsidiariedad respecto de la Propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la Agencia de la Unión Europea para la Ciberseguridad (ENISA), el marco europeo de certificación de la ciberseguridad y la seguridad de las cadenas de suministro de TIC y por el que se deroga el Reglamento (UE) 2019/881 ('Reglamento sobre la Ciberseguridad 2') COM (2026) 11, de conformidad con lo previsto en el Protocolo (número 2) anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea sobre la aplicación de los principios de subsidiariedad y proporcionalidad, y asimismo, de la remisión de la citada iniciativa legislativa de la Unión Europea a las Asambleas Legislativas de las Comunidades Autónomas, en cumplimiento de lo dispuesto en el artículo 6.1 de la Ley 8/1994, de 19 de mayo

Resumen del informe de la Comisión sobre la subsidiariedad de la propuesta de Reglamento “Ciberseguridad 2” (expediente 282/000142)

Tipo de documento: Informe de la Comisión – aprobado por asentimiento.

---

Argumentos presentados a favor (Grupo Parlamentario Popular)

Tema	Argumentación principal
Necesidad de una respuesta europea coordinada	El ponente, Sr. Cortés Carballo, explicó que los ciberataques son transfronterizos y que la seguridad de España está íntimamente ligada a la de la UE. Señaló que la cooperación a través de ENISA y de normas comunes de certificación es esencial para proteger infraestructuras críticas.
Coherencia con la estrategia nacional	Se recordó que el Gobierno español reconoce la falta de un organismo central de ciberseguridad y que la propuesta europea complementa esa carencia.
Compatibilidad con la normativa existente	El informe indicó que la propuesta no genera duplicidades: la Directiva NIS2 ya contempla auditorías basadas en riesgos y el Esquema Nacional de Seguridad español mantiene revisiones periódicas.
Beneficios para el mercado interior digital	Se argumentó que la regulación armonizada protege el mercado único digital, favorece la competitividad de las pymes y evita costes operativos y jurídicos derivados de normas fragmentadas.
Conformidad con el principio de subsidiariedad	Según el ponente, tanto el Reglamento (COM 2026) 11 como la Directiva (COM 2026) 13 son “conformes con el principio de subsidiariedad”, pues la acción a nivel de la UE es necesaria y eficaz para abordar una amenaza que trasciende las fronteras nacionales.

Argumentos en contra / matices críticos

• No se registraron intervenciones de otros grupos parlamentarios que expresaran objeciones o matices respecto al informe de subsidiariedad. En el fragmento del Diario de Sesiones no aparecen debates ni preguntas de otros grupos sobre este punto.

Resultado de la votación

• Tras la exposición del informe, el Presidente preguntó si algún grupo deseaba intervenir; no hubo intervenciones.
• Se procedió a la aprobación por asentimiento del informe de la Comisión.

---

Conclusión: En el extracto del Diario de Sesiones, el único argumento registrado a favor del Reglamento “Ciberseguridad 2” proviene del Grupo Popular, que defendió la necesidad y la adecuación de la medida a nivel europeo y su conformidad con el principio de subsidiariedad. No aparecen en el texto oposiciones ni matices de otros grupos; el informe fue aprobado sin voto formal, mediante asentimiento.

Informe de la Comisión Mixta para la Unión Europea (13 abril 2026) sobre la propuesta de Reglamento europeo que crea una nueva Agencia de Ciberseguridad (ENISA), un marco único de certificación de ciberseguridad y normas para la seguridad de las cadenas de suministro de tecnologías de la información y la comunicación, derogando el actual Reglamento (UE) 2019/881.

Objetivo de la propuesta

• Coordinar a nivel europeo la respuesta a incidentes cibernéticos y reforzar el papel operativo de ENISA.
• Establecer un esquema europeo único de certificación para productos, servicios y procesos TIC, garantizando su seguridad.
• Proteger las cadenas de suministro de TIC, especialmente en sectores estratégicos como 5G, cloud e IoT.

Razón de la intervención de la UE
Las amenazas cibernéticas son transfronterizas y afectan infraestructuras críticas de varios Estados miembros. La fragmentación de normas nacionales dificulta el mercado único y genera asimetrías regulatorias; por tanto, la acción solo puede lograrse eficazmente a escala de la Unión.

Conclusión de la Comisión
Tras analizar la propuesta y los informes del Gobierno y de otras comunidades autónomas, la Comisión Mixta considera que la iniciativa respeta el principio de subsidiariedad del Tratado de la UE: los objetivos no pueden alcanzarse suficientemente por los Estados miembros de forma individual y la medida no excede lo necesario.

Situación actual

• El plazo de ocho semanas para el control de subsidiariedad concluyó el 15 abril 2026.
• La Comisión aprobó este informe el 13 abril 2026.
• El texto sigue pendiente de dictamen y votación en el Congreso de los Diputados y en el Senado, que decidirán su incorporación al proceso legislativo nacional.