En resumen
- Reglamentación: NIS2.
- Productores, gestores de redes, distribuidores de energía, operadores de agua potable y saneamiento que superen los umbrales son entidades esenciales.
- Securizar el OT/SCADA.
- Aplicar las medidas del artículo 21.
- Notificar los incidentes.
- Hasta 10 M€ o el 2 % del volumen de negocio mundial, con supervisión a priori y posible responsabilidad de los directivos.
Plazos normativos
Las fechas clave de esta normativa.
Enero de 2023
Entrada en vigor (directiva UE)
En vigorOctubre de 2024
Plazo de transposición (UE)
En vigor2026
Transposición francesa (ley de resiliencia)
En vigor¿De qué trata NIS2?
NIS2 clasifica la energía (electricidad, gas, petróleo, hidrógeno, calor), el agua potable y las aguas residuales entre las entidades esenciales del anexo I. La gestión de residuos corresponde a las entidades importantes. El régimen esencial implica una supervisión a priori (controles, auditorías).
Las medidas del artículo 21 deben cubrir la IT y, sobre todo, la OT (SCADA), históricamente poco segura.
¿El sector «Energía y medioambiente» está afectado?
Productores, gestores de redes, distribuidores de energía, operadores de agua potable y saneamiento por encima de los umbrales son entidades esenciales. Algunos operadores críticos pueden serlo independientemente de su tamaño.
La gestión de residuos corresponde a las entidades importantes, sujetas a un régimen ligeramente menos estricto.
Obligaciones detalladas
Asegurar el OT/SCADA
Inventariar y proteger los sistemas industriales de control, a menudo obsoletos y expuestos una vez conectados.
Aplicar las medidas del artículo 21.
Política de seguridad, gestión de incidentes, cifrado, control de acceso, autenticación multifactor.
Notificar los incidentes
Emitir una alerta temprana y luego los informes según los plazos.
Garantizar continuidad y crisis
Disponer de planes robustos adaptados a las infraestructuras críticas.
Someterse a la supervisión
Cooperar en los controles previos propios de las entidades esenciales.
Sanciones y riesgos
Hasta 10 M€ o el 2 % del volumen de negocio mundial, con supervisión a priori y posible responsabilidad de los directivos. El riesgo operativo es de alcance social: un ataque a una red esencial puede privar a la población de energía o agua.
Calendario de aplicación
- 1Directiva. Adoptada a finales de 2022.
- 2Francia. Transposición en curso; régimen esencial que anticipar.
Errores frecuentes en el sector
- 1SCADA descuidado. Proteger la TI sin gestionar los sistemas industriales.
- 2Continuidad frágil. Subestimar el impacto social de una interrupción.
- 3Cadena no asegurada. Dejar proveedores críticos sin supervisión.
- 4Dirección ausente. Limitar la ciberseguridad al ámbito técnico.
Caso práctico
Un operador de agua detecta una intrusión en su SCADA a través de un acceso de telegestión. Como entidad esencial, debe notificar y demostrar sus medidas. Segmenta IT/OT, controla los accesos remotos, refuerza la supervisión de los sistemas industriales y pone a prueba su plan de continuidad.
Hoja de ruta de cumplimiento
- 1
Calificar. Confirmar el estado esencial.
- 2
Cartografiar el OT. Inventariar los sistemas SCADA e interconexiones.
- 3
Securizar. Desplegar las medidas IT/OT y el plan de incidentes.
- 4
Encuadrar a los proveedores. Asegurar la cadena de suministro.
- 5
Preparar las auditorías. Prepararse para la supervisión a priori.
Preguntas frecuentes
Energía y agua: esencial; residuos: importante.
Pase a la acción en NIS2
Diagnóstico gratuito o una charla con un experto dedicado a energía y medio ambiente.
Ya confían en nosotros
Descubra cómo organizaciones del sector energía y medio ambiente aseguraron su cumplimiento con DCO.