Cómo adaptar tu empresa a la Directiva NIS2: guía práctica
Por el equipo de QuantumSec
La Directiva NIS2 (Network and Information Security 2) entró en aplicación en octubre de 2024 y obliga a miles de empresas en España a implementar medidas técnicas y organizativas de ciberseguridad. Si no sabes si te afecta o por dónde empezar, esta guía te da las respuestas.
Primer paso: ¿te aplica NIS2?
NIS2 afecta a empresas de 18 sectores regulados que superen ciertos umbrales de tamaño (medianas y grandes). Los sectores incluyen energía, transporte, salud, agua, infraestructura digital, TIC, manufactura, alimentación y servicios postales, entre otros. Si tu empresa opera en uno de estos sectores, lo primero es confirmar si eres "entidad esencial" o "entidad importante", ya que las obligaciones y sanciones difieren.
Los diez requisitos del artículo 21
El artículo 21 de NIS2 define las medidas de seguridad obligatorias: (1) gestión de riesgos, (2) respuesta a incidentes, (3) continuidad del negocio, (4) seguridad de la cadena de suministro, (5) adquisición y desarrollo seguros, (6) gestión de vulnerabilidades, (7) formación y concienciación, (8) criptografía, (9) control de acceso y autenticación, y (10) seguridad en las comunicaciones.
Notificación de incidentes: los plazos que no puedes ignorar
NIS2 impone plazos estrictos para notificar incidentes significativos al organismo supervisor: alerta temprana en 24 horas, notificación completa en 72 horas e informe final en 30 días. No cumplir estos plazos puede agravar las sanciones.
Responsabilidad de los órganos de dirección
Una de las novedades más relevantes de NIS2 es que los órganos de administración pueden ser declarados personalmente responsables si no implementan las medidas exigidas. Esto incluye a los consejos de administración, consejos de dirección y cualquier persona con funciones directivas.
Por dónde empezar: el gap analysis
El primer paso práctico es hacer un análisis de brechas (gap analysis) que compare tu situación actual con los requisitos de NIS2. El resultado te dará un mapa claro de lo que tienes, lo que te falta y qué es prioritario. Es la base de cualquier plan de adecuación serio.
FAQ
¿NIS2 ya es obligatoria en España aunque no se haya transpuesto la directiva?
La directiva crea obligaciones desde su entrada en aplicación (octubre 2024), aunque la ley nacional específica puede estar pendiente. En todo caso, la tendencia regulatoria es clara y adecuarse ahora es la decisión prudente para evitar sanciones retroactivas.
¿Las PYMEs están obligadas por NIS2?
NIS2 se aplica principalmente a medianas y grandes empresas (más de 50 empleados o más de 10M€ de facturación). Sin embargo, microempresas y PYMEs que presten servicios en los sectores regulados pueden estar incluidas en casos específicos.