Directiva NIS2: qué es y a qué empresas afecta

La Directiva NIS2 (Directiva (UE) 2022/2555) es la norma europea que eleva el nivel mínimo de ciberseguridad de las organizaciones que prestan servicios esenciales o importantes. Sustituye a la primera directiva NIS, amplía mucho el número de sectores y empresas incluidos y añade obligaciones más concretas, plazos de notificación y sanciones.

Una advertencia previa: las directivas europeas no se aplican directamente a las empresas, sino a través de la ley de cada país. El plazo para transponerla terminó el 17 de octubre de 2024, pero el detalle (autoridad competente, sectores concretos, régimen sancionador) depende de la norma nacional vigente. Esta guía explica el marco europeo; comprueba siempre cómo ha quedado en la legislación española y cómo te afecta a ti.

¿A quién afecta?

La directiva distingue dos tipos de entidades:

• Esenciales: sectores de alta criticidad como energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable y residual, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
• Importantes: otros sectores críticos como servicios postales, gestión de residuos, productos químicos, alimentación, fabricación (por ejemplo de productos sanitarios, electrónica, maquinaria o vehículos), proveedores digitales (mercados en línea, buscadores, redes sociales) e investigación.

Como regla general, se aplica a empresas medianas y grandes de esos sectores (de 50 empleados o más, o con un volumen de negocios o balance superior a 10 millones de euros). Hay excepciones en las que se aplica con independencia del tamaño, por ejemplo para ciertos proveedores de infraestructura digital.

Y si no estoy incluido, ¿me afecta igualmente?

Muy probablemente sí, de forma indirecta. Las entidades obligadas deben gestionar el riesgo de su cadena de suministro, así que empezarán a exigir a sus proveedores garantías de seguridad en los contratos, cuestionarios y auditorías. Si vendes servicios, software o tecnología a una empresa de esos sectores, es razonable que te lo pidan.

Qué obligaciones impone

1. Gestión de riesgos

El artículo 21 exige medidas técnicas, operativas y organizativas proporcionadas al riesgo. Entre ellas:

• Políticas de análisis de riesgos y de seguridad de los sistemas.
• Gestión de incidentes.
• Continuidad de negocio: copias de seguridad y recuperación ante desastres.
• Seguridad de la cadena de suministro.
• Seguridad en la adquisición, desarrollo y mantenimiento, incluida la gestión y divulgación de vulnerabilidades.
• Evaluación de la eficacia de las medidas (aquí encaja un pentest).
• Higiene básica y formación en ciberseguridad.
• Criptografía, control de acceso, gestión de activos y autenticación multifactor.

2. Responsabilidad de la dirección

Los órganos de dirección deben aprobar las medidas, supervisarlas y formarse en la materia. Pueden responder por incumplimientos. Deja de ser "un asunto del departamento de informática".

3. Notificación de incidentes

Ante un incidente significativo, el artículo 23 fija un calendario:

• 24 horas: alerta temprana.
• 72 horas: notificación del incidente con una primera evaluación.
• Un mes: informe final.

Para cumplirlo hay que tener un plan de respuesta a incidentes ensayado: nadie improvisa bien un aviso a las autoridades a las tres de la madrugada.

Sanciones

La directiva establece como máximo, para entidades esenciales, multas de hasta 10 millones de euros o el 2 % del volumen de negocios mundial anual, y para entidades importantes, de hasta 7 millones de euros o el 1,4 %. Son importes máximos que fija el texto europeo; la ley nacional los concreta.

Por dónde empezar

1. Averigua si estás incluido o si tus clientes lo están. Revisa tu sector y tu tamaño frente a la norma nacional vigente.
2. Haz un inventario de sistemas, datos y proveedores críticos.
3. Evalúa tus brechas frente a las medidas del artículo 21.
4. Prepara la respuesta a incidentes y el circuito de notificación.
5. Forma a la dirección y deja constancia.
6. Comprueba lo que has hecho con pruebas técnicas periódicas.

Cómo podemos ayudarte

En Zyro desarrollamos ZyroShield, con herramientas para auditar tu superficie expuesta y para detectar y responder a incidentes, dos piezas que encajan con lo que pide la directiva. No somos un despacho jurídico ni sustituimos al asesoramiento legal, pero sí podemos ayudarte en la parte técnica. Mira qué hacemos o cuéntanos tu situación.