¿Cómo cumplir con el NIS 2?

Ciberseguridad: La Unión Europea marca un nuevo rumbo con la directiva NIS 2

Resumen

• ¿Qué es la directiva NIS 2?
• ¿Por qué cumplir con NIS 2?
• ¿A quién afecta el NIS 2?
• Pasos para cumplir con el NIS 2
• Requisitos de seguridad a respetar
• Riesgos en caso de incumplimiento
• Obtenga apoyo para tener éxito

¿Qué es la directiva NIS 2?

La directiva NIS 2 (Seguridad de las redes y la información 2) es el nuevo marco regulatorio europeo para la ciberseguridad, adoptado en 2022 y transpuesto a la legislación nacional en 2024. Sucede al NIS 1 (2016) y amplía significativamente su alcance para incluir miles de entidades en más de 18 sectores críticos.

Su objetivo: elevar el nivel de ciberseguridad de todo el tejido económico e institucional de la Unión Europea, imponiendo obligaciones estrictas en materia de gobernanza, gestión de riesgos y respuesta a incidentes.

¿Por qué cumplir con NIS 2?

Cumplir con la directiva NIS 2 no es una opción. Es:

• Una obligación legal para miles de organizaciones;
• Una garantía de resiliencia ante los ciberataques (ransomware, compromisos, filtraciones...);
• Una palanca de confianza para sus clientes, socios y usuarios;
• Una ventaja competitiva en un contexto donde la seguridad se está convirtiendo en un criterio clave en las licitaciones.

Las multas por incumplimiento pueden alcanzar los 10 millones de euros o el 2% de la facturación anual mundial.

¿A quién afecta el NIS 2?

La directiva distingue dos tipos de entidades:

• Entidades esenciales (EE): infraestructuras críticas, salud, energía, transporte, servicios públicos...
• Entidades importantes (EI): digital, comercio, manufactura, servicios TIC, investigación...

Los criterios de designación incluyen la industria, el número de empleados, los ingresos y los criterios de criticidad.

💡 Tenga en cuenta que incluso las PYME o las autoridades locales pueden verse afectadas. La herramienta MonEspaceNIS2 de ANSSI te permite comprobar si estás dentro del perímetro.

Pasos para cumplir con el NIS 2

Estos son los 6 pasos clave para cumplir con las normas:

1. Identifica si estás afectado
   Utilice los anexos I y II de la directiva y compare su actividad con las definiciones oficiales. Compruebe también los umbrales de tamaño (personal, facturación, balance).
2. Registrarse ante la autoridad nacional
   Cualquier entidad que entre en el ámbito deberá registrarse a través del portal MonEspaceNIS2 en ANSSI, especificando su sector, sus sistemas, sus ubicaciones...
3. Designar un administrador de NIS2 para el cumplimiento cibernético
   Al igual que el DPO del RGPD, una persona de contacto debe gestionar el cumplimiento del NIS 2, coordinar auditorías, capacitar equipos y supervisar las medidas de seguridad.
4. Mapee sus sistemas de información críticos
   Es fundamental identificar los activos, redes y sistemas involucrados, incluidas las dependencias digitales (subcontratistas, nube, proveedores externos).
5. Evaluar riesgos y planificar acciones
   Realizar un análisis de riesgos de ciberseguridad para cada SI identificado. Priorizar las acciones correctivas, incluidas las vulnerabilidades conocidas y las cadenas de suministro.
6. Documentar y gestionar el cumplimiento
   Mantener un archivo de cumplimiento del NIS 2, con mapeo crítico de SI, medidas técnicas, procesos implementados, políticas internas e incidentes que han ocurrido o se han evitado.

¿Cuáles son los requisitos de seguridad de NIS 2?

El artículo 21 de la Directiva enumera las medidas mínimas que deben aplicarse, entre ellas:

• Política de gestión de riesgos de ciberseguridad
• Gestión de incidentes y alertas
• Plan de continuidad del negocio y recuperación ante desastres
• Seguridad de la cadena de suministro
• Cifrado de datos confidenciales
• Formación de equipos en higiene informática
• Control de acceso, registro y trazabilidad
• Evaluación periódica de las medidas de seguridad

Cada entidad debe demostrar su capacidad para anticipar, detectar, reaccionar y recuperarse de incidentes importantes.

¿Cuál es el riesgo de incumplimiento del NIS 2?

Las autoridades nacionales (por ejemplo, ANSSI en Francia) pueden:

• Realizar auditorías o inspecciones;
• Emitir medidas cautelares o sanciones;
• Imponer multas de hasta 10 millones € o el 2% de la facturación global.

En caso de un ciberataque grave, la entidad que no cumple está expuesta a importantes consecuencias jurídicas, financieras y reputacionales.