NIS2 en España: Todo lo que su Empresa Necesita Saber para Cumplir con la Directiva de Ciberseguridad

La Directiva NIS2: el mayor cambio en ciberseguridad europea desde 2016

La Directiva (UE) 2022/2555, conocida como NIS2, reemplaza a la Directiva NIS original de 2016 y representa la revisión más ambiciosa del marco europeo de ciberseguridad hasta la fecha. Su objetivo es elevar el nivel comun de ciberseguridad en la Union Europea, reducir las divergencias entre estados miembros y ampliar significativamente el perimetro de entidades que están sujetas a obligaciones de seguridad.

El cambio de escala es considerable. La Directiva NIS original afectaba a un número limitado de Operadores de Servicios Esenciales y Proveedores de Servicios Digitales. NIS2 amplia ese perimetro a todos los sectores del Anexo I y II de la Directiva —incluyendo sectores como la gestión de residuos, la producción química, la industria alimentaria o la fabricacion de maquinaria que antes no estaban sujetos a regulación de ciberseguridad— y aplica a las empresas que superen umbrales de tamaño, lo que en España se traduce en aproximadamente 40.000 entidades afectadas.

Entidades esenciales vs. entidades importantes: diferencias prácticas

NIS2 distingue dos categorías de entidades afectadas con diferentes niveles de obligación y sanción:

Entidades esenciales (Anexo I): Energía (electricidad, gas, petroleo, hidrogeno), transporte (aereo, ferroviario, maritimo, por carretera), banca, infraestructuras de mercados financieros, sector sanitario, agua potable y aguas residuales, infraestructura digital (IXPs, DNS, TLD, proveedores de computacion en la nube, centros de datos, redes de distribución de contenidos, proveedores de servicios de confianza) y gestión de servicios TIC. Las entidades esenciales están sujetas a supervisión ex ante y a sanciones de hasta 10M EUR o 2% de la facturación global.

Entidades importantes (Anexo II): Servicios postales y de mensajeria, gestión de residuos, fabricacion de productos químicos, producción alimentaria, fabricacion (dispositivos medicos, electrónica, maquinaria, vehículos de motor), proveedores de servicios digitales (mercados en línea, motores de busqueda, plataformas de redes sociales). Las entidades importantes están sujetas a supervisión ex post y a sanciones de hasta 7M EUR o 1,4% de facturación global.

Las medidas de gestión del riesgo que exige NIS2

El artículo 21 de NIS2 establece las medidas mínimas que deben adoptar las entidades afectadas. Estas medidas deben ser “adecuadas y proporcionadas” al nivel de riesgo de la entidad, considerando su tamaño, el estado del arte tecnológico y las vulnerabilidades específicas del sector:

Políticas de análisis de riesgo y seguridad de los sistemas de información: La entidad debe tener políticas formales de gestión del riesgo de ciberseguridad, aprobadas por el órgano de dirección.

Gestión de incidentes: Procedimientos para detectar, analizar, contener y comunicar incidentes de ciberseguridad, con los plazos de notificación establecidos en la directiva.

Continuidad del negocio y gestión de crisis: Planes de continuidad que cubran escenarios de ciberataque, incluyendo recuperacion de sistemas y procedimientos de crisis.

Seguridad de la cadena de suministro: Evaluación de riesgos de los proveedores con acceso a sistemas críticos y cláusulas contractuales de seguridad.

Seguridad en el desarrollo, adquisición y mantenimiento de sistemas: Prácticas de seguridad en el ciclo de vida del software y los sistemas, incluyendo gestión de vulnerabilidades.

Políticas y procedimientos para evaluar la eficacia de las medidas: Evaluación y auditoría periódica de las medidas implementadas.

Prácticas de higiene informática básica y formación: Formación en ciberseguridad para el personal y los órganos de dirección.

Cifrado y criptografia: Uso de cifrado para la protección de datos en tránsito y en reposo donde sea necesario.

Autenticacion multifactor y comunicaciones seguras: MFA para sistemas críticos y comunicaciones cifradas.

Nuestro equipo de cumplimiento NIS2 ayuda a las empresas a implementar estas medidas de forma documentada y auditable, estableciendo el registro de evidencias que la autoridad supervisora puede requerir en caso de inspección.

La dimensión de recursos humanos y formación en NIS2

NIS2 introduce una dimensión de gestión de personas que no debe subestimarse. La directiva exige que los órganos de dirección reciban formación periódica en ciberseguridad suficiente para comprender los riesgos y supervisar las decisiones de gestión de riesgos. No se trata de convertir a los directivos en técnicos de seguridad, sino de que puedan ejercer su función de supervisión con conocimiento suficiente.

Para el personal en general, la directiva exige programas de formación y concienciacion en ciberseguridad que incluyan el reconocimiento de amenazas de ingenieria social (phishing, vishing), el uso seguro de sistemas y datos, y los procedimientos internos de reporte de incidentes.

BMC ofrece programas de formación NIS2 para órganos de administración y comités de auditoría, adaptados al nivel de conocimiento técnico de los participantes y centrados en las responsabilidades de supervisión que la directiva les asigna.

NIS2 y el CISO virtual: cuando no se necesita un Director de Seguridad a tiempo completo

Muchas entidades afectadas por NIS2 —especialmente las de tamaño mediano— no tienen un Chief Information Security Officer (CISO) propio, ni necesitan uno a tiempo completo. Para estas empresas, el servicio de CISO Virtual de BMC ofrece la función de dirección de seguridad de la información de forma externalizada: gestión del programa de seguridad, supervisión de proveedores tecnológicos, relación con la autoridad supervisora y representación ante el órgano de dirección en las revisiones periódicas de ciberseguridad.

El CISO Virtual es responsable a efectos prácticos de la función NIS2 de la entidad, con el nivel de dedicacion y responsabilidad que el tamaño y complejidad de la empresa requieren, y con el respaldo del equipo legal de BMC para las cuestiones regulatorias y de notificación.

Seguridad de la cadena de suministro: la obligación que afecta a empresas fuera del ámbito NIS2

Uno de los aspectos más disruptivos de NIS2 en la práctica empresarial es su efecto de cascada sobre la cadena de suministro. El artículo 21.2.d) de la directiva obliga a las entidades afectadas a establecer medidas de seguridad en relación con sus proveedores y prestadores de servicios que tengan acceso a sus redes, sistemas de información o datos. Esta obligación implica que las entidades NIS2 deben:

• Evaluar el riesgo de ciberseguridad de sus proveedores críticos, con especial atención a los que acceden a sus sistemas o procesan datos sensibles.
• Incluir cláusulas contractuales de seguridad en los contratos con esos proveedores, exigiendo niveles mínimos de seguridad, el derecho a auditar y la obligación de notificar incidentes.
• Gestionar un registro de proveedores con su clasificación de riesgo y las medidas adoptadas.

El resultado práctico es que cualquier empresa que sea proveedor de una entidad NIS2 —aunque ella misma no esté en el ámbito de la directiva— recibirá requerimientos de seguridad crecientes de sus clientes: cuestionarios de seguridad, exigencias de certificación, cláusulas contractuales y derechos de auditoría. Ignorar esta tendencia puede suponer la pérdida de contratos con clientes de referencia.

La ENISA ha publicado orientaciones específicas sobre evaluación de riesgos de proveedores que sirven de referencia para estructurar este proceso. BMC acompaña tanto a las entidades NIS2 en la gestión de su cadena de suministro como a los proveedores que necesitan prepararse para satisfacer los requisitos de sus clientes.

Transposición en España: estado y hoja de ruta

La transposición de NIS2 al ordenamiento jurídico español acumula un retraso significativo respecto al plazo marcado por la directiva (octubre de 2024). El Proyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que transpone NIS2, sigue en tramitación parlamentaria con aprobación esperada para el primer semestre de 2026.

Durante el período de retraso, las autoridades españolas han adoptado una postura pragmática: el INCIBE (para el sector privado no estratégico) y el CCN (para la Administración Pública y los sectores estratégicos definidos en la Ley 8/2011) han emitido guías y esquemas de adecuación que anticipan los requisitos de la futura ley. Las empresas que implementen las medidas técnicas y organizativas del artículo 21 de NIS2 antes de la aprobación de la ley nacional estarán en posición ventajosa cuando la ley entre en vigor.

El Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022) sirve de referencia para las entidades del sector público, y su alineación con NIS2 facilita la adecuación para entidades que ya trabajan bajo ese marco. Para el sector privado, el estándar ISO/IEC 27001:2022 —la versión actualizada del estándar— incorpora controles que responden a muchos de los requisitos de NIS2.

El registro de entidades afectadas: notificación obligatoria

NIS2 establece que las entidades afectadas deben notificar a la autoridad competente su condición de entidad esencial o importante. En España, la ventanilla de notificación será gestionada por la autoridad que se designe en la futura ley de transposición, previsiblemente con papeles distintos para el INCIBE y el CCN según el sector de la entidad.

Esta notificación no es voluntaria ni opcional: incumplir la obligación de registro puede en sí misma constituir una infracción sancionable. La notificación debe incluir, como mínimo, la identificación de la entidad, el sector y subsector al que pertenece (conforme a los Anexos I y II), los puntos de contacto para la gestión de incidentes y, si aplica, los estados miembros en los que la entidad presta servicios.

BMC asesora a las empresas en la determinación de si están obligadas a notificarse, en qué categoría (esencial o importante), y en la preparación de la documentación para el registro cuando la ventanilla esté operativa. Actuar con anticipación permite también organizar el programa de cumplimiento con el tiempo suficiente para no llegar al momento del registro con brechas significativas frente a los requisitos técnicos y organizativos que la autoridad supervisora puede empezar a exigir desde el primer momento.