¿Cuáles son las principales diferencias con NIS1?

NIS2 amplía considerablemente el perímetro (de ~2000 a ~10 000 entidades en Francia), compromete la responsabilidad personal de los directivos, armoniza las sanciones a escala de la UE e impone requisitos de seguridad en la cadena de suministro.

¿Cuándo es aplicable NIS2?

La directiva debía transponerse en cada Estado miembro antes del 17 de octubre de 2024. En Francia, la ley de transposición se adoptó el 30 de abril de 2025.

¿Qué ocurre si no cumplo con la normativa?

Sanciones económicas de hasta 10 M€ (el 2 % de la facturación mundial) para las entidades esenciales, responsabilidad personal de los directivos y una posible suspensión temporal de la actividad.

¿Basta con un CISO externalizado para cumplir?

Un CISO externalizado es una pieza esencial (dirección, experiencia técnica, reporting), pero el cumplimiento de NIS2 requiere además una plataforma de gestión de riesgos, medidas técnicas desplegadas y la concienciación de los equipos.

Reglamento NIS2

Todo sobre la directiva NIS2

La directiva NIS2 refuerza la ciberseguridad de las empresas y administraciones europeas. Amplía considerablemente el perímetro de entidades afectadas y endurece las sanciones. Con Data Comply One, gestione su cumplimiento de NIS2 de forma integrada.

Reservar una llamada Descubra Software NIS2

Oct. 2024

Plazo de transposición

~10 000

entidades en Francia afectadas

10 M€

o 2 % de la facturación mundial (máx.)

10 medidas

de seguridad obligatorias

¿Qué es la directiva NIS2?

La directiva NIS2 (Network and Information Security 2) es la revisión de la directiva NIS de 2016. Adoptada en 2022 y transpuesta en Francia por la ley del 30 de abril de 2025, impone obligaciones reforzadas de ciberseguridad a un número mucho mayor de entidades que hasta ahora. Su objetivo: elevar el nivel de resiliencia cibernética de la Unión Europea ante la multiplicación de los ataques.

Novedades de NIS2 frente a NIS1

Perímetro ampliado: más de 10 000 entidades francesas pasan a estar afectadas

Responsabilidad personal de los directivos exigible

Armonización europea de las sanciones y las notificaciones

Cadena de suministro: obligaciones de securización de los proveedores de TIC

¿A quién afecta NIS2?

NIS2 distingue dos categorías de entidades: esenciales e importantes. Criterio general: más de 50 empleados O 10 M€ de facturación, en alguno de los sectores enumerados por la directiva.

Entidades esenciales: energía, transporte, salud, agua, infraestructuras digitales, finanzas, espacio, administraciones públicas

Entidades importantes: servicios postales, gestión de residuos, química, agroalimentación, fabricación, servicios digitales

Pymes incluidas en los sectores críticos a partir de 50 empleados o 10 M€ de facturación

Proveedores críticos de las entidades esenciales (cadena de suministro)

Las 10 medidas de seguridad obligatorias

NIS2 impone 10 medidas mínimas de gestión de riesgos de ciberseguridad (artículo 21). Abarcan los ámbitos de gobernanza, técnico y operativo.

Política de seguridad de los SI (PSSI) formalizada

Gestión de incidentes y plan de respuesta

Continuidad de negocio y gestión de crisis

Seguridad de la cadena de suministro (cadena de suministro de TIC)

Adquisición, desarrollo y mantenimiento seguros

Eficacia de las medidas: auditorías periódicas, pruebas de intrusión

Ciberhigiene y formación de los empleados

Cifrado y criptografía

Control de acceso y gestión de activos

Autenticación multifactor (MFA)

Notificación de incidentes

En caso de incidente significativo, las entidades sujetas a NIS2 deben notificarlo a la ANSSI conforme a un calendario estricto.

Alerta temprana en 24 h: desde que se tiene conocimiento del incidente

Notificación en 72 h: análisis preliminar

Informe final en 1 mes: causas, medidas correctoras

Obligación de informar a los destinatarios si hay impacto en los servicios

Sanciones y gobernanza

La directiva NIS2 compromete personalmente la responsabilidad de los directivos. Las sanciones económicas están armonizadas a escala europea.

Entidades esenciales: hasta 10 M€ o el 2 % de la facturación mundial

Entidades importantes: hasta 7 M€ o el 1,4 % de la facturación mundial

Responsabilidad individual de los directivos (artículo 20)

Suspensión temporal de la actividad posible en caso de incumplimiento grave

Gobernanza: la dirección, comprometida

Los órganos de dirección deben aprobar las medidas de gestión de riesgos cibernéticos

Deben supervisar su aplicación

Deben recibir formación para adquirir los conocimientos necesarios

Simplifiez votre conformité NIS2 avec Data Comply One

Software NIS2

Registro de activos, análisis de riesgos, gestión de incidentes, cadena de suministro de TIC, paneles de control NIS2.

Descubrir el software

CISO externalizado

Experto en ciberseguridad que dirige su adecuación a NIS2 y su resiliencia operativa.

Programe una reunión

Formación en ciberseguridad

Concienciación obligatoria de directivos y empleados sobre los retos de NIS2.

Ver el programa

Auditoría de madurez

Evalúe su nivel de cumplimiento de NIS2 en 30 min e identifique sus prioridades.

Iniciar una auditoría

FAQ NIS2

Cualquier organización de más de 50 empleados o 10 M€ de facturación en uno de los 18 sectores enumerados por la directiva. Se recomienda una auditoría de perímetro para confirmar su estatus (entidad esencial o importante).