Un salto de escala respecto a la directiva anterior
La Directiva NIS2 (UE 2022/2555) sustituye a la primera Directiva NIS y amplía de forma muy significativa el número de sectores y organizaciones sujetas a obligaciones de ciberseguridad en la Unión Europea. Donde la norma anterior se centraba en un número relativamente reducido de operadores de servicios esenciales, NIS2 introduce una clasificación mucho más amplia que incorpora a miles de organizaciones que hasta ahora no tenían ninguna obligación específica de ciberseguridad más allá de las genéricas del RGPD.
Sectores esenciales y sectores importantes
NIS2 distingue dos categorías de entidades, con obligaciones similares pero supervisión y régimen sancionador distintos:
- Sectores esenciales: energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública y espacio.
- Sectores importantes: servicios postales, gestión de residuos, fabricación de productos químicos, producción y distribución de alimentos, fabricación de dispositivos médicos y otros bienes manufacturados relevantes, proveedores digitales e investigación.
Dentro de estos sectores, quedan obligadas las entidades de tamaño mediano y grande según los criterios europeos, aunque los Estados miembros pueden incluir también a entidades más pequeñas si prestan servicios especialmente críticos.
El estado de la transposición en España
La transposición de NIS2 al ordenamiento español se realiza a través de la normativa nacional de ciberseguridad, que desarrolla las obligaciones concretas, los mecanismos de supervisión y el régimen sancionador aplicable. Es importante seguir su evolución de cerca porque, hasta la aprobación definitiva y plena entrada en vigor de todos sus elementos, persisten ajustes sobre plazos concretos y autoridades competentes por sector.
Las obligaciones principales que introduce
- Gestión de riesgos de ciberseguridad mediante medidas técnicas, operativas y organizativas proporcionales al riesgo.
- Notificación de incidentes significativos en plazos muy ajustados: una alerta temprana en 24 horas, una notificación con más detalle en 72 horas, y un informe final en un plazo posterior definido.
- Gestión de la seguridad de la cadena de suministro, un aspecto que NIS2 refuerza de forma explícita respecto a la normativa anterior.
- Responsabilidad de los órganos de dirección, que deben aprobar las medidas de gestión de riesgos y pueden ser considerados responsables en caso de incumplimiento grave.
- Formación en ciberseguridad para los órganos de dirección, exigida de forma explícita por la directiva.
Por qué muchas empresas todavía no saben que están dentro
El error más habitual es asumir que NIS2 "es cosa de las grandes infraestructuras críticas". La ampliación de sectores incluye a proveedores digitales, fabricantes de dispositivos médicos, empresas de logística de residuos y muchas cadenas de suministro de los sectores esenciales que, sin ser ellas mismas infraestructura crítica, prestan servicios a quienes sí lo son y quedan alcanzadas por la obligación de gestionar su propia cadena de suministro.
Qué hacer ya, sin esperar a la fecha límite
- Determinar si la organización entra dentro del ámbito subjetivo de NIS2, por sector y por tamaño.
- Si ya se cuenta con el ENS o un SGSI ISO 27001, evaluar el grado de solapamiento con los requisitos de NIS2, que comparten buena parte de los fundamentos técnicos.
- Revisar los contratos con proveedores críticos a la luz de las nuevas exigencias de gestión de la cadena de suministro.
- Preparar los procedimientos de notificación de incidentes para poder cumplir con los plazos de 24 y 72 horas, que son considerablemente más exigentes que los de normativas previas.
¿Sabes si tu organización entra dentro del ámbito de NIS2?
Hablemos de cómo afecta esta normativa a tu sector y qué plazos tienes por delante.
Cuéntanos tu caso →Respuesta en menos de 24 h. Sin compromiso.