NIS2 sustituyó a la primera Directiva NIS en octubre de 2024 y amplía su alcance: más sectores, más organizaciones y obligaciones más concretas para gestionar el riesgo, notificar los incidentes graves y responsabilizar a la dirección.
Como directiva, se aplica a través de la ley nacional de trasposición: las obligaciones exactas, las autoridades y el registro dependen de cada Estado miembro. El núcleo es común en toda la UE y conviene empezar pronto. Bien planteada, NIS2 es un mapa claro de dónde reforzar tus defensas.
A quién se aplica
Medianas y grandes organizaciones de sectores críticos
Anexo I, sectores de alta criticidad: energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable y residual, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
Otros sectores críticos
El anexo II añade servicios postales y de mensajería, gestión de residuos, química, alimentación, fabricación, proveedores digitales e investigación.
Algunas entidades, sea cual sea su tamaño
Proveedores de DNS, registros de dominios de primer nivel, prestadores de servicios de confianza y de comunicaciones electrónicas públicas entran aunque sean pequeños.
Esenciales o importantes
Depende de la criticidad y el tamaño, y marca la supervisión (proactiva para las esenciales, a posteriori para las importantes) y el nivel de las posibles multas.
Proveedores de entidades obligadas
La cadena de suministro es un requisito central: muchas empresas fuera del ámbito tendrán que aportar evidencias a sus clientes NIS2.
Obligaciones clave
Responsabilidad de la dirección (art. 20)
Los órganos de dirección aprueban las medidas de gestión de riesgos, supervisan su aplicación, deben formarse en ciberseguridad y pueden responder de los incumplimientos.
Medidas de gestión de riesgos (art. 21)
Un enfoque que abarque todos los riesgos, con al menos diez medidas: análisis de riesgos, gestión de incidentes, continuidad y copias de seguridad, cadena de suministro, gestión de vulnerabilidades, criptografía, control de acceso y autenticación multifactor, entre otras.
Notificación de incidentes (art. 23)
Ante un incidente significativo: alerta temprana en 24 horas desde que lo conoces, notificación en 72 horas e informe final, como tarde, un mes después.
Seguridad de la cadena de suministro
Debes valorar las vulnerabilidades y prácticas de seguridad de tus proveedores directos, no solo tus sistemas.
Cómo te ayudamos
Diagnóstico y análisis de brechas
Confirmamos si NIS2 te aplica, tu categoría probable y cómo están tus controles frente al artículo 21 y la notificación.
Plan priorizado
Una hoja de ruta basada en el riesgo, con responsables, esfuerzo y mejoras rápidas, lista para que la apruebe tu consejo.
Implantación
Políticas, procedimientos de respuesta y notificación, evaluación de proveedores, MFA, control de acceso y formación de la dirección, con nuestro SOC 24/7 y equipo de respuesta para detectar y contener.
Mantenimiento y preparación para auditorías
Revisiones de eficacia, auditorías internas, evidencias al día e informes claros a la dirección.
Señales de que debes actuar
- Operas en un sector de los anexos y, por regla general, tienes 50 o más empleados o superas los 10 millones de euros de facturación y de balance.
- Un cliente clave te ha enviado un cuestionario NIS2 o nuevas cláusulas contractuales.
- Tu consejo no ha aprobado un plan de riesgos de ciberseguridad ni ha recibido formación específica.
- Ante un incidente grave esta noche, no podrías emitir con seguridad una alerta temprana en 24 horas.
- No sabes con claridad qué proveedores son críticos para tus servicios.
Preguntas frecuentes
¿Me aplica NIS2?
Depende del sector, el tamaño y el papel de tu organización. Por regla general, entran las medianas y grandes de los anexos I y II, y algunas entidades de cualquier tamaño. La ley nacional tiene la última palabra: empieza por analizar el alcance.
¿Cuáles son los plazos de notificación de incidentes en NIS2?
Alerta temprana en 24 horas, notificación en 72 horas e informe final en el mes siguiente; la autoridad puede pedir informes intermedios. Es significativo el incidente que causa, o puede causar, una perturbación operativa grave, pérdidas económicas o daños considerables a terceros.
¿Responde la dirección personalmente?
Sí. Según el artículo 20, los órganos de dirección pueden responder de los incumplimientos, y en las entidades esenciales la autoridad puede, como último recurso, apartar temporalmente a un alto directivo de sus funciones.
¿Qué multas prevé NIS2?
Los Estados miembros deben prever multas máximas de al menos 10 millones de euros o el 2 % del volumen de negocios mundial anual para las esenciales, y de 7 millones o el 1,4 % para las importantes, la cifra que sea mayor.
¿Basta con la ISO 27001 para cumplir NIS2?
Es una base excelente, y la directiva cita la serie ISO/IEC 27000, pero no cubre por sí sola los plazos de notificación ni la responsabilidad de la dirección. Mapeamos lo que tienes y cerramos la diferencia.