Guía NIS2: ¿cómo lograr la conformidad?

¿Qué es la directiva NIS2?

NIS2 (Network and Information Security 2) sucede a la directiva NIS de 2016 con un ámbito ampliado y requisitos reforzados. Su objetivo: elevar el nivel de ciberseguridad de todos los actores cuyo fallo podría perturbar la economía y la sociedad.

Al ser una directiva, no es de aplicación directa: cada Estado miembro la transpone a su derecho nacional y designa sus autoridades competentes. En España, el CCN-CERT y el INCIBE coordinan el dispositivo y publican las modalidades concretas.

El texto impone un enfoque basado en riesgos: medidas técnicas y organizativas proporcionadas, una gobernanza que implica al órgano de dirección, la gestión de incidentes, la continuidad de negocio, la seguridad de la cadena de suministro y la ciberhigiene.

Entidad esencial o importante: la distinción clave

NIS2 clasifica las organizaciones en dos categorías, que determinan la intensidad del control y el nivel de las sanciones. La distinción depende del sector y del tamaño.

Las medidas de seguridad básicas son comparables entre ambas categorías; son principalmente el control y las sanciones los que difieren.

¿Quién está afectado?

NIS2 abarca sectores «altamente críticos» y «críticos». El criterio de tamaño (generalmente a partir de la mediana empresa: 50 empleados o 10 M€ de facturación) determina la sujeción a la norma, con excepciones para actores considerados críticos independientemente de su tamaño.

• Sectores altamente críticos: energía, transporte, banca, sanidad, agua, infraestructuras digitales, administración pública y espacio.
• Sectores críticos: servicios postales y de mensajería, gestión de residuos, productos químicos, agroalimentario, fabricación, proveedores digitales e investigación.
• Proveedores y subcontratistas: afectados indirectamente a través de los requisitos de seguridad de la cadena de suministro.
• Filiales y establecimientos: deben integrarse en el análisis del perímetro.

Las obligaciones de seguridad y de gobernanza

NIS2 impone un conjunto de medidas mínimas, que deben adaptarse al riesgo, y una gobernanza liderada por la dirección. Estas medidas no son opcionales: su ausencia constituye en sí misma un incumplimiento.

• Políticas de análisis de riesgos y de seguridad de los sistemas de información.
• Gestión de incidentes: detección, respuesta y notificación.
• Continuidad del negocio, gestión de copias de seguridad y recuperación ante desastres.
• Seguridad de la cadena de suministro y de las relaciones con proveedores.
• Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, y gestión de vulnerabilidades.
• Políticas de cifrado, control de acceso, autenticación multifactor y ciberhigiene.
• Formación en ciberseguridad e implicación efectiva del órgano de dirección.

¿Qué sanciones se aplican en caso de incumplimiento?

NIS2 prevé sanciones diferenciadas según la categoría e introduce una responsabilidad directa de los directivos — una novedad que cambia las reglas del juego a nivel de los comités de dirección.

Cómo lograr la conformidad: la hoja de ruta en 8 pasos

Paso 1 — Determinar su sujeción

Verifique si su sector y su tamaño le sitúan como entidad esencial o importante, y documente este análisis: condiciona la intensidad de sus obligaciones y sus modalidades de registro ante la autoridad.

No olvide incluir sus filiales y establecimientos, y verificar los casos particulares de actores críticos sujetos independientemente de su tamaño.

• Cruce sector de actividad y umbrales de tamaño.
• Identifique sus filiales y establecimientos afectados.
• Regístrese ante la autoridad si es requerido.

Paso 2 — Implicar a la dirección

El órgano de dirección debe aprobar las medidas de seguridad, formarse en los riesgos cibernéticos y hacer su seguimiento. Sin respaldo al más alto nivel, el cumplimiento de NIS2 sigue siendo teórico — y la responsabilidad de los directivos queda ahora comprometida.

Incluya la ciberseguridad en el orden del día de los comités de dirección y formalice la gobernanza (roles, comitología, reporting).

• Haga que la dirección apruebe la política de seguridad.
• Forme a los directivos en los riesgos cibernéticos.
• Ponga la ciberseguridad en la agenda de los órganos de gobernanza.

Paso 3 — Realizar un análisis de riesgos

Cartografíe sus activos, sus amenazas y sus vulnerabilidades, y luego priorice las medidas en función del riesgo. Es la base de su política de seguridad de los sistemas de información y el punto de partida de todo el dispositivo.

Este análisis debe estar vivo: reevaluado regularmente y tras cualquier cambio significativo.

• Inventaríe activos, sistemas y funciones críticas.
• Evalúe amenazas y vulnerabilidades, priorice los tratamientos.
• Reevalúe periódicamente el análisis.

Paso 4 — Desplegar las medidas técnicas y organizativas

Implemente la base esperada: control de acceso, autenticación multifactor, cifrado, registro de logs, segmentación de red, gestión de parches y vulnerabilidades, copias de seguridad probadas. Formalice cada política para hacerla auditable.

El objetivo no es acumular herramientas, sino cubrir los riesgos identificados de forma coherente y documentada.

• Despliegue MFA, cifrado y control de acceso granular.
• Gestione parches y vulnerabilidades de forma proactiva.
• Pruebe regularmente sus copias de seguridad y su recuperación.

Paso 5 — Estructurar la gestión de incidentes

Establezca detección, procedimiento de respuesta y cadena de notificación que permitan respetar los plazos impuestos. Estos plazos son cortos: solo se cumplen con un procedimiento preparado y probado con antelación.

Defina quién alerta, quién califica, quién decide notificar y según qué modelo, para no improvisar en situación de crisis.

• Alerta temprana en menos de 24 h, notificación en menos de 72 h, informe final en menos de 1 mes.
• Designe los roles del equipo de crisis.
• Pruebe el procedimiento mediante ejercicios.

Paso 6 — Asegurar la cadena de suministro

La cadena de suministro es hoy un vector de ataque mayor: comprometer a un proveedor para llegar a sus clientes. NIS2 le obliga a evaluar la seguridad de sus proveedores críticos e integrar requisitos de seguridad en sus contratos.

Realice después el seguimiento de estos compromisos en el tiempo: la seguridad de un proveedor no se adquiere de una vez para siempre.

• Cartografíe y evalúe a sus proveedores críticos.
• Integre cláusulas de seguridad en sus contratos.
• Haga seguimiento de los compromisos e incidentes de proveedores.

Paso 7 — Formar y concienciar

El factor humano sigue siendo la principal puerta de entrada de los ataques. Despliegue un programa de concienciación regular (phishing, contraseñas, reflejos de notificación) y formaciones específicas para las funciones expuestas y los directivos.

Una cultura cibernética compartida convierte a cada colaborador en primera línea de defensa.

• Conciencíe a todos los colaboradores regularmente.
• Forme específicamente a las funciones expuestas y a la dirección.
• Mida la eficacia (pruebas de phishing, tasa de notificación).

Paso 8 — Auditar y mejorar de forma continua

Pruebe sus dispositivos mediante auditorías, ejercicios y, en su caso, pruebas de intrusión; mida, corrija y documente. NIS2 exige una mejora continua demostrable, no un cumplimiento estático.

Apoyarse en un marco reconocido como ISO 27001 estructura de forma duradera este enfoque y facilita la prueba.

• Planifique auditorías y ejercicios regulares.
• Documente las desviaciones y los planes de corrección.
• Considere ISO 27001 como marco estructurador.

Los errores frecuentes que hay que evitar

• Esperar la transposición nacional definitiva para actuar: los fundamentos de ciberseguridad son exigibles y requieren largo tiempo de despliegue.
• Creer que la ciberseguridad es «cosa de IT»: NIS2 responsabiliza directamente a la dirección.
• Olvidar la cadena de suministro, vector de ataque principal.
• No preparar el procedimiento de notificación, imposible de improvisar en menos de 24 horas.
• Subestimar el perímetro: filiales, establecimientos y actores críticos suelen quedar olvidados.
• Acumular herramientas sin un análisis de riesgos coherente.
• Descuidar la concienciación, cuando el factor humano sigue siendo la primera causa de incidente.

Cómo Data Comply One le acompaña

Data Comply One estructura su cumplimiento NIS2 de extremo a extremo: análisis de riesgos, políticas de seguridad, gestión de incidentes, seguimiento de proveedores y panel de progreso. Todo está centralizado y es demostrable en caso de inspección.

Dispone de dos modalidades: gestionar su cumplimiento usted mismo con el software, o externalizarlo a nuestros expertos —un CISO externalizado— que pilotan el dispositivo directamente en la plataforma, articulando NIS2 con sus demás obligaciones. Es un activo muy valioso para las medianas y pequeñas empresas recién sujetas a la norma, que a menudo carecen de recursos internos.

La formación en ciberseguridad integra a directivos y equipos, y el enfoque se alinea de forma natural con ISO 27001 para quienes aspiran a una certificación reconocida. Transforma una obligación en una base de confianza frente a sus clientes y socios.

¿En qué punto se encuentra? ·