Directiva NIS2: qué es y cómo afecta a tu empresa el fortalecimiento la Ciberseguridad en la UE

¿Qué es la Directiva NIS2? ¿Cuándo entra en vigor? ¿A quién aplica y qué sectores se verán afectados? En este resumen de la Directiva NIS2 te damos las respuestas a estas y muchas otras preguntas.

¿Qué es la Directiva NIS2?

La Directiva NIS 2 (Network and Information Security Directive 2) es una normativa europea que busca reforzar la ciberseguridad en la Unión Europea. Es la evolución de la Directiva NIS original de 2016, que fue la primera legislación a nivel europeo sobre seguridad de las redes y sistemas de información.

La Directiva NIS2 fue aprobada en diciembre de 2022 y amplía el alcance de la Directiva original a sectores más diversos, estableciendo un enfoque más estricto en la gestión de riesgos, la gobernanza y la supervisión, así como en la cooperación transfronteriza de las autoridades competentes de los Estados miembros.

La Directiva NIS2 (Directiva (UE) 2022/2555) es un marco legal actualizado por la UE para fortalecer la ciberseguridad y la resiliencia digital en los Estados miembros. Reemplaza a la Directiva NIS original (2016/1148) para abordar las deficiencias detectadas en ella, como la disparidad en su aplicación y la falta de coherencia en los niveles de protección.

La Directiva NIS 2.0 se une así a otras normativas europeas (RGPD, DORA, RIA, etc.), cuyo fin es poner la ciberseguridad y la protección de datos en el centro de las estrategias de empresas y administraciones europeas.

¿Cuándo entra en vigor la NIS2?

La NIS 2 fue aprobada formalmente en noviembre de 2022 y se publicó en el Diario Oficial de la Unión Europea el 27 de Diciembre de 2022. Su entrada en vigor fue el 16 de enero de 2023.

Los Estados miembros de la UE tienen de plazo hasta 17 de octubre de 2024 para transponerla a sus legislaciones nacionales. Sin embargo, lo cierto es que la mayoría de países van con retraso en la adoptación de la normativa.

¿A quién aplica la Directiva NIS2?

Deben cumplir la Directiva NIS2 todas las empresas y organizaciones con más de 50 empleados y/o una facturación superior a 10 millones de euros, y que desarrollen su actividad en alguno de los sectores considerados esenciales o importantes.

La Ley señala, entre otras, a empresas medianas y grandes de sectores, críticos, proveedores de servicios digitales clave, administraciones públicas o empresas cuya actividad repercuta en la cadena de suministro de sectores esenciales.

Por último, también tendrán que cumplir con la Directiva NIS2 todas aquellas empresas de fuera de la Unión Europea que presten servicios dentro del terrotirio europeo.

La NIS 2 aplica a entidades medianas y grandes de sectores críticos, es decir, organizaciones con más de 50 empleados o una facturación anual superior a 10 millones de euros, además de proveedores clave y empresas que operen en la UE, aunque estén fuera del territorio comunitario.

¿Qué sectores se verán afectados?

Los sectores afectados por la Directiva NIS 2 son aquellos que la normativa considera como pilares básicos para el funcionamiento de la economía digital y la sociedad moderna. Se trata de sectores cuya interrupción de su actividad podría suponer un impacto significativo en la economía, tener consecuencias graves para la seguridad o salud pública, o repercusiones transfronterizas con otros países de la UE. Pero, ¿cuáles son los sectores afectados por la Directiva NIS2?

Sectores de alta criticidad (esenciales):

• Energía
• Transporte
• Banca
• Infraestructura de mercados financieros
• Sanidad y salud
• Agua potable
• Aguas residuales
• Infraestructura digital
• Gestión de servicios TIC (B2B)
• Administración pública
• Espacio

Otros sectores críticos (importantes):

• Servicios postales y de mensajería
• Gestión de residuos
• Fabricación de productos, maquinaria y vehículos
• Producción y distribución de sustancias y mezclas químicas
• Producción, transformación y distribución de alimentos
• Proveedores de servicios digitales (incluidas RR. SS.) e investigación, incluidos centros de enseñanza, si realizan actividades críticas

Objetivos de la Directiva NIS 2.0

Los objetivos de la Directiva NIS2 son:

• Ampliar su ámbito de aplicación: La NIS2 cubre más sectores que la NIS, incluyendo servicios postales, gestión de residuos y ciertas áreas de manufactura. Se amplía así el número de entidades y organizaciones esenciales e importantes obligadas a cumplir con estándares mínimos de ciberseguridad. Se trata, en esencia, de que la cadena de suministro sea más resiliente ante los ciberataques.
• Uniformidad en la aplicación: Se introducen obligaciones más específicas tanto para los Estados miembros y las autoridades competentes como para las organizaciones a las que les es de aplicación la normativa, para asegurar un nivel común de seguridad en toda la UE.
• Fomentar la cooperación transfronteriza: Se establecen mecanismos para el intercambio de información y colaboración en la gestión de incidentes entre los Estados miembros, contribuyendo así a una respuesta más coordinada y eficaz ante ciberataques.
• Establecer un marco claro de gobernanza: Se pone el foco en la responsabilidad de la alta dirección de las organizaciones, de manera que la estrategia de ciberseguridad sea un pilar central de las mismas, especialmente en empresas de sectores críticos y esenciales.

Los países miembros debían transponer la Directivas NIS2 a su legislación nacional antes del 17 de octubre de 2024.

Novedades de la Directiva NIS2 respecto a NIS

Antes de entrar a fondo con la Ley NIS2, veamos algunas de las novedades que incorpora frente a su predecesora, NIS.

1. Ampliación del ámbito de aplicación:

• NIS 1 se centraba en sectores como energía, transporte, agua, salud e infraestructura digital.
• NIS 2 amplía a sectores como:
  • Administración pública.
  • Proveedores de servicios TIC gestionados.
  • Gestión de aguas residuales.
  • Fabricantes de productos críticos (equipos médicos, productos químicos, etc.).
  • Redes sociales y plataformas digitales importantes.

2. Clasificación de entidades como esenciales y importantes:

Se distingue entre entidades esenciales (las de mayor impacto en la sociedad/economía) y entidades importantes. Ambas deben cumplir con medidas de seguridad, pero la supervisión es más estricta para las esenciales.

3. Requisitos de seguridad más detallados:

• Gestión de riesgos de seguridad.
• Gestión de incidentes.
• Resiliencia operativa.
• Seguridad en la cadena de suministro.
• Gestión de crisis y continuidad del negocio.

4. Obligaciones de notificación:

• Incidentes graves deben notificarse en un máximo de 24 horas.
• Es necesario presentar informes preliminares, intermedios y finales.

5. Sanciones más severas:

Multas que pueden llegar hasta 10 millones de euros o el 2% de la facturación anual mundial de la empresa infractora, dependiendo de la gravedad de la infracción.

6. Mayor cooperación europea:

Se crea el European Cyber Crises Liaison Organisation Network (EU-CyCLONe) para reforzar la respuesta coordinada a cibercrisis a gran escala.

Aspectos clave de la Directiva NIS-2

La Directiva NIS-2 establece una serie de obligaciones y requisitos que las entidades esenciales e importantes deben adaptar y cumplir, siendo recomendable que lo hagan incluso antes de la transposición de la norma en sus Estados miembros, puesto que el objetivo es mejorar y reforzar la ciberseguridad y minimizar el impacto de los ciberataques.

Diferencia entre entidades importantes y entidades esenciales

La NIS2 distingue entre entidades importantes y entidades esenciales en función de la criticidad del sector en el que operen.

Las entidades esenciales están sujetas a una supervisión más estricta, ya que un fallo en su operatividad podría tener consecuencias graves para la sociedad. Por otro lado, las entidades importantes abarcan sectores críticos que no alcanzan el nivel de criticidad de las esenciales, pero cuyo impacto sigue siendo significativo para la sociedad y la economía.

Ambas categorías están obligadas a implementar medidas de seguridad y notificación de incidentes, aunque el nivel de supervisión varía. Las entidades esenciales enfrentan controles más frecuentes y estrictos, mientras que las importantes están sujetas a menos intervenciones, salvo en casos de incidentes graves.

De cara al cumplimiento de la NIS2 y con carácter general, las entidades de gran tamaño que operan en sectores de alta criticidad son esenciales. A estas entidades hay que añadir también (con independencia de su tamaño):

• Prestadores de servicios de confianza y registros de nombre de dominio de primer nivel.
• Proveedores de servicios DNS.
• Proveedores de redes públicas de comunicaciones y de servicios de comunicaciones electrónicas (cuando sean empresas de tamaño medio).
• Administraciones públicas centrales.
• Compañías que sean las únicas proveedoras de un servicio esencial social o económico en un estado.
• Entidades que de sufrir un incidente que perturbe su operatividad provoquen:
  • Riesgos en la seguridad, el orden y la salud públicos.
  • Riesgos sistémicos.
• Entidades críticas a nivel nacional o regional para su sector o para otros.

Todas las entidades que no encajen en esas definiciones, se consideran entidades importantes.

Por ejemplo:

Cabe señalar que la Directiva NIS2 obliga a los Estados miembros a elaborar un listado de las entidades esenciales e importantes y las compañías que prestan servicios de registro de nombres de dominio, teniendo de plazo para ello hasta el 17 de abril de 2025. Este listado será revisado y actualizado, como mínimo, cada dos años.

Obligaciones de la Directiva NIS

La Directiva Europea NIS2 establece una serie de requisitos y obligaciones para las empresas afectadas por esta normativa. Veamos cuáles son las nuevas exigencias de la ley en materia de ciberseguridad.

Gobernanza y responsabilidad en las organizaciones

La NIS2 introduce una novedad significativa: la responsabilidad directa de la alta dirección. Esto implica que los ejecutivos deben no solo aprobar las estrategias de ciberseguridad, sino también supervisar su implementación. En caso de negligencia grave que derive en un ciberataque, los directivos pueden ser sancionados individualmente.

Además, se requiere que las empresas integren la ciberseguridad en su estrategia corporativa. Esto incluye la realización de auditorías periódicas, formación para la plantilla y simulacros de incidentes cibernéticos para medir la eficacia de las medidas implementadas.

Obligaciones de las empresas en ciberseguridad

Para garantizar que las empresas pueden proteger sus sistemas frente a ciberataques y otros incidentes de seguridad, la Directiva NIS 2.0 requiere que los Estados miembros establezcan en las leyes que las transpongan una serie de medidas técnicas y organizativas mínimas para la gestión de riesgos:

• Políticas de seguridad de los sistemas de información.
• Análisis de riesgos.
• Gestión de incidentes.
• Medidas que garanticen la continuidad de negocio, como la política de copias de seguridad, planes de respuesta y recuperación ante desastres y protocolos para la gestión de crisis.
• Protección de la cadena de suministro.
• Seguridad de los sistemas de redes y de información.
• Evaluación de las medidas para la gestión de riesgos de ciberseguridad.
• Formación de los profesionales y prácticas de ciberhigiene.
• Políticas de uso de criptografía y cifrado.
• Seguridad de los recursos humanos, políticas para el control de acceso a sistemas corporativos y gestión de activos empresariales.
• Procedimientos para utilizar soluciones de autenticación multifactor, hacer comunicaciones seguras y disponer de sistemas seguros de comunicaciones de emergencia.

Como ocurre en la protección de datos, la Directiva NIS2 obliga a las empresas a ser proactivas en la evaluación de riesgos y la aplicación de medidas de seguridad de la información y de infraestructuras críticas.

Notificación de incidentes

Un pilar esencial de la NIS2 es la obligación de notificar incidentes cibernéticos. Las entidades deben informar a las autoridades competentes y a sus equipos de respuesta (CSIRT) en un plazo máximo de 72 horas tras la detección del incidente. Esto permite una respuesta rápida y coordinada para contener el impacto y prevenir incidentes similares en otras organizaciones.

La Directiva considera incidentes significativos:

• Los que causen perturbaciones operativas en la empresa o pérdidas económicas (por ejemplo, un ataque de ransomware).
• Los que causen perjuicios materiales o inmateriales considerables a ciudades o entidades (por ejemplo, un ataque DDoS de un servicio público).

El proceso de notificación de incidentes a las autoridades competentes se desglosa en estos pasos:

1. Notificación inicial de alerta temprana antes de las 24 horas tras la detección.
2. En un plazo de 24 horas tras esa primera notificación, el CSIRT ofrecerá orientación y asesoramiento operativos respecto a posibles medidas a aplicar.
3. Notificación intermedia en un plazo máximo de 72 horas después de la detección.
4. Actualización del estado del incidente, lo que incluye una evaluación inicial del evento que debe incluir una valoración de su gravedad, impacto e indicadores de compromiso.
5. En el plazo de un mes después de la detección, se emitirá un informe que incluirá la descripción del incidente, su gravedad e impacto, el tipo de amenaza o causa principal, las medidas de corrección o paliativas aplicadas y en curso y las repercusiones transfronterizas cuando proceda.
6. Si el incidente sigue en curso, el informe pasará a ser un informe de situación y el informe final se pospondrá un mes tras su gestión.

Aparte de informar al CSIRT, la empresa afectada deberá informar de manera inmediata a los destinatarios de sus servicios, incluyendo en la información las medidas recomendadas para protegerse ante la amenaza.

Servicios certificados en seguridad

La NIS2 faculta a los Estados de la UE a exigir a las empresas obligadas por la Directiva a usar solo productos, servicios y procesos tecnológicos certificados en materia de ciberseguridad.

Así mismo, los Estados podrán promover que las empresas empleen servicios de confianza y cualificados.

Funciones de las autoridades competentes de supervisión

Las autoridades nacionales jugarán un papel crucial, supervisando el cumplimiento de la Directiva. Esto incluye la realización de inspecciones, la emisión de recomendaciones y la imposición de sanciones en caso de incumplimiento. Además, tendrán un rol activo en la coordinación transfronteriza, asegurando que las respuestas a incidentes sean eficaces a nivel europeo​.

En concreto, las autoridades competentes tendrán las siguientes potestades:

• De supervisión:
  • Auditorías de seguridad.
  • Análisis de evaluación de riesgos.
  • Aquellas otras funciones que les otorguen los Estados.
• De ejecución:
  • Emitir apercibimientos a las empresas que incumplan la Directiva.
  • Imponer multas administrativas o solicitar a las autoridades judiciales que lo hagan.
  • Adoptar instrucciones vinculantes con las medidas que debe implementar una empresa para prevenir o solucionar un incidente.
  • Exigir subsanar las deficiencias detectadas.
  • Requerir a las empresas que garanticen que sus medidas para la gestión de riesgos son adecuadas y que cumplen sus obligaciones en materia de notificación de incidentes.
  • Imponer la aplicación de las medidas recomendadas tras una auditoría de seguridad.
  • Ordenar informar a todos los destinatarios de ciberamenazas significativas que puedan afectarles.
  • Obligar a las empresas de sus incumplimientos.
• De suspensión:
  • Suspender temporalmente de parte o de todos los servicios que presta una entidad infractora.
  • Solicitar a los órganos jurisdiccionales competentes que se prohíba temporalmente a una persona ejercer como director general o representante legal y realizar funciones directivas en la entidad.

Sanciones por incumplir la Directiva NIS2

Para las empresas, las sanciones por incumplimiento contempladas en la Directiva NIS2 son:

• Entidades esenciales: Hasta 10 millones de euros o el 2 % de su volumen de negocio anual a nivel mundial (en función del importe que sea mayor).
• Entidades importantes: Hasta 7 millones de euros o el 1,4 % de su volumen de negocio anual a nivel mundial.

Cabe señalar que estas sanciones son las cuantías mínimas que fija la NIS2, y que los Estados miembros deben desarrollar su propio régimen sancionador y comunicarlo a la Comisión Europea, para lo que tienen de plazo hasta el 17 de enero de 2025.

Las multas de este régimen deben ser efectivas, proporcionadas y disuasorias.

Resumen de la Directiva NIS 2

1. La Directiva NIS 2 es la normativa europea para reforzar la ciberseguridad en la UE, ampliando las obligaciones respecto a la NIS 1 para proteger sectores críticos frente a amenazas crecientes.
2. Entró en vigor el 16 de enero de 2023 y debe ser transpuesta por los Estados miembros antes del 17 de octubre de 2024.
3. Afecta a entidades medianas y grandes de sectores esenciales e importantes, como energía, transporte, salud, agua, servicios digitales clave, administración pública y empresas críticas de la cadena de suministro. Se aplica también a organizaciones con más de 50 empleados o facturación superior a 10 millones de euros, incluidas aquellas fuera de la UE que operen dentro del territorio.
4. Sus objetivos son aumentar la ciberresiliencia europea, homogeneizar la protección entre Estados miembros, mejorar la gestión de riesgos y notificación de incidentes, y fortalecer la cooperación ante ciberamenazas.
5. Establece obligaciones como implementar medidas técnicas y organizativas proporcionales al riesgo, notificar incidentes graves en 24 horas, gestionar los riesgos en la cadena de suministro, designar responsables de ciberseguridad y formar al personal.
6. Respecto a las novedades respecto a NIS 1, amplía los sectores cubiertos, introduce la clasificación entre entidades esenciales e importantes, endurece las normas de notificación y de seguridad en la cadena de suministro, refuerza las sanciones y crea nuevas redes de cooperación europea.
7. Las sanciones pueden alcanzar hasta 10 millones de euros o el 2 % de la facturación anual mundial, con responsabilidad directa de la alta dirección.
8. La adaptación de la Directiva NIS2 a España será la Ley de Coordinación y Gobernanza de la Ciberseguridad. La transposición se está realizando mediante un anteproyecto de ley que refuerza la gobernanza nacional con órganos como el Consejo Nacional de Ciberseguridad, el Comité de Situación de Ciberseguridad y el Centro de Operaciones de Ciberseguridad de la Administración General del Estado, manteniendo una línea fiel a NIS 2 pero adaptada a las necesidades del país.

La Directiva NIS2 en España

El Gobierno ya ha aprobado el anteproyecto de ley para la entrada en vigor de la Ley de Coordinación y Gobernanza de la Ciberseguridad, que será la transposición de la Directiva NIS2 al ordenamiento jurídico español.

La transposición de la Directiva NIS2 en España se realizará de acuerdo a los estándares fijados por la Unión Europea. El anteproyecto de Ley de Ciberseguridad es un texto muy similar a la directiva europea, pero introduce algunos puntos más concretos:

Por un lado, se establece un Sistema de Gobernanza de la Ciberseguridad Nacional, compuesto por:

• Consejo Nacional de Ciberseguridad como órgano estratégico.
• Comité de Situación de Ciberseguridad, para la gestión de crisis y amenazas graves.
• Centro de Operaciones de Ciberseguridad de la Administración General del Estado, como núcleo operativo.

Por otro, se refuerza la coordinación interna. El anteproyecto detalla con mayor precisión la arquitectura de coordinación nacional (Consejo Nacional de Ciberseguridad, Comité de Situación, etc.), mientras que la directiva NIS2 deja más abierto este aspecto para cada Estado miembro.

También se crea el Centro de Operaciones de Ciberseguridad de la AGE. La creación de este centro operativo centralizado para la Administración del Estado es una apuesta nacional que no viene detallada como tal en NIS2.

La Directiva NIS en España también prevé una colaboración público-privada mejor definida. El anteproyecto detalla expresamente los mecanismos de colaboración con operadores privados, especialmente en el ámbito de la detección y respuesta temprana a amenazas.

Por último, citar el énfasis en la respuesta a incidentes graves. La ley introduce la figura del Comité de Situación de Ciberseguridad para la gestión de crisis, alineado con el Plan de respuesta nacional, algo que NIS2 sugiere pero no desarrolla de forma concreta.

¿Cómo preparar mi empresa para cumplir la Directiva NIS2?

Para prepararse, las empresas deben realizar auditorías internas de ciberseguridad, implementar estándares de seguridad reconocidos y formar a su personal. Anticiparse a la transposición es clave para evitar sanciones y asegurar la resiliencia operativa.

Estas son algunas medidas que se pueden implementar en la empresa:

• Hacer evaluaciones de riesgos y auditorías de ciberseguridad.
• Desarrollar e implantar un plan de respuesta y gestión de incidentes.
• Desarrollar e implantar un plan de recuperación ante incidentes.
• Implementar medidas de monitoreo continuo.
• Fortalecer la gobernanza en materia de ciberseguridad.
• Capacitar y formar a todo el personal en materia de ciberseguridad.
• Establecer un protocolo para la notificación de incidentes.
• Adoptar estándares y certificaciones reconocidas, como la citada ISO/IEC 27001.

En todo caso, lo más recomendable es acudir a expertos en protección de datos y/o ciberseguridad que te puedan ayudar y guiar, sobre todo en las primeras etapas de vida de la Directiva.

 

Preguntas frecuentes

¿Cómo saber si mi empresa es esencial o importante según la Directiva NIS2?

La clasificación depende del sector y el tamaño de la empresa. Las entidades esenciales incluyen grandes empresas en sectores críticos, mientras que las importantes pueden ser medianas empresas en sectores menos críticos. Consultar los criterios definidos por las autoridades es esencial para determinar su categoría.

¿Afecta la Directiva NIS2 a las pymes?

En general, la NIS2 no aplica a pymes y microempresas. Sin embargo, algunas pequeñas empresas consideradas críticas por su impacto en la cadena de suministro podrían estar incluidas. Se puede consultar en los anexos I y II de la Directiva.

¿Qué diferencias hay entre la Directiva NIS y la NIS2?

La NIS2 tiene un alcance más amplio, introduce sanciones más severas y establece responsabilidades directas para la alta dirección. Además, mejora la cooperación y uniformidad en la implementación entre los Estados miembros.

¿Tengo que esperar a que alguien me notifique que estoy afectado?

No. La responsabilidad es tuya: conviene anticiparte y evaluar ya tu nivel de exposición.

¿Qué significa “incidente grave”? ¿Me sirve mi propio criterio?

No basta con tu criterio. Son incidentes que alteren seriamente tus servicios o afecten a terceros. La ley te da definiciones concretas.

¿Mi proveedor tecnológico se encarga de cumplir por mí?

No del todo. Aunque contrates servicios externos, tú sigues siendo el responsable final ante la ley.

¿Me vale el plan de ciberseguridad que ya tengo?

Depende. Si no cubre cadena de suministro, formación interna y detección temprana de incidentes, tendrás que actualizarlo.

¿La directiva se aplica igual a todos los sectores?

No. Hay distinciones claras entre entidades esenciales y entidades importantes, con obligaciones y niveles de supervisión distintos.

¿Puedo evitar las sanciones si demuestro que puse “buena voluntad”?

No es suficiente. La normativa exige medidas concretas, no solo intenciones.

¿Qué pasa si soy una empresa pequeña pero trabajo para una grande?

Si estás en su cadena de suministro crítica, te afecta indirectamente. Las grandes empresas te van a exigir cumplimiento.

¿Cuánto tiempo tengo para adaptarme?

Hasta octubre de 2024, pero cuanto antes empieces, menos riesgo corres de incumplimiento.

¿Esto es solo un trámite o de verdad hay riesgo real?

El riesgo es muy real. La directiva responde a un aumento claro de ciberataques que afectan la operatividad de las empresas europeas.