NIS2
NIS2 — Directiva (UE) 2022/2555
Qué obliga la NIS2 a una entidad esencial o importante: aprobación por el órgano de dirección, diez medidas mínimas de gestión de riesgos y un reloj de notificación de 24 horas, 72 horas y un mes.
- A qui s’aplica
- Entidades de los sectores de los anexos I y II que superen los umbrales de mediana empresa (50 o más empleados, o más de 10 millones de euros de volumen de negocio o de balance general). Con independencia de su tamaño, quedan dentro los prestadores cualificados de servicios de confianza, los registros de nombres de dominio de primer nivel y los proveedores de servicios DNS. Los Estados miembros pueden designar además entidades concretas por criticidad.
- Termini
- Los Estados miembros debían adoptar y publicar las medidas de transposición antes del 17 de octubre de 2024 y aplicarlas desde el 18 de octubre de 2024. La lista nacional de entidades esenciales e importantes debía estar establecida antes del 17 de abril de 2025. Las obligaciones exigibles son las de la ley nacional de transposición, no las de la directiva directamente.
- Referència oficial
- Directiva (UE) 2022/2555, de 14 de diciembre de 2022
En castellàAquest document és en castellà.
Qué cambió de verdad con la NIS2
La Directiva (UE) 2022/2555 sustituyó a la NIS de 2016 con efecto desde el 18 de octubre de 2024. Los dos cambios que se notan en el día a día no son de alcance sectorial, aunque el alcance también creció, sino de mecánica.
El primero es que la entidad ya no espera a que la autoridad la designe. La regla de tamaño del artículo 2 y la clasificación del artículo 3 hacen que una organización se identifique a sí misma como esencial o importante por sector y tamaño, y se registre. El segundo es que el artículo 20 pone la aprobación de las medidas en el órgano de dirección y admite explícitamente que se le exija responsabilidad por los incumplimientos. La consecuencia práctica es que buena parte de la evidencia que antes era técnica pasa a ser documental y de gobierno: actas, nombramientos, registros de formación.
Esencial o importante: la diferencia está en la supervisión
Ambas categorías tienen las mismas obligaciones de fondo. Lo que cambia es cómo se comprueba y cuánto cuesta fallar. Las entidades esenciales están sometidas a supervisión proactiva —inspecciones, auditorías de seguridad, solicitudes de información sin que haya ocurrido nada— y se exponen a multas de al menos diez millones de euros o el 2 % del volumen de negocio mundial total, el importe que sea mayor (artículo 34.4). Las importantes se supervisan a posteriori, cuando hay indicios de incumplimiento, y el techo es de al menos siete millones o el 1,4 % (artículo 34.5).
Esa asimetría cambia la prioridad. Si eres entidad esencial, la evidencia tiene que estar lista antes de que te la pidan. Si eres importante, el riesgo real aparece tras un incidente, que es justo el peor momento para reconstruir un expediente.
El reloj de notificación es el punto más frágil
De todas las obligaciones, la de notificación es la que más organizaciones incumplen sin darse cuenta, y casi nunca por no notificar: por notificar tarde respecto al momento en que se tuvo conocimiento. El artículo 23.4 no cuenta desde que se abre la crisis formalmente ni desde que el comité se reúne, sino desde que la entidad tiene conocimiento del incidente significativo. Un incidente es significativo si ha causado o puede causar una perturbación operativa grave de los servicios o pérdidas financieras, o si ha afectado o puede afectar a terceros causando daños materiales o inmateriales considerables (artículo 23.3).
Conviene escribir de antemano qué evento y qué persona activan el reloj, y dejar traza automática de ese instante. En la práctica, la diferencia entre cumplir y no cumplir suele ser un ticket con hora frente a un correo recordado de memoria.
Dónde mirar el texto que realmente te obliga
La directiva no se aplica directamente: obliga a través de la ley nacional de transposición de cada Estado miembro, que puede endurecer umbrales, añadir sectores y fijar su propio procedimiento de registro y de notificación. Varios Estados llegaron tarde al plazo del 17 de octubre de 2024, así que el calendario real depende del país. Antes de fijar un plan de adecuación, comprueba la norma nacional aplicable a tu establecimiento principal en la Unión y el canal de notificación que designe.
Obligacions
-
El órgano de dirección aprueba las medidas y supervisa su implantación
El artículo 20.1 exige que el órgano de dirección de las entidades esenciales e importantes apruebe las medidas de gestión de riesgos de ciberseguridad adoptadas para cumplir el artículo 21, supervise su implantación y pueda ser considerado responsable de los incumplimientos. No basta con que exista una política: tiene que constar que quien manda la aprobó y que revisa cómo va.
Evidència exigible
Acta de la reunión del órgano de dirección, fechada y con lista de asistentes, en la que conste el punto del orden del día, el documento sometido a aprobación (con versión) y el acuerdo adoptado. Añade el informe de seguimiento presentado en la sesión siguiente: la supervisión se demuestra con periodicidad, no con un acta única.
-
Los miembros del órgano de dirección reciben formación
El artículo 20.2 obliga a que los miembros del órgano de dirección sigan formación que les permita identificar riesgos y valorar prácticas de gestión de ciberseguridad. La formación al resto de la plantilla se fomenta, pero la de la dirección es obligatoria.
Evidència exigible
Registro nominal de asistencia con fecha, duración y temario, firmado o con traza en la plataforma de formación, más una copia del material impartido. Un certificado genérico sin nombres ni fechas no sirve.
-
Implantar las diez medidas mínimas del artículo 21.2
El artículo 21.2 fija un suelo de diez familias de medidas: políticas de análisis de riesgos y de seguridad de la información; gestión de incidentes; continuidad de negocio, copias de seguridad y gestión de crisis; seguridad de la cadena de suministro; seguridad en la adquisición, desarrollo y mantenimiento, incluida la gestión y divulgación de vulnerabilidades; políticas para evaluar la eficacia de las propias medidas; higiene cibernética básica y formación; criptografía y cifrado; seguridad de los recursos humanos, control de acceso y gestión de activos; y autenticación multifactor o continua junto a comunicaciones seguras de voz, vídeo y texto.
Evidència exigible
Tabla de correspondencia que enfrente cada letra, de la (a) a la (j), con el documento y el control técnico concreto que la implanta, el responsable nombrado y la fecha de la última revisión. El auditor entra por esta tabla: si un epígrafe apunta a un documento inexistente o sin revisar en años, el hallazgo se escribe solo.
-
Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes
Ante un incidente significativo, el artículo 23.4 impone tres hitos ante el CSIRT o la autoridad competente: alerta temprana sin dilación indebida y en todo caso en 24 horas desde que se tiene conocimiento, indicando si se sospecha de acto ilícito o de impacto transfronterizo; notificación en 72 horas con valoración inicial de gravedad, impacto e indicadores de compromiso; e informe final como máximo un mes después de la notificación. Si el incidente sigue abierto al mes, se entrega un informe de progreso y el final dentro del mes siguiente al cierre de su gestión. Los prestadores de servicios de confianza notifican en 24 horas, no en 72.
Evidència exigible
Acuse de recibo del CSIRT con sello de tiempo para cada uno de los tres hitos, más el registro interno que fija la hora exacta de «conocimiento del incidente» y la decide con un criterio escrito. Sin ese punto de partida documentado, el cómputo de las 24 horas es indefendible.
-
Evaluar a cada proveedor directo, no al sector
El artículo 21.2.d exige seguridad de la cadena de suministro y el 21.3 concreta qué hay que mirar: las vulnerabilidades específicas de cada proveedor directo y prestador de servicios, la calidad general de sus productos y prácticas, y sus procedimientos de desarrollo seguro. También obliga a incorporar los resultados de las evaluaciones coordinadas de riesgo de cadenas de suministro críticas del artículo 22.
Evidència exigible
Registro de proveedores directos en el que, por cada uno, conste la fecha de la evaluación, quién la hizo, qué se revisó y la decisión tomada. Adjunta la comprobación independiente que sostenga lo que el proveedor declaró en el cuestionario.
-
Medir si las medidas funcionan, no sólo si existen
El artículo 21.2.f obliga a tener políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos. Es la obligación que más se pasa por alto porque no se resuelve con un documento nuevo: exige métricas y una revisión periódica que compare lo previsto con lo ocurrido.
Evidència exigible
Informe de medición de eficacia con indicadores definidos, serie temporal y conclusiones, no un inventario de controles implantados. Por ejemplo: tiempo real de detección y contención de los incidentes del periodo frente al objetivo, y porcentaje de pruebas de restauración de copias superadas.
-
Registrarse ante la autoridad competente y comunicar los cambios
El artículo 3.4 obliga a las entidades a facilitar a la autoridad competente su nombre, dirección, datos de contacto actualizados —incluidos direcciones de correo, rangos de IP y teléfonos—, sector y subsector, y la lista de Estados miembros donde prestan servicios en el ámbito de la directiva. Cualquier cambio se comunica en un plazo máximo de dos semanas. Los proveedores de DNS, registros de TLD, servicios en la nube, centros de datos, CDN, servicios gestionados y de seguridad gestionados, mercados en línea, motores de búsqueda y plataformas de redes sociales debían aportar además esa información antes del 17 de enero de 2025 (artículo 27.2).
Evidència exigible
Justificante de alta con número de registro y fecha, y el histórico de comunicaciones de cambios con la fecha del cambio y la fecha del aviso, para poder demostrar que no se superaron las dos semanas.
-
Corregir sin dilación indebida cuando se detecta un incumplimiento
El artículo 21.4 obliga a la entidad que detecte que no cumple alguna de las medidas del apartado 2 a adoptar sin dilación indebida todas las medidas correctoras necesarias, apropiadas y proporcionadas. La autodetección no atenúa por sí sola: lo que se valora es la reacción.
Evidència exigible
Plan de acción con la fecha de detección, la fecha de aprobación, el responsable asignado, el hito comprometido y la evidencia de cierre de cada acción. La distancia entre detección y aprobación es lo que se mira.