En resumen
- Reglamentación: NIS2.
- Toda ESN que preste servicios de externalización, servicios gestionados o gestión de servicios TIC, por encima del umbral de tamaño, está afectada.
- Gestionar los riesgos (artículo 21).
- Asegurar la cadena de suministro.
- Notificar los incidentes.
- Para las entidades importantes, hasta 7 M€ o el 1,4 % del volumen de negocio mundial (10 M€ o el 2 % para las esenciales), con posible responsabilidad personal de los directivos.
Plazos normativos
Las fechas clave de esta normativa.
Enero de 2023
Entrada en vigor (directiva UE)
En vigorOctubre de 2024
Plazo de transposición (UE)
En vigor2026
Transposición francesa (ley de resiliencia)
En vigor¿De qué trata NIS2?
NIS2 clasifica las organizaciones en entidades esenciales e importantes según su sector (anexos I y II) y su tamaño. La gestión de servicios TIC (B2B) y los proveedores de servicios gestionados figuran entre los sectores incluidos.
Una empresa de servicios tecnológicos puede pertenecer a las entidades importantes o, según su criticidad, a las entidades esenciales, sujetas a una supervisión más exhaustiva.
¿Está afectado el sector «Empresas de servicios digitales (ESN)»?
Toda ESN que preste servicios de externalización informática, servicios gestionados o gestión de servicios TIC, por encima del umbral de tamaño, está afectada. Algunas, consideradas críticas, pueden estarlo con independencia de su tamaño.
Por debajo del umbral, la empresa de servicios digitales sigue estando indirectamente afectada: sus clientes sujetos a NIS2 deben asegurar su cadena de suministro y le trasladan sus requisitos por contrato.
Obligaciones detalladas
Gestionar los riesgos (artículo 21).
Desplegar las medidas técnicas y organizativas: política de seguridad, gestión de incidentes, continuidad, cifrado, control de acceso, autenticación multifactor.
Asegurar la cadena de suministro.
Evaluar y supervisar sus propios proveedores y componentes, y proporcionar a sus clientes las garantías esperadas sobre su propia seguridad.
Notificar los incidentes
Emitir una alerta temprana tras tener conocimiento de un incidente significativo, y posteriormente los informes intermedios y finales dentro de los plazos establecidos.
Garantizar la continuidad
Disponer de un plan de continuidad y recuperación, copias de seguridad probadas y una organización de gestión de crisis.
Implicar a la dirección
Hacer aprobar y supervisar el dispositivo por el órgano de dirección, ahora responsable y formado en los riesgos.
Sanciones y riesgos
Para las entidades importantes, hasta 7 M€ o el 1,4 % del volumen de negocio mundial (10 M€ o el 2 % para las esenciales), con posible responsabilidad personal de los directivos.
El riesgo comercial es significativo: una deficiencia en el cumplimiento puede descalificar a la empresa de servicios digitales en los procesos de licitación de sus clientes regulados, quienes deben asegurar su cadena de suministro.
Calendario de aplicación
- 1Directiva. Adoptada a finales de 2022.
- 2Francia. Transposición en fase de finalización; anticipar las medidas sin esperar.
Errores frecuentes en el sector
- 1«Demasiado pequeño para NIS2». Ignorar el umbral, alcanzado desde 50 empleados o 10 M€.
- 2Garantías para clientes ausentes. No poder demostrar su propia seguridad a los clientes sujetos a NIS2.
- 3Cadena no controlada. Descuidar la seguridad de sus propios subcontratistas y componentes.
- 4Dirección ausente. Dejar la ciberseguridad únicamente al área técnica.
Caso práctico
Una empresa de servicios digitales de 120 personas gestiona la externalización informática de varios ayuntamientos y hospitales. Como proveedora de servicios gestionados que supera el umbral, está sujeta a NIS2 y, en su condición de eslabón de clientes esenciales, debe ofrecer garantías sólidas. Implanta el MFA de forma generalizada, formaliza su plan de respuesta a incidentes, regula a sus subcontratistas y hace validar el dispositivo por su dirección.
Hoja de ruta de cumplimiento
- 1
Calificar. Determinar el estatus (importante, esencial, fuera de ámbito).
- 2
Analizar. Realizar un análisis de riesgos y un diagnóstico respecto al artículo 21.
- 3
Desplegar. Implementar las medidas pendientes y un plan de respuesta a incidentes.
- 4
Proteger a los proveedores. Cartografiar y encuadrar su propia cadena de suministro.
- 5
Instrumentar la notificación. Implementar el proceso de alerta y notificación.
Preguntas frecuentes
La mayoría de las veces importante, pero puede ser esencial en función de su criticidad y su papel en la cadena de suministro de sectores esenciales.
Pase a la acción en NIS2
Diagnóstico gratuito o una charla con un experto dedicado a empresas de servicios digitales (esn).
Ya confían en nosotros
Descubra cómo organizaciones del sector empresas de servicios digitales (esn) aseguraron su cumplimiento con DCO.