Directiva NIS2 (Ciberseguridad)

Qué es la Directiva NIS2

La Directiva (UE) 2022/2555, conocida como NIS2 (Network and Information Security 2), es la norma europea de referencia en materia de ciberseguridad. Deroga a la Directiva NIS1 de 2016 y amplía considerablemente su ámbito de aplicación, la exigencia de las medidas de seguridad y el régimen sancionador.

Su objetivo es establecer un nivel común elevado de ciberseguridad en toda la Unión Europea, garantizando que las entidades que operan en sectores críticos sean capaces de prevenir ciberataques, detectarlos y recuperarse de ellos sin interrupciones graves para la sociedad o la economía.

En España, la directiva se traspone al ordenamiento nacional a través de la Ley de Seguridad de las Redes y Sistemas de Información, cuya entrada en vigor completa y el régimen sancionador pleno se despliegan de forma escalonada.

Quién está afectado: entidades esenciales e importantes

NIS2 distingue dos categorías de entidades:

Entidades esenciales: operan en sectores de alta criticidad (energía, transporte, banca, infraestructuras financieras, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública y espacio). Están sujetas a supervisión ex ante (proactiva) y a las sanciones más elevadas.

Entidades importantes: operan en otros sectores críticos como servicios postales, gestión de residuos, fabricación de productos críticos (farmacia, médicos, químicos, alimentación), proveedores digitales y organismos de investigación. Supervisión ex post (reactiva tras incidente o denuncia).

El criterio de tamaño es determinante: quedan fuera las microempresas y las pequeñas empresas salvo que operen en infraestructuras críticas o sean proveedores únicos en su sector.

Obligaciones principales

Las entidades afectadas deben implantar medidas de gestión de riesgos de ciberseguridad que cubran, como mínimo:

• Políticas de seguridad de los sistemas de información y análisis de riesgos
• Gestión de incidentes: detección, clasificación, notificación y respuesta
• Continuidad de negocio: copias de seguridad, planes de recuperación, gestión de crisis
• Seguridad de la cadena de suministro: evaluación de los proveedores TIC y sus prácticas de seguridad
• Seguridad en la adquisición y desarrollo de sistemas de red e información
• Formación en ciberseguridad para empleados y directivos
• Autenticación multifactor (MFA) y comunicaciones cifradas

La responsabilidad de los órganos de dirección es una novedad clave: los administradores y el consejo de administración deben aprobar las medidas de seguridad, supervisar su aplicación y pueden ser personalmente responsables en caso de incumplimiento grave.

Notificación de incidentes

El régimen de notificación es escalonado y tiene plazos muy estrictos:

1. Alerta temprana: en el plazo de 24 horas desde que se tiene conocimiento del incidente significativo
2. Notificación del incidente: en el plazo de 72 horas, con una evaluación inicial de impacto
3. Informe final: en el plazo de 1 mes, con descripción detallada, medidas adoptadas y lecciones aprendidas

Las notificaciones se dirigen al CSIRT nacional (en España, el CCN-CERT para la Administración y el INCIBE-CERT para el sector privado).

Sanciones

El régimen sancionador de NIS2 es significativamente más severo que el de NIS1:

• Entidades esenciales: multas de hasta 10 millones de euros o el 2% del volumen de negocio mundial anual (la cifra mayor)
• Entidades importantes: multas de hasta 7 millones de euros o el 1,4% del volumen de negocio mundial anual
• Posibilidad de suspensión temporal de actividades o de la habilitación de directivos en casos graves

Por qué asesorarse con anticipación

El cumplimiento de NIS2 no es un proyecto puntual sino un programa continuo de gestión de la ciberseguridad. Las organizaciones afectadas deben realizar un diagnóstico de brechas (gap analysis), priorizar las medidas según su perfil de riesgo e integrar la seguridad en sus procesos de gobierno corporativo. Contar con asesoramiento legal y técnico especializado desde el inicio evita sanciones y reduce el riesgo real de sufrir un ciberataque con consecuencias graves.