Directiva (UE) 2022/2555
Consultoría NIS2: adaptación a la Directiva NIS2
Obligación legal para entidades incluidas
NIS2 amplía de forma notable el número de organizaciones con obligaciones de ciberseguridad, pero no afecta a todas las empresas. Te ayudamos a saber con precisión si te aplica, en qué medida, y a cumplirlo con un programa proporcionado.
Qué es NIS2
La Directiva (UE) 2022/2555, conocida como NIS2, establece medidas para un nivel común elevado de ciberseguridad en la Unión Europea. Sustituye a la primera Directiva NIS y amplía de forma considerable los sectores y las organizaciones afectadas.
Distingue entre entidades esenciales y entidades importantes, según el sector y el tamaño. Ambas deben aplicar medidas de gestión de riesgos y notificar incidentes significativos; cambia sobre todo la intensidad de la supervisión.
¿Me afecta?
Es la primera pregunta, y la respuesta requiere análisis. Como regla general, NIS2 se aplica a entidades medianas y grandes que operan en los sectores de sus anexos: energía, transporte, banca e infraestructuras de mercados financieros, sanidad, agua, infraestructura digital, gestión de servicios TIC, administración pública, espacio, servicios postales, gestión de residuos, productos químicos, alimentación, fabricación de determinados productos, proveedores digitales e investigación.
Hay excepciones en ambos sentidos: algunas entidades están incluidas con independencia de su tamaño y otras quedan fuera aunque operen en un sector citado. Además, las entidades obligadas deben gestionar la seguridad de su cadena de suministro, por lo que muchas pymes recibirán requisitos como proveedoras aunque no estén obligadas directamente.
No todas las empresas están obligadas por NIS2. Antes de invertir en adecuación, conviene confirmar la aplicabilidad con un análisis razonado.
Qué exige
- Medidas de gestión de riesgos: análisis de riesgos, gestión de incidentes, continuidad y copias, seguridad de la cadena de suministro, seguridad en la adquisición y el mantenimiento de sistemas, evaluación de la eficacia, higiene cibernética y formación, criptografía, seguridad de los recursos humanos y control de accesos, y autenticación multifactor cuando proceda.
- Notificación de incidentes significativos en plazos cortos y escalonados.
- Responsabilidad de la dirección: los órganos de dirección deben aprobar las medidas, supervisar su aplicación y recibir formación.
Cómo te ayudamos
Empezamos por el informe de aplicabilidad. Si NIS2 te aplica, realizamos el análisis de brecha y construimos un plan de adecuación proporcionado, reutilizando lo que ya tengas. Si ya trabajas con ISO 27001 o el ENS, buena parte del trabajo está hecho y lo aprovechamos. Para mantener el programa en el tiempo, el formato más eficiente suele ser el CISO externo.
Lo explicamos con más detalle en el artículo NIS2 en España: cómo saber si afecta a tu empresa.
Alcance
Qué incluye
-
Análisis de aplicabilidad
Sector, tamaño, actividad y criterios específicos para determinar si la organización está incluida y en qué categoría.
-
Análisis de brecha
Comparación de la situación actual con las medidas de gestión de riesgos de ciberseguridad exigidas.
-
Plan de adecuación
Medidas priorizadas, responsables, plazos y presupuesto orientativo.
-
Gestión de incidentes y notificación
Procedimiento para clasificar incidentes significativos y cumplir los plazos de alerta temprana, notificación e informe final.
-
Cadena de suministro
Evaluación de proveedores y requisitos contractuales de seguridad.
-
Gobierno y formación
Aprobación y supervisión por la dirección y formación específica para sus miembros.
Resultado
Lo que recibes
- Informe de aplicabilidad razonado
- Análisis de brecha frente a las medidas exigidas
- Plan de adecuación priorizado
- Políticas y procedimiento de notificación de incidentes
- Evidencias para clientes, auditores y autoridades
Método
Cómo trabajamos
-
01Conocer
Diagnóstico
Entrevistas con dirección e IT y revisión técnica y documental. Obtienes una fotografía clara de tu nivel de seguridad y de las obligaciones que te afectan.
-
02Priorizar
Hoja de ruta
Convertimos los hallazgos en un plan ordenado por riesgo, esfuerzo y coste, con responsables y plazos que tu organización puede asumir.
-
03Implantar
Implantación
Ejecutamos o coordinamos las medidas: accesos, copias, configuraciones, políticas y formación. Sin imponer herramientas que no necesitas.
-
04Sostener
Acompañamiento continuo
Revisiones periódicas, indicadores comprensibles, gestión de incidentes y adaptación a nuevos riesgos y obligaciones. La seguridad deja de ser un proyecto y se convierte en un hábito.
Preguntas frecuentes
Dudas habituales sobre NIS2
¿NIS2 se aplica a todas las empresas?
No. Se aplica, con carácter general, a entidades medianas y grandes de los sectores que recogen sus anexos, y a determinadas entidades con independencia de su tamaño. Muchas pymes no están obligadas directamente, aunque pueden recibir requisitos de clientes que sí lo están.
¿Cuál es la situación de NIS2 en España?
La Directiva debía transponerse antes del 17 de octubre de 2024. En España, la transposición se articula mediante la Ley de Coordinación y Gobernanza de la Ciberseguridad. Como los detalles de aplicación dependen de la norma nacional, revisamos su estado y su texto vigente en cada análisis.
¿Qué plazos de notificación de incidentes establece?
La Directiva prevé una alerta temprana en 24 horas desde que se tiene conocimiento de un incidente significativo, una notificación en 72 horas y un informe final en el plazo de un mes, sin perjuicio de lo que concrete la norma nacional.
NIS2
Consultar cumplimiento NIS2
Indícanos tu sector y tu tamaño aproximado. Te diremos si, en principio, NIS2 puede aplicarte y cuál sería el siguiente paso.