Consultoría de Implantación de la NIS2
Servicio integral de adaptación a la Directiva NIS2 para las empresas y entidades de los sectores a los que afecta directamente: Entidades Esenciales y Entidades Importantes. Además, ofrecemos un servicio de adaptación de exigencias (para cumplir con cuestionarios, cláusulas contractuales de seguridad y compromisos de notificación de incidentes) para los proveedores directos de empresas reguladas por NIS2 por el efecto cascada contractual.
- ¿Qué es la Directiva NIS2 y por qué supone un nuevo estándar?
- ¿Cuáles son las entidades, empresas e instituciones obligadas a cumplir con la NIS2?
- Excepciones: Obligación directa de entidades sin importar el tamaño
- El "Efecto Cascada": Por qué necesitas la NIS2 aunque seas una PYME o un proveedor
- El impacto de la NIS2 en el Consejo de Administración y la Alta Dirección
- Las 10 Agrupaciones de medidas de seguridad obligatorias (Artículo 21)
- Notificación de incidentes: plazos improrrogables y qué es un "incidente significativo
- Sinergias con el Esquema Nacional de Seguridad (ENS) y la ISO 27001
- Nuestra hoja de ruta de implantación NIS2: Metodología paso a paso
- Entregables: Tu expediente de documentos y evidencias que exige la NIS2
- Sanciones y consecuencias del incumplimiento de la directiva NIS2
- Preguntas Frecuentes
CONSULTORÍA E IMPLANTACIÓN
¿Qué es la Directiva NIS2 y por qué supone un nuevo estándar?
De la recomendación a la obligación legal y auditable
La Directiva (UE) 2022/2555, conocida como NIS2, deroga la anterior normativa (NIS1 de 2016) para dar respuesta al creciente impacto de las amenazas en materia de seguridad. No se trata por tanto de una simple actualización, sino de un cambio de paradigma estructural: la ciberseguridad deja de ser un conjunto de buenas prácticas voluntarias para convertirse en una obligación legal, documentada y auditable.
El cambio de escala es radical. Mientras que la NIS1 aplicaba a 7 sectores (afectando a unas 15.000 entidades en Europa y apenas 400 en España), la NIS2 amplía su alcance a 18 sectores críticos, impactando a más de 160.000 organizaciones a nivel europeo (se estima que más de 10.000 directamente obligadas en España).
Su objetivo es garantizar un elevado nivel común de ciberseguridad en la Unión Europea, fundamentándose en un enfoque basado en todos los peligros. Esto se asienta sobre dos pilares ineludibles para las empresas que tienen que cumplir con la NIS2: el Artículo 21, que exige la implementación y supervisión de medidas técnicas, operativas y de organización (gestión de riesgos); y el Artículo 23, que impone plazos improrrogables para la notificación de incidentes.
Inspecciones en curso en España: El escenario en 2026
El plazo impuesto por la Unión Europea para transponer la directiva venció el 17 de octubre de 2024. En España, aunque el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad fue aprobado por el Consejo de Ministros en enero de 2025, su tramitación parlamentaria ha sufrido retrasos (lo que motivó un dictamen motivado por parte de la Comisión Europea en mayo de 2025 y la apertura de un procedimiento de infracción).
Sin embargo, esperar a la publicación de la ley definitiva en el BOE es un grave error estratégico. Ante este retraso, el Gobierno español transpuso parcialmente la normativa mediante el Real Decreto-ley 7/2025. ¿Qué significa esto en la práctica? Que las obligaciones ya son exigibles.
El desconocimiento de la norma no protege. Las competencias de supervisión ya están activas y las inspecciones del INCIBE-CERT (el Centro de Respuesta a Incidentes de referencia para entidades de derecho privado en España) ya están en curso. Dado que construir un sistema de gobernanza, auditar a tus proveedores y generar el rastro documental exigido no se hace en un par de semanas, la anticipación es la única vía para evitar un expediente sancionador en la primera auditoría.
¿Cuáles son las entidades, empresas e instituciones obligadas a cumplir con la NIS2?
La directiva amplía radicalmente el perímetro de las organizaciones obligadas a protegerse. Para saber si tu empresa está afectada de forma directa, la NIS2 establece dos filtros principales: el tamaño de la organización y el sector de actividad.
El primer filtro: Los umbrales de tamaño
Hay una gran confusión muy habitual que es necesario clarificar bien. La regla general marca como umbral de entrada tener 50 empleados o más de 10 millones de euros de facturación anual. No es necesario cumplir los dos requisitos a la vez; basta con superar uno de los dos criterios para que tu empresa quede bajo el radar de la directiva.
El segundo filtro: Sector de actividad (Entidades Esenciales vs. Importantes)
Una vez superado el filtro del tamaño, la NIS2 distingue dos categorías de entidades. Esta clasificación es fundamental, ya que determina el nivel de rigor en las auditorías y la cuantía de las multas:
Entidades Esenciales (Anexo I — 11 sectores de alta criticidad):
Se consideran esenciales las grandes empresas (más de 250 empleados o facturación superior a 50 M€) que operen en los sectores más estratégicos para la sociedad. Estos incluyen: energía (electricidad, gas, petróleo, hidrógeno), transporte (aéreo, ferroviario, marítimo, carretera), banca, infraestructuras de mercados financieros, sector sanitario, agua potable, aguas residuales, espacio y la Administración Pública. Destacan especialmente en este grupo la infraestructura digital (puntos de intercambio IXP, DNS, TLDs, cloud, centros de datos, redes de comunicación y servicios de confianza) y la gestión de servicios TIC B2B (como los proveedores de servicios gestionados o MSPs y servicios de ciberseguridad).
Régimen de supervisión: Están sujetas a una supervisión proactiva (ex ante), lo que significa que recibirán inspecciones y auditorías periódicas por parte de las autoridades aunque no hayan sufrido ningún incidente.
Entidades Importantes (Anexo II — 7 sectores críticos adicionales):
En esta categoría entran, por un lado, las empresas medianas (entre 50 y 250 empleados, o facturación entre 10 y 50 M€) que operan en los sectores de alta criticidad del Anexo I mencionados arriba. Y por otro lado, se incluyen las empresas medianas y grandes que operan en los 7 sectores del Anexo II: servicios postales y de mensajería, gestión de residuos, fabricación y distribución de sustancias químicas, producción y distribución de alimentos, fabricación industrial (dispositivos médicos, ordenadores, electrónica, maquinaria, vehículos), investigación y proveedores de servicios digitales (marketplaces, motores de búsqueda, plataformas de redes sociales).
Régimen de supervisión: Se supervisan de forma reactiva (ex post), es decir, la autoridad actúa e inspecciona cuando hay evidencias de un incumplimiento o tras la notificación de un ciberataque.
Recalcar la regla del tamaño: 50 empleados o 10 millones de euros
Es muy habitual pensar que la NIS2 solo afecta a multinacionales. El filtro de tamaño establece que entrarás en el ámbito directo de la ley si operas en los sectores mencionados y tienes 50 empleados o 10 millones de euros de facturación anual. No es necesario cumplir ambos; basta con superar uno de los dos criterios para estar obligado.
Excepciones: Obligación directa de entidades sin importar el tamaño
Cuidado con esto: la directiva establece que ciertas empresas estratégicas quedan sujetas a la NIS2 sin importar cuántos empleados tengan ni cuánto facturen. Este es el caso de los proveedores de servicios DNS, los registros de nombres de dominio de primer nivel (TLD), los proveedores de redes públicas de comunicaciones electrónicas y los prestadores de servicios de confianza cualificados (según el marco eIDAS).
El "Efecto Cascada": Por qué necesitas la NIS2 aunque seas una PYME o un proveedor
El Artículo 21.2.d y la seguridad en la cadena de suministro
Aquí es donde reside el mayor riesgo comercial para el tejido empresarial español. Si tu empresa no alcanza los umbrales de tamaño (por ejemplo, tienes 15 empleados y facturas 2 millones de euros), puedes pensar que estás fuera del radar de la NIS2. Sin embargo, la obligación te llegará de forma indirecta a través de tus clientes.
El Artículo 21.2.d de la Directiva obliga a todas las entidades esenciales e importantes a gestionar los riesgos de ciberseguridad de sus proveedores directos o prestadores de servicios. Si tu empresa suministra software, mantenimiento, servicios de consultoría, logística o soporte técnico a una empresa regulada o a una Administración Pública, tú formas parte de su cadena de suministro.
Cuestionarios de homologación y auditorías
Las grandes corporaciones no pueden permitirse una brecha de seguridad a través de un tercero, porque la NIS2 les responsabiliza a ellos. Por ello, ya están enviando a sus proveedores procesos de due diligence comercial, auditorías de proveedor, cuestionarios de seguridad y nuevas cláusulas contractuales. Te pueden exigir demostrar, entre otras cosas, que cuentas con políticas de control de accesos, planes de respuesta a incidentes (IRP) y pruebas de restauración de copias de seguridad.
El riesgo del descarte en el mercado B2B
En el entorno corporativo, demostrar tu ciberseguridad vale tanto como tenerla. Una respuesta vaga o incompleta a los requerimientos de seguridad de un cliente se traduce en un descarte inmediato: el contrato no se renueva, la licitación pública se pierde o eres descartado como proveedor elegible en favor de un competidor mejor documentado y que haya adecuado mejor sus medidas de seguridad. Cumplir con los estándares de la NIS2 se ha convertido en una ventaja competitiva muy relevante en el sector B2B.
El impacto de la NIS2 en el Consejo de Administración y la Alta Dirección
La gran novedad estructural de la NIS2 es que regula a las personas que toman decisiones, no solo a la tecnología. La ciberseguridad deja de ser una responsabilidad exclusiva del departamento de IT o del CISO para escalar al máximo nivel corporativo.
Aprobación y Supervisión (Artículo 20.1)
La directiva es tajante: los órganos de dirección de las entidades esenciales e importantes deben aprobar formalmente las medidas de gestión de riesgos de ciberseguridad (documentado mediante actas del comité de dirección), supervisar activamente su puesta en práctica y responder personalmente por el incumplimiento.
Formación obligatoria para directivos (Artículo 20.2)
El desconocimiento técnico ya no es una excusa legal válida. Los miembros de los órganos de dirección deben recibir formación específica y periódica para adquirir los conocimientos necesarios que les permitan identificar riesgos y evaluar las prácticas de ciberseguridad. Los auditores exigirán los registros de asistencia a estas formaciones.
El riesgo real: Inhabilitación de directivos (Artículo 32.5.b)
El régimen de responsabilidad es severo. Para las entidades esenciales, basándose en las inspecciones técnicas de organismos como INCIBE-CERT (sector privado) o CCN-CERT (sector público), las autoridades nacionales competentes pueden solicitar la prohibición temporal para ejercer funciones de dirección a cualquier persona (CEO, Director General o representante legal) que haya incurrido en negligencia. Además, en caso de incumplimiento de la NIS2, las pólizas de seguro D&O (seguros de responsabilidad civil) de administradores, consejeros, altos cargos de una empresa y directivos pueden no ser suficientes para cubrir las infracciones, incumplimientos y negligencias.
Las 10 Agrupaciones de medidas de seguridad obligatorias (Artículo 21)
El artículo 21 que trata sobre medidas para la gestión de riesgos de ciberseguridad, se basa en un enfoque integral con el fin de abarcar todos los riesgos, y que tenga por objeto proteger los sistemas de red y de información y el entorno físico de dichos sistemas frente a incidentes. Esto incluye al menos lo siguiente:
-
a
Políticas de análisis de riesgos y seguridad de los sistemas de información.
Nuestra propuesta: Redactamos y formalizamos tu Política de Seguridad para que sea aprobada por la Dirección (Art. 20) y ejecutamos un análisis de riesgos formal utilizando metodologías reconocidas. -
b
Gestión de incidentes.
Nuestra propuesta: Diseñamos tus Planes de Respuesta a Incidentes (IRP), estableciendo los flujos documentados de detección, contención, erradicación y recuperación, así como los protocolos exactos para cumplir con los plazos legales de notificación (24h/72h) ante el CSIRT de referencia. -
c
Continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis.
Nuestra propuesta: Elaboramos el Análisis de Impacto de Negocio (BIA), el Plan de Recuperación ante Desastres (DRP) y aplicamos estrategias probadas (como la regla 3-2-1) garantizando pruebas documentadas de restauración de backups. -
d
Seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos.
Nuestra propuesta: Te ayudamos a superar los procesos de due diligence de tus clientes corporativos y creamos la metodología para que audites y homologues contractualmente a tus propios proveedores. -
e
Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de información, incluida la gestión y divulgación de las vulnerabilidades.
Nuestra propuesta: Establecemos procedimientos para la adquisición segura de tecnología e infraestructura TIC, políticas estrictas de mantenimiento y gestión continua de parches, junto con planes periódicos para la identificación y mitigación de vulnerabilidades. -
f
Políticas y procedimientos para evaluar la eficacia de las medidas para la gestión de riesgos de ciberseguridad.
Nuestra propuesta: Establecemos métricas, KPIs de seguridad, y ejecutamos auditorías internas y ejercicios de simulación (tabletop exercises) para demostrar a los inspectores que tus medidas funcionan. -
g
Prácticas básicas de ciberhigiene y formación en ciberseguridad.
Nuestra propuesta: Desplegamos campañas de concienciación para la plantilla y formación técnica específica y documentada para los miembros del Consejo de Administración. -
h
Políticas y procedimientos relativos al uso de la criptografía y, cuando proceda, del cifrado.
Nuestra propuesta: Definimos y documentamos tu política de cifrado para proteger datos en reposo y en tránsito, incluyendo el control seguro del ciclo de vida de las claves criptográficas. -
i
Seguridad de los recursos humanos, políticas de control de acceso y gestión de activos.
Nuestra propuesta: Creamos un inventario de activos categorizado por criticidad, procesos seguros de altas/bajas de empleados y aplicamos políticas de mínimo privilegio y segregación de funciones. -
j
Uso de soluciones de autenticación multifactorial o de autenticación continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicaciones de emergencia en la entidad, cuando proceda.
Nuestra propuesta: Auditamos e implementamos la obligatoriedad del MFA (Multifactor Authentication) en todos los accesos críticos y securizamos los canales de comunicación de tu empresa.
Notificación de incidentes: plazos improrrogables y qué es un "incidente significativo"
Junto con la gestión de riesgos, el segundo gran pilar de la Directiva NIS2 es la obligación de reportar cualquier incidente que tenga un impacto significativo en la prestación de sus servicios. El Artículo 23 establece un régimen estricto de notificación en varias fases con plazos acumulativos e improrrogables. Incumplir estos plazos es sancionable por sí solo, con independencia del daño que haya causado el incidente.
En España, las notificaciones se canalizarán a través de la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes (PNNSC). El CSIRT de referencia al que se debe reportar es el INCIBE-CERT para el sector privado, y el CCN-CERT para el sector público y sus proveedores.
Los 3 plazos ineludibles de la NIS2
Desde el momento en que la entidad tiene constancia de un incidente significativo, se activa una cuenta atrás legal con las siguientes fases:
- 1. Alerta temprana (24 horas): Notificación inicial, indicando si cabe sospechar que el incidente responde a una acción ilícita o malintencionada, o si puede tener repercusiones transfronterizas. Prima la velocidad sobre el detalle.
- 2. Notificación del incidente (72 horas): Actualización de la información a que se refiere el punto anterior, con una evaluación inicial de la gravedad e impacto, incluyendo los indicadores de compromiso (IoCs) disponibles, sistemas afectados y medidas de mitigación adoptadas.
- 3. Informe final (1 mes): A más tardar un mes después de la notificación de las 72 horas, se debe enviar un informe que debe incluir:
(i) una descripción detallada del incidente, incluyendo su gravedad e impacto;
(ii) el tipo de amenaza o causa raíz que probablemente haya desencadenado el incidente;
(iii) medidas de mitigación aplicadas y en curso;
(iv) cuando proceda, el impacto transfronterizo del incidente;
Si el incidente sigue en curso en el momento de la presentación del informe final, las entidades afectadas presentarán un informe de progreso en ese momento y un informe final dentro del plazo de un mes a partir de la gestión/resolución del incidente.
¿Qué se considera legalmente un «incidente significativo»?
Para evitar la ambigüedad, la ley es muy específica. La Directiva establece a nivel general que un incidente es significativo si causa graves perturbaciones operativas, pérdidas económicas, o si afecta a otras personas causando perjuicios considerables.
Sin embargo, para los proveedores de infraestructura digital y servicios TIC (proveedores cloud, centros de datos, proveedores de servicios gestionados – MSP, servicios de seguridad gestionados – MSSP, CDN, DNS, etc.), la Comisión Europea ha publicado el Reglamento de Ejecución (UE) 2024/2690, que fija criterios numéricos y medibles exactos. Te afectará la obligación de notificar en 24 horas si ocurre, entre otros, alguno de estos supuestos:
| Supuestos de «Incidente Significativo» (Reglamento de Ejecución UE 2024/2690) |
|---|
| Pérdida financiera: El incidente ha causado o es capaz de causar una pérdida financiera directa para la entidad superior a 500.000 € o el 5 % de su facturación anual total (el importe que sea menor). |
| Indisponibilidad del servicio: Para proveedores cloud, CDNs y MSPs/MSSPs, el servicio está completamente indisponible por más de 30 minutos. |
| Impacto en usuarios: La disponibilidad del servicio se limita a más del 5% de los usuarios en la Unión Europea (o más de 1 millón de usuarios) por una duración superior a una hora. |
| Exfiltración de datos: El incidente ha causado o es capaz de causar la exfiltración de secretos comerciales. |
| Incidentes recurrentes: Cuando ocurren al menos dos incidentes en un plazo de 6 meses con la misma causa raíz y que, en conjunto, cumplan con los criterios de impacto financiero. |
Nuestra propuesta para la gestión y notificación de incidentes
En Securityinthenet Solutions SL diseñamos y documentamos tu procedimiento interno de gestión de incidentes, estableciendo el flujo claro de escalado desde el equipo técnico hasta el Comité de Crisis y el CSIRT nacional. Integramos estos procedimientos en tus Planes de Continuidad de Negocio (BCP) y preparamos los registros y plantillas de evidencias necesarios para cumplir con las auditorías y superar la supervisión de las autoridades competentes.
Sinergias de la NIS2 con el Esquema Nacional de Seguridad (ENS) y la ISO 27001
La directiva NIS2 no obliga a desechar el trabajo previo en ciberseguridad. Si tu empresa ya tiene certificaciones, aprovechamos esa madurez mediante un mapeo directo de controles, evitando duplicidades y optimizando la inversión.
El Perfil de Cumplimiento Específico (PCE-NIS2) de la Guía CCN-STIC 892
El Centro Criptológico Nacional ha establecido el marco oficial para España. Si tu organización ya cuenta con una certificación del ENS en categoría ALTA, cumples en gran medida con los requisitos estructurales de la NIS2. Si estás en categoría BÁSICA o MEDIA, nosotros implementamos los refuerzos exactos (R1, R2, R3…) que exige el PCE-NIS2 para que tu sistema alcance el grado de cumplimiento normativo exigido por la directiva europea.
Tu ISO 27001 como punto de partida
La certificación ISO 27001 es una base excelente, pero no es un sustituto legal de la NIS2. En nuestra consultoría adaptamos tu actual Sistema de Gestión de Seguridad de la Información (SGSI) para cubrir las lagunas normativas, añadiendo la gobernanza directiva obligatoria (Artículo 20), los controles técnicos estrictos hacia tu cadena de suministro y los procedimientos de notificación acelerada al CSIRT (Artículo 23).
Nuestra hoja de ruta de implantación NIS2: Metodología paso a paso
Hemos paquetizado nuestra consultoría en una secuencia operativa estructurada en 8 pasos, diseñada para transformar las exigencias legales en un proyecto de ciberseguridad controlable y certificable:
- 1. Diagnóstico Normativo (Fase 0): Determinamos de forma precisa si tu entidad está afectada directamente o por cadena de suministro, y validamos la aplicabilidad de marcos cruzados (ISO 27001, ENS).
- 2. Inventario y Análisis de Riesgos: Inventariamos tus servicios críticos, activos soporte y realizamos un análisis de riesgos formal conforme con la metodología exigida por la NIS2.
- 3. Gap Analysis (PCE-NIS2): Evaluamos tus procesos actuales frente a las 10 agrupaciones del Artículo 21 y diseñamos tu Plan de Tratamiento de Riesgos.
- 4. Plan Director y Gobernanza: Diseñamos el plan de acción para su aprobación formal por la Alta Dirección, creamos el Comité de Seguridad y definimos las responsabilidades.
- 5. Implantación de Controles: Desplegamos los requerimientos técnicos y documentales (MFA, políticas de desarrollo y mantenimiento, cifrado, evaluación de proveedores).
- 6. Sistema de Notificación de Incidentes: Desarrollamos y documentamos el flujo interno de reporte para garantizar el cumplimiento de los plazos legales (24h/72h) ante tu CSIRT de referencia.
- 7. Formación y Cultura de Seguridad: Ejecutamos campañas de concienciación y la formación obligatoria exigida para los órganos de dirección y personal clave.
- 8. Auditoría, Certificación y Mejora Continua: Establecemos el ciclo anual de revisión y te preparamos para superar auditorías de clientes corporativos e inspecciones oficiales.
Entregables: Tu expediente de documentos y evidencias que exige la NIS2
Cualquier compañía que esté obligada a cumplir con la Directiva NIS2, deberá preparar y elaborar convenientemente una cantidad considerable de nuevos documentos, con el fin de poder adecuarse a todos los requisitos de ciberseguridad y notificaciones que se exigen a las entidades esenciales e importantes.
Es importante recalcar que La NIS2 no evalúa buenas intenciones, evalúa evidencias demostrables.
Al finalizar la implantación de la NIS2 en tu empresa, te habremos elaborado y entregado todo el expediente completo de documentación y evidencias exigidas incluyendo como mínimo lo siguiente:
1. Plan de Tratamiento de Riesgos
Hoja de ruta estratégica que detalla exactamente qué medidas técnicas y organizativas se van a aplicar para mitigar, transferir o aceptar los riesgos de ciberseguridad identificados, asignando responsables y plazos de ejecución.
2. Metodología de Análisis y Evaluación de Riesgos
Marco de trabajo estructurado (pudiéndose basar en estándares como ISO 27005 o MAGERIT) utilizado para identificar las amenazas de los sistemas, calculando su probabilidad de ocurrencia y su impacto en el negocio.
3. Actas del Comité de Dirección e Informe de Auditoría Interna
Las actas demuestran que la Alta Dirección aprueba y supervisa la estrategia. El informe avala que una parte independiente ha verificado la eficacia de las medidas.
4. Programa de Formación y Concienciación en Ciberseguridad
Plan documentado que acredita la formación técnica obligatoria para el Consejo de Administración y las campañas periódicas de ciberhigiene para toda la plantilla frente a amenazas como el phishing y la ingeniería social entre otras.
5. Medidas técnicas, operativas y organizativas basadas en un enfoque de gestión de riesgos
Dado que se deben evaluar los riesgos y aplicar controles para mitigarlos, se necesitará justificar ante las autoridades por qué se seleccionan o se descartan ciertas medidas. Se detallarán exactamente qué controles técnicos y organizativos aplican a tu empresa, justificando las inclusiones y exclusiones tras el análisis de riesgos.
6. Política de Seguridad de los Sistemas de Información
7. Protocolo/Plan de Respuesta a Incidentes (IRP) y Registro de Incidentes
Procedimiento operativo que define los roles y pasos exactos para detectar, contener, erradicar y recuperarse de un ciberataque. El registro centraliza las evidencias de todas las anomalías para su análisis.
8. Plan de Continuidad de Negocio (BCP)
Directrices estratégicas para garantizar que las funciones críticas de la empresa y el servicio a los clientes puedan seguir operando a un nivel aceptable durante y después de un incidente grave.
9. Política de Backups, Restauración y Redundancia
Normativa que define la frecuencia y el almacenamiento seguro de las copias y la obligación de realizar y registrar pruebas periódicas de restauración exitosa (verificación de integridad).
10. Plan de Recuperación ante Desastres (DRP)
11. Plan de Gestión de Crisis
Define cómo escala un incidente técnico al máximo nivel corporativo. Establece el Comité de Crisis, los flujos de decisión y los canales de comunicación seguros con autoridades, clientes y medios de comunicación.
12. Política de Seguridad de la Cadena de Suministro (proveedores) + Cláusulas de seguridad para Socios y Proveedores + Evaluación de Riesgos y Homologación de Proveedores
Evidencia central del efecto cascada (Art. 21.2.d). Incluye las auditorías a proveedores y las cláusulas exigidas a los integrantes de la cadena de suministro, para proteger el entorno de riesgos externos.
13. Política de Desarrollo Seguro
Normas para la seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de información. Cubre desde la adquisición de tecnología hasta la gestión, parcheo e instalación segura de actualizaciones de infraestructura.
14. Auditoría Interna + Sistema de Evaluación
Verificaciones exhaustivas e informes que demuestran a los reguladores que las medidas de seguridad no solo existen en el papel, sino que están implementadas y son eficaces.
15. Política de Criptografía y Cifrado
Establece el uso obligatorio de algoritmos de cifrado para proteger la confidencialidad e integridad de los datos (en reposo y en tránsito), así como la gestión segura del ciclo de vida de las claves criptográficas.
16. Política de Seguridad en Recursos Humanos (gestión de altas, bajas y modificaciones)
17. Política de Control de Accesos y Gestión de Identidades (IAM)
Regula quién tiene acceso a qué. Implementa el modelo de ciberseguridad de Zero Trust, la separación de funciones y la disciplina que garantiza que las personas, aplicaciones o dispositivos adecuados accedan a los recursos tecnológicos correctos, en el momento preciso y para las razones adecuadas.
18. Política de Gestión de Activos + Inventario de Activos Críticos
Registro actualizado de todo el hardware, software y datos de la empresa, identificando al responsable de cada activo y su nivel de criticidad para aplicar las medidas de protección proporcionales.
19. Política de Autenticación Segura
Exigencia técnica que prohíbe el uso de contraseñas simples e impone el uso de Autenticación Multifactor (MFA), o de autenticación continua en todos los accesos a sistemas de la organización.
20. Política de Comunicaciones Seguras
Medidas que garantizan que las comunicaciones corporativas (voz, vídeo, texto) y las herramientas de emergencia no puedan ser interceptadas, alteradas ni bloqueadas durante un ciberataque a la red principal.
21. Procedimiento de medidas correctivas
Registro de las acciones de remediación tomadas tras una auditoría o un incidente, demostrando de forma auditable que la empresa adopta medidas correctivas adecuadas y proporcionadas.
22. Reporte de Alerta Temprana al CSIRT (24h)
Un reporte inicial comunicado al CSIRT competente (INCIBE-CERT para el sector privado) en un máximo de 24h, indicando si el incidente podría ser un ciberataque intencionado o tener alcance transfronterizo.
23. Notificación formal de incidente significativo (72h)
Documento obligatorio enviado a los 3 días del incidente con una evaluación preliminar estructurada: gravedad, impacto operativo e Indicadores de Compromiso (IoCs) detectados, sistemas y usuarios afectados, y medidas adoptadas.
24. Informe Intermedio de Incidente Significativo
Actualizaciones de estado solicitadas por el CSIRT de referencia o enviadas proactivamente por la empresa mientras el incidente sigue abierto, y el equipo de respuesta trabaja en la contención. Sin plazo fijo predeterminado.
25. Informe Final de Incidente Significativo (1 mes)
Documento exhaustivo detallando ante las autoridades la causa raíz del incidente, el impacto real (impacto transfronterizo si aplica) y las medidas de mitigación definitivas adoptadas. Un informe final, a más tardar, un mes después de presentar la notificación del incidente.
26. Informe de Situación / Seguimiento de Incidente
Un informe de situación en el caso de que el incidente siga en curso en el momento de la presentación del informe final. Es un informe de progreso si el incidente sigue activo al mes.
Sanciones y consecuencias del incumplimiento de la directiva NIS2
El régimen sancionador de la NIS2 es uno de los más duros de la legislación europea y justifica plenamente la necesidad de adaptación:
NIS2 establece un régimen sancionador con mínimos armonizados que los Estados miembros pueden aumentar, pero nunca reducir.
Las sanciones máximas son de 10 millones de euros o el 2% de la facturación global anual para entidades esenciales (lo que sea mayor). Para entidades importantes, el límite es 7 millones de euros o el 1,4% de la facturación global anual (lo que sea mayor).
Responsabilidad personal de los directivos (el CEO podrá ser sancionado personalmente por incumplimiento de la NIS2). Se pueden imponer medidas no económicas como es la inhabilitación temporal de directivos para entidades esenciales. Es decir, que los miembros del comité ejecutivo son personalmente responsables por el incumplimiento y si se dan casos de negligencias graves, pueden llegar a enfrentar inhabilitaciones temporales e incluso ser despedidos.
Los altos directivos son por tanto los responsables de ejercer el debido cumplimiento de la NIS2, y pueden ser objeto de sanciones significativas en caso de no hacerlo.
En el artículo 20.1 se indica lo siguiente:
“Los Estados miembros garantizarán que los órganos de gestión de las entidades esenciales e importantes aprueben las medidas de gestión de riesgos de ciberseguridad adoptadas por dichas entidades para cumplir con el artículo 21, supervisen su aplicación y puedan ser considerados responsables de las infracciones cometidas por las entidades de dicho artículo”
Podemos concluir, entonces, que el artículo 20.1 establece que los órganos de dirección pueden ser considerados personalmente responsables de las infracciones.
Además, hay una serie de medidas adicionales que incluyen instrucciones vinculantes de las autoridades, la obligación de divulgar públicamente las infracciones identificándose a los responsables, el nombramiento de un supervisor externo y aplicación de multas coercitivas periódicas destinadas a asegurar el cese de las infracciones.
Podemos resumir esas medidas adicionales en la siguiente tabla:
| MEDIDAS Y CONSECUENCIAS | ENTIDADES ESENCIALES | ENTIDADES IMPORTANTES | OBSERVACIONES / IMPACTO EN NEGOCIO |
|---|---|---|---|
| Régimen de supervisión y auditoría | Proactivo y reactivo (inspecciones periódicas, aleatorias y ad hoc) | Solo reactivo o a posteriori (ante indicios o pruebas de incumplimiento) | Las esenciales deben demostrar cumplimiento continuamente; las importantes deben tener su expediente listo por si sufren un incidente o denuncia. |
| Multa económica máxima | Hasta 10 M€ o el 2% de la facturación global anual (lo que sea mayor) | Hasta 7 M€ o el 1,4% de la facturación global anual (lo que sea mayor) | Aplicadas por la Autoridad Competente de cada sector, superan ampliamente los límites de normativas anteriores. |
| Responsabilidad personal de directivos (Art. 20.1) | Sí (Los miembros del comité ejecutivo son personalmente responsables) | Sí (Los miembros del comité ejecutivo son personalmente responsables) | El desconocimiento técnico no es excusa legal. Exige aprobación formal en actas y formación periódica demostrable. |
| Suspensión de certificaciones o autorización de servicios | Sí (Suspensión temporal, Art. 32.5.a) | No previsto | Paralización real de la actividad empresarial o prohibición de prestar servicios hasta subsanar las deficiencias. |
| Inhabilitación temporal y despido | Sí (ante casos de negligencias graves, Art. 32.5.b) | No previsto | Alta probabilidad de anulación de cobertura de las pólizas de seguro para directivos (D&O) si hubo negligencia. |
| Instrucciones vinculantes de las autoridades | Sí | Sí | Obligación legal de aplicar auditorías o medidas técnicas correctoras en un plazo estricto marcado por el regulador. |
| Divulgación pública de las infracciones | Sí (Identificándose a los responsables) | Sí | Grave riesgo de daño reputacional y pérdida de contratos al quedar expuestos. |
| Nombramiento de un supervisor externo | Sí | No previsto | Pérdida de autonomía operativa en el área afectada durante el periodo que determine la autoridad supervisora. |
PREGUNTAS FRECUENTES
Respuestas a las dudas más frecuentes sobre la directiva NIS2
Ya estamos certificados en ISO 27001 o en el ENS. ¿Cumplimos automáticamente con la NIS2?
No, la ISO 27001 y el ENS (en nivel ALTO) son unas bases excelentes y cubren una buena parte de las medidas técnicas, pero la Directiva NIS2 introduce obligaciones legales específicas que no vienen en estas normas por defecto. Por ejemplo: la implicación y responsabilidad personal del Consejo de Administración (Art. 20), los plazos estrictos de 24h/72h para notificar incidentes al INCIBE-CERT, y el control exhaustivo de la cadena de suministro. Nuestro trabajo es realizar el Gap Analysis para cubrir exactamente lo que te falta.
¿Cuánto tiempo se tarda en implantar la Directiva NIS2 en una empresa?
El tiempo varía sobre todo en en función del nivel de madurez de la empresa en cuanto a implantación de medidas de seguridad y en función del sector al que se dedique (las entidades esenciales tiene requisitos más exigentes que las entidades importantes).
Como referencia, si una pyme de tamaño medio ha hecho los deberes en materia de ciberseguridad (por ejemplo cuenta con ISO 27001 o un SGSI maduro), la implantación y adaptación a la NIS2 podría suponerle unos cuatro o cinco meses.
Sin embargo, para una pyme de tamaño medio en la que partamos desde cero, el diseño de la gobernanza, la redacción de políticas (BCP, DRP, control de accesos, etc.) y la implantación de medidas técnicas puede llevar entre siete y 10 meses.
¿Qué es lo primero tengo que revisar para saber si mi empresa debo cumplir con la NIS2?
Lo primero es determinar si estás dentro del alcance. Verifica si tu organización opera en uno de los 18 sectores cubiertos y si cumples con los umbrales de tamaño (50+ empleados o €10M+ de facturación). Si es así, estás dentro del alcance.
Lo segundo que hay que revisar es la clasificación de tu entidad. Determina si eres una entidad esencial o importante. Esto afecta el régimen de supervisión al que estarás sujeto y las sanciones que aplican para ti.
¿Puede ser el CEO o un directivo sancionado personalmente si hay un ciberataque?
Sí. Esta es la mayor novedad de la NIS2. El Artículo 20 obliga a los órganos de dirección a aprobar el plan de riesgos y a formarse en ciberseguridad. En caso de negligencia demostrada o incumplimiento grave en una Entidad Esencial, las autoridades competentes (Art. 32.5.b) pueden solicitar la suspensión temporal del ejercicio de funciones directivas (inhabilitación). Además, este tipo de negligencias suele invalidar las pólizas de seguro de responsabilidad civil para directivos (D&O).
¿Qué ocurre si sufrimos un ciberataque y no lo notificamos a tiempo?
La Directiva NIS2 es implacable con los plazos. El incumplimiento de la obligación de emitir una «Alerta Temprana» en 24 horas o la «Notificación Formal» en 72 horas ante el CSIRT de referencia (INCIBE-CERT para el sector privado o el CCN-CERT para el sector público) constituye una infracción en sí misma, independientemente del daño que haya causado el ataque, y expone a la empresa a las multas máximas que marca la ley.
Las entidades esenciales enfrentan multas de hasta €10 millones de euros o el 2% de la facturación anual mundial total, lo que sea mayor. Las entidades importantes enfrentan multas de hasta €7 millones de euros o el 1.4% de la facturación anual mundial
¿Es obligatorio realizar auditorías de cumplimiento para la NIS2?
Sí. Para las entidades esenciales existe un régimen de supervisión proactivo, lo que significa que pueden recibir inspecciones del INCIBE-CERT o autoridades competentes en cualquier momento. Además, las directrices de ENISA exigen que las entidades realicen «revisiones independientes» (Auditorías Internas) de sus medidas de seguridad, asegurando que quien audita los controles no sea la misma persona que los opera (segregación de funciones).
Si un cliente nos envía un cuestionario de seguridad de proveedor, ¿qué nos va a pedir?
Por el efecto cascada de la ley, las entidades reguladas exigen ahora a sus proveedores evidencias documentales reales. Como mínimo, os pedirán demostrar que tenéis: un Plan de Respuesta a Incidentes (IRP) documentado, evidencias de pruebas de restauración de copias de seguridad (backups), políticas formales de control de accesos, y políticas de formación en ciberseguridad para empleados. Nuestro servicio también te prepara para superar estas auditorías y homologaciones B2B.
10 M€
De riesgo de sanción millonaria a ventaja competitiva demostrable. ¿Seguirá tu consejo de administración expuesto legalmente?
Adaptarse a las exigencias de la directiva europea NIS2 no se improvisa en dos o tres semanas. Agenda una sesión de 20 minutos sin compromiso para descubrir el nivel de madurez actual en ciberseguridad de tu empresa, los pasos para evitar sanciones, y para entender como debe ser tu hoja de ruta hacia el cumplimiento de la NIS2 con total seguridad legal y técnica.
- 613 396 385
- info@securityinthenet.com
Footer
