Qué es NIS2 y por qué afecta a tantas empresas
La Directiva (UE) 2022/2555, conocida como NIS2, sustituye a la primera directiva NIS y amplía de forma notable su alcance: pasa de unos pocos operadores de servicios esenciales a miles de empresas medianas y grandes de 18 sectores.
En España la transposición sigue pendiente: el plazo europeo venció el 17 de octubre de 2024 y el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros en enero de 2025, es el instrumento previsto para incorporarla y sustituir al Real Decreto-ley 12/2018. Mientras tanto sigue vigente ese marco anterior, y la Comisión Europea ha llevado a España ante el Tribunal de Justicia de la UE por el retraso. Prepararse ahora evita tener que hacerlo con prisas cuando la ley se apruebe.
El cambio de fondo es que la ciberseguridad deja de ser un asunto del departamento de sistemas: la dirección debe aprobar las medidas, supervisarlas, formarse y responder de ellas.
Empresas obligadas: entidades esenciales e importantes
La regla general combina dos criterios:
- Tamaño: medianas empresas (50 o más empleados, o más de 10 millones de euros de facturación y de balance) y grandes empresas.
- Sector: actividad incluida en el anexo I (alta criticidad: energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua, infraestructura digital, servicios TIC gestionados, administración pública y espacio) o en el anexo II (servicios postales, residuos, química, alimentación, fabricación, proveedores digitales e investigación).
Hay excepciones que incluyen a entidades de cualquier tamaño, como los proveedores de DNS, los registros de nombres de dominio o los prestadores de servicios de confianza. Tiene el detalle de sectores, umbrales y excepciones en nuestra guía qué empresas están obligadas a cumplir NIS2, y una primera orientación en el test de aplicabilidad NIS2.
Requisitos de NIS2: las medidas del artículo 21
El artículo 21 fija un mínimo de diez medidas de gestión del riesgo que usamos como índice del análisis GAP:
- Análisis de riesgos y políticas de seguridad de los sistemas de información.
- Gestión de incidentes.
- Continuidad de negocio, copias de seguridad, recuperación ante desastres y gestión de crisis.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades.
- Evaluación de la eficacia de las medidas.
- Ciberhigiene básica y formación.
- Criptografía y cifrado.
- Seguridad de los recursos humanos, control de acceso y gestión de activos.
- Autenticación multifactor, comunicaciones seguras y de emergencia.
Muchas de estas medidas coinciden con controles de ISO 27001 y del Esquema Nacional de Seguridad: si ya trabaja con alguno de esos marcos, reutilizamos sus evidencias en lugar de duplicar trabajo.
Notificación de incidentes: 24 horas, 72 horas y un mes
Ante un incidente significativo hay que enviar una alerta temprana en 24 horas, una notificación con evaluación inicial en 72 horas y un informe final en un mes. Cumplir esos plazos exige detectar el incidente a tiempo, por eso integramos el procedimiento de notificación con la monitorización de nuestro SOC 24/7 y con la respuesta ante incidentes.
Qué incluye nuestra consultoría NIS2
- Análisis de aplicabilidad: si le afecta, como qué tipo de entidad y ante qué autoridad.
- Auditoría NIS2 (GAP): distancia a cada medida del artículo 21 con evidencias y nivel de riesgo.
- Plan de adecuación: acciones priorizadas, responsables, plazos y presupuesto.
- Gobierno: formación y actas para la dirección, políticas y roles.
- Implantación técnica: MFA, copias, segmentación, gestión de vulnerabilidades y monitorización.
- Proveedores: inventario, cuestionarios y cláusulas de seguridad para la cadena de suministro.
- Evidencias: expediente listo para la supervisión de la autoridad competente.