La Directiva NIS2 ha generado mucha inquietud y bastante confusión. Es habitual encontrar mensajes que dan a entender que todas las empresas deben adaptarse, y no es así. Esta guía te ayuda a hacer un primer análisis con criterio.
Esta guía tiene carácter orientativo. La aplicabilidad concreta depende de la actividad, el tamaño y la norma nacional de transposición vigente en cada momento.
Qué es NIS2
La Directiva (UE) 2022/2555 establece medidas para un nivel común elevado de ciberseguridad en la Unión. Los Estados miembros debían transponerla antes del 17 de octubre de 2024. En España, la transposición se articula mediante la Ley de Coordinación y Gobernanza de la Ciberseguridad, por lo que conviene revisar siempre el texto y el estado de esa norma.
Paso 1: ¿tu sector está incluido?
La Directiva distingue dos anexos:
- Sectores de alta criticidad (Anexo I): energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
- Otros sectores críticos (Anexo II): servicios postales y de mensajería, gestión de residuos, fabricación y distribución de sustancias químicas, producción y distribución de alimentos, fabricación de determinados productos (sanitarios, informáticos y electrónicos, maquinaria, vehículos…), proveedores de servicios digitales e investigación.
Si tu actividad no aparece en ninguno de los dos, lo más probable es que NIS2 no te afecte directamente.
Paso 2: ¿superas el umbral de tamaño?
Como regla general, quedan incluidas las medianas y grandes empresas de esos sectores. De forma simplificada, se considera mediana a la empresa con al menos 50 personas o con un volumen de negocios y un balance anual superiores a 10 millones de euros. El cálculo concreto sigue los criterios de la Recomendación 2003/361/CE, que tiene en cuenta también las empresas asociadas y vinculadas.
Paso 3: ¿hay alguna excepción que te afecte?
Algunas entidades quedan incluidas con independencia de su tamaño: por ejemplo, determinados proveedores de redes y servicios de comunicaciones electrónicas, prestadores de servicios de confianza, registros de nombres de dominio de primer nivel y proveedores de servicios DNS, o entidades que sean el único proveedor de un servicio esencial. También pueden incluirse entidades que el Estado identifique como críticas.
Esenciales e importantes
Las entidades incluidas se clasifican como esenciales o importantes. Las obligaciones de fondo son similares, pero la supervisión es más intensa para las esenciales y el régimen sancionador también es distinto. Según la Directiva, las multas máximas pueden alcanzar los 10 millones de euros o el 2 % del volumen de negocios mundial para entidades esenciales, y los 7 millones o el 1,4 % para entidades importantes.
Si no estás incluido, puede afectarte igual
Las entidades obligadas deben gestionar los riesgos de su cadena de suministro. En la práctica, eso significa que trasladarán requisitos de seguridad a sus proveedores mediante cuestionarios, auditorías y cláusulas contractuales. Muchas pymes que no están obligadas por NIS2 tendrán que demostrar igualmente un nivel de seguridad razonable para seguir siendo proveedoras.
Qué exige a las entidades incluidas
- Medidas de gestión de riesgos de ciberseguridad técnicas, operativas y organizativas.
- Notificación de incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
- Aprobación y supervisión de las medidas por los órganos de dirección, que además deben formarse.
Siguiente paso
Si después de este análisis tienes dudas, lo recomendable es un informe de aplicabilidad razonado antes de invertir en adecuación. Puedes consultarnos a través de nuestro servicio de consultoría NIS2.