¿Qué es la directiva NIS2 y cómo afecta a tu empresa?

Si te dedicas a gestionar una empresa en España — da igual que sea grande o pequeña — es muy probable que en los próximos meses oigas hablar (o ya lo hayas hecho) de la directiva NIS2. Y no, no es una de esas regulaciones europeas que solo afectan a las grandes corporaciones. Esta vez, el alcance es mucho más amplio.

Llevo años ayudando a pymes y organizaciones a mejorar su postura de seguridad, y puedo decirte que NIS2 va a cambiar las reglas del juego para muchas empresas que hasta ahora no tenían ninguna obligación formal en materia de ciberseguridad. En este artículo te explico qué es, a quién afecta y qué pasos deberías dar para cumplir con ella.

¿Qué es la directiva NIS2?

La Directiva NIS2 (Network and Information Security 2) es la actualización de la directiva NIS original de 2016. Fue aprobada por el Parlamento Europeo en noviembre de 2022 y los estados miembros tenían hasta octubre de 2024 para transponerla a su legislación nacional.

Su objetivo es sencillo de entender: elevar el nivel de ciberseguridad en toda la Unión Europea, estableciendo unos requisitos mínimos que deben cumplir las organizaciones que operan en sectores considerados esenciales o importantes.

La directiva original ya obligaba a ciertos operadores de servicios esenciales (energía, transporte, sanidad…) a tomar medidas de seguridad. NIS2 amplía esa lista de forma considerable y endurece las sanciones por incumplimiento.

¿A quién afecta NIS2?

Aquí es donde muchas empresas se van a llevar una sorpresa. NIS2 clasifica las organizaciones en dos grupos:

Entidades esenciales

Energía (electricidad, gas, petróleo)
Transporte (aéreo, ferroviario, marítimo, carretera)
Banca y mercados financieros
Sanidad (hospitales, laboratorios, fabricantes de productos sanitarios)
Agua potable y aguas residuales
Infraestructura digital (proveedores de DNS, registros de dominios, centros de datos, servicios cloud)
Administración pública
Espacio

Entidades importantes

Servicios postales y de mensajería
Gestión de residuos
Fabricación de productos químicos
Industria alimentaria
Fabricación (dispositivos médicos, electrónica, maquinaria, vehículos)
Proveedores digitales (marketplaces, motores de búsqueda, redes sociales)
Investigación

El criterio general de tamaño: se aplica a empresas medianas (50 o más empleados, o facturación superior a 10 millones de euros) y grandes. Pero ojo: hay excepciones. Algunos sectores están cubiertos independientemente del tamaño, como los proveedores de servicios DNS o los registros de dominios.

Y aquí viene lo que muchas pymes no esperan: si eres proveedor o subcontratista de una entidad esencial o importante, también puedes verte afectado, porque NIS2 exige que las organizaciones obligadas gestionen la seguridad de toda su cadena de suministro.

¿Qué exige NIS2 en la práctica?

La directiva establece una serie de medidas de gestión de riesgos de ciberseguridad que incluyen, como mínimo:

Análisis de riesgos y políticas de seguridad: debes tener documentada una evaluación de riesgos actualizada y políticas de seguridad de la información.
Gestión de incidentes: necesitas procedimientos claros para detectar, responder y notificar incidentes de seguridad. Las notificaciones deben hacerse en 24 horas (alerta inicial) y 72 horas (informe detallado).
Continuidad de negocio: planes de backup, recuperación ante desastres y gestión de crisis.
Seguridad de la cadena de suministro: evaluación y gestión de los riesgos asociados a tus proveedores y partners tecnológicos.
Seguridad en la adquisición, desarrollo y mantenimiento de sistemas: incluidas las actualizaciones y la gestión de vulnerabilidades.
Formación en ciberseguridad: programas de concienciación y formación para todo el personal, incluida la dirección.
Criptografía y cifrado: uso de mecanismos adecuados de cifrado cuando sea necesario.
Control de accesos y gestión de activos: autenticación multifactor (MFA), control de acceso basado en roles y gestión de identidades.
Gobernanza: la dirección de la empresa debe aprobar las medidas de seguridad y puede ser considerada personalmente responsable en caso de incumplimiento.

Este último punto es especialmente relevante. NIS2 no permite que la ciberseguridad sea solo cosa del departamento de IT. La responsabilidad llega al consejo de administración.

Sanciones por incumplimiento

Las multas son considerablemente más altas que con la directiva anterior:

Entidades esenciales: hasta 10 millones de euros o el 2% de la facturación anual global (lo que sea mayor).
Entidades importantes: hasta 7 millones de euros o el 1,4% de la facturación anual global.

Además, las autoridades competentes pueden imponer medidas correctivas, auditorías obligatorias e incluso la suspensión temporal de actividades en casos graves.

Plazos: ¿cuándo tengo que estar preparado?

La transposición a la legislación española debería haberse completado en octubre de 2024. A fecha de hoy, España sigue trabajando en el anteproyecto de ley que trasladará NIS2 al ordenamiento jurídico nacional. Sin embargo, esto no significa que puedas relajarte: cuando se publique la ley, los plazos de cumplimiento serán ajustados.

Mi consejo: no esperes a que la ley esté en el BOE. Empieza a prepararte ahora. Las empresas que ya tengan sus procesos de seguridad en orden tendrán una ventaja competitiva enorme cuando la norma entre en vigor.

Cómo empezar a prepararte

Estos son los primeros pasos que recomiendo a mis clientes:

Determina si tu empresa está afectada: revisa los sectores y los criterios de tamaño. Si eres proveedor de una empresa que sí lo está, probablemente también te toque.
Haz un análisis de riesgos: identifica tus activos críticos, las amenazas más probables y las vulnerabilidades actuales de tu infraestructura.
Revisa tus políticas de seguridad: ¿tienes políticas documentadas? ¿Están actualizadas? ¿Las conoce todo el equipo?
Implementa las medidas básicas: MFA en todos los accesos, backups verificados, actualizaciones al día, formación al personal.
Prepara un plan de respuesta a incidentes: que incluya los canales de notificación obligatorios.
Evalúa tu cadena de suministro: revisa los contratos con proveedores tecnológicos y su nivel de seguridad.

¿Necesitas ayuda con NIS2?

Sé que todo esto puede parecer abrumador, especialmente si tu empresa no tiene un departamento de IT dedicado o si la ciberseguridad no ha sido una prioridad hasta ahora. Pero la buena noticia es que no tienes que hacerlo solo.

Como consultor IT especializado en ciberseguridad para pymes, puedo ayudarte a evaluar tu situación actual, identificar las brechas de cumplimiento y diseñar un plan de acción realista y adaptado a tu tamaño y presupuesto.

Contacta conmigo para una primera consulta sin compromiso. Es mejor empezar hoy que enfrentarse a una sanción mañana.