La Directiva (UE) 2022/2555, conocida como NIS2, sustituye a la primera Directiva NIS y cambia la escala del problema. La anterior afectaba a un número reducido de operadores de servicios esenciales designados uno a uno por cada Estado. NIS2 funciona al revés: si tu empresa pertenece a uno de los sectores de sus anexos y supera el umbral de tamaño, estás dentro, te haya avisado alguien o no. Por eso la primera pregunta útil no es «qué controles necesito», sino «¿me aplica?», y la respuesta tiene tres partes: sector, tamaño y país.
Al ser una directiva, NIS2 no se aplica directamente: cada Estado miembro la incorpora con su propia ley. El plazo de transposición terminó el 17 de octubre de 2024 y muchos países llegaron tarde, así que el detalle práctico (registro, autoridad competente, régimen sancionador concreto) depende de la ley nacional de cada país donde operas. Conviene comprobar en qué punto está esa ley antes de fijar un calendario, pero no conviene esperar a ella para empezar: las obligaciones de fondo están en la directiva y no van a cambiar.
¿Te aplica NIS2?
Sector. El anexo I recoge los sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable y residual, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio. El anexo II recoge otros sectores críticos: servicios postales, gestión de residuos, fabricación y distribución de sustancias químicas, producción y distribución de alimentos, fabricación (productos sanitarios, electrónica, maquinaria, vehículos y otros), proveedores digitales como mercados en línea y motores de búsqueda, e investigación.
Tamaño. Como regla general entran las medianas y grandes empresas: a partir de 50 empleados, o con un volumen de negocio y un balance anuales superiores a 10 millones de euros. Hay excepciones que entran sea cual sea su tamaño, como los proveedores de servicios DNS, los registros de nombres de dominio de primer nivel o los prestadores cualificados de servicios de confianza.
Esencial o importante. Las grandes empresas de los sectores del anexo I son, por norma general, entidades esenciales; las medianas de esos sectores y las entidades del anexo II son importantes. Hay excepciones que son esenciales sea cual sea su tamaño: los prestadores cualificados de servicios de confianza, los registros de nombres de dominio de primer nivel, los proveedores de servicios DNS, la Administración pública central y las entidades designadas como críticas conforme a la Directiva (UE) 2022/2557. Las obligaciones de fondo son las mismas para ambas categorías. Cambian la supervisión (las esenciales pueden ser inspeccionadas de forma proactiva; las importantes, normalmente tras un indicio o un incidente) y las multas: la directiva obliga a los Estados a prever un importe máximo de al menos 10 millones de euros o el 2 % del volumen de negocio mundial anual, la cifra que sea mayor, para las esenciales, y de al menos 7 millones o el 1,4 % para las importantes. Son mínimos que la ley nacional puede elevar.
Un caso que suele pasarse por alto: los proveedores de servicios gestionados y de seguridad gestionada están en el anexo I. Si tu empresa opera sistemas de otras empresas y es mediana, probablemente estás dentro por ti misma, no solo como proveedor de un cliente regulado. Para este grupo de proveedores digitales, el Reglamento de Ejecución (UE) 2024/2690 concreta los requisitos técnicos con bastante más detalle que la directiva.
Las diez medidas del artículo 21
El artículo 21 exige medidas técnicas, operativas y organizativas «adecuadas y proporcionadas» a los riesgos, y enumera un mínimo que toda entidad debe cubrir:
- Políticas de análisis de riesgos y de seguridad de los sistemas de información.
- Gestión de incidentes.
- Continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
- Seguridad de la cadena de suministro, incluida la relación con cada proveedor directo.
- Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades.
- Políticas y procedimientos para evaluar la eficacia de las medidas.
- Prácticas básicas de ciberhigiene y formación.
- Políticas de criptografía y, cuando proceda, de cifrado.
- Seguridad de los recursos humanos, control de acceso y gestión de activos.
- Autenticación multifactor o continua y comunicaciones seguras, cuando proceda.
Nada de esta lista es exótico. Quien ya opera un sistema de gestión según ISO 27001 o está certificado en el Esquema Nacional de Seguridad tiene la mayor parte del trabajo hecho, y lo que falta suele ser la cadena de suministro y la evidencia de que las medidas se revisan. Lo que NIS2 añade es que la dirección responde: el artículo 20 obliga a los órganos de dirección a aprobar las medidas, supervisar su aplicación y formarse, y prevé que puedan responder personalmente por los incumplimientos.
Notificación de incidentes: 24 horas, 72 horas, un mes
Ante un incidente significativo, el artículo 23 fija tres entregas a la autoridad competente o al CSIRT: una alerta temprana en las primeras 24 horas desde que se tiene conocimiento, una notificación del incidente en 72 horas desde ese mismo momento, con una evaluación inicial, y un informe final como máximo un mes después de esa notificación. Si el incidente sigue en curso, se presenta un informe de situación y el informe final llega un mes después de resolverlo. En la práctica, las 24 horas solo se cumplen si ya está decidido quién clasifica un incidente como significativo, quién firma la notificación y a quién se envía. Eso se escribe antes, no durante.
La automatización ayuda justo aquí: recoger los registros, reconstruir la cronología y preparar el borrador de la notificación son tareas mecánicas que un flujo bien diseñado hace en minutos. La decisión de notificar sigue siendo de una persona.
La cadena de suministro te alcanza aunque no estés dentro
Aunque tu empresa no cumpla los criterios, tus clientes regulados tienen que gestionar el riesgo de cada proveedor directo, y lo trasladan por contrato. Espera cuestionarios de seguridad, cláusulas de notificación de incidentes, derechos de auditoría y preguntas sobre dónde están tus datos y quién tiene acceso. Tener las respuestas preparadas, con evidencias, acorta los procesos de compra de forma notable. Nuestra guía de preguntas de seguridad para un proveedor de automatización recoge el mismo ejercicio desde el lado del comprador.
Por dónde empezar
Primero, determina por escrito si estás dentro, en qué sector y con qué categoría, y en qué países. Segundo, haz un análisis de brechas frente al artículo 21 usando como base el marco que ya tengas (ISO 27001 o ENS). Tercero, prepara el procedimiento de notificación y ensáyalo con un caso simulado. Cuarto, revisa los contratos con tus proveedores críticos. Y por último, lleva el resultado a la dirección para su aprobación formal, porque esa aprobación también es una obligación.
Preguntas que nos hacen sobre esto
Las medianas y grandes empresas (a partir de 50 empleados, o con más de 10 millones de euros de volumen de negocio y de balance) que operan en alguno de los sectores de los anexos I y II de la directiva, más algunas entidades que entran sin importar su tamaño, como los proveedores de DNS, los prestadores cualificados de servicios de confianza o la Administración pública central. El detalle final lo fija la ley nacional de cada Estado miembro.
Las obligaciones de seguridad y notificación son las mismas. Cambian la supervisión, que para las esenciales puede ser proactiva y para las importantes suele ser a posteriori, y las multas: la directiva fija un importe máximo de al menos 10 millones de euros o el 2 % del volumen de negocio mundial para las esenciales, y de al menos 7 millones o el 1,4 % para las importantes. La ley nacional puede elevar esas cifras.
Alerta temprana en 24 horas desde que se tiene conocimiento de un incidente significativo, notificación con evaluación inicial en 72 horas desde ese mismo momento e informe final en el plazo de un mes desde la notificación de las 72 horas. Si el incidente sigue en curso, se presenta un informe de situación y el informe final llega un mes después de resolverlo.
Tienes buena parte del trabajo hecho, pero no es automático. Revisa sobre todo la seguridad de la cadena de suministro, el procedimiento de notificación con los plazos de NIS2, la aprobación y formación de la dirección, y que el alcance de tu certificación cubra los servicios que entran en NIS2.
Probablemente sí, si vendes a entidades que lo están. Deben gestionar el riesgo de sus proveedores directos y lo trasladan por contrato: cuestionarios, cláusulas de notificación de incidentes, derechos de auditoría y requisitos sobre la ubicación de los datos.
La directiva exige que los órganos de dirección aprueben las medidas de ciberseguridad, supervisen su aplicación y reciban formación, y prevé que puedan ser considerados responsables de los incumplimientos. El alcance concreto depende de la ley nacional de transposición.
Tráenos el proceso por el que leías esto
Evaluación confidencial dirigida por ingenieros sénior. Sin compromiso.