Directiva NIS2 de Ciberseguridad

Inicio / Directiva NIS2 de Ciberseguridad

Índice de contenidos

¿Qué es la directiva NIS2 y por qué importa?

La Directiva NIS2 (Network and Information Security 2) es la norma europea que actualiza y refuerza las reglas sobre ciberseguridad después de la versión original NIS de 2016.
El Software NIS2 tiene como objetivo principal crear un nivel común elevado de protección en toda la Unión Europea frente a riesgos digitales.

¿A quién aplica NIS2?

- - NIS2, se dirige a entidades públicas y privadas de tamaño mediano o grande que operan en sectores clave como energía, salud, transporte, finanzas, tecnologías de la información, agua, telecomunicaciones, entre otros.
- Dependiendo del sector y el nivel de criticidad, esas organizaciones serán clasificadas como “entidades esenciales” o “entidades importantes”.

Principales obligaciones bajo NIS2

Estas son las tareas clave que deberán asumir las entidades afectadas por el Software NIS2:

Obligación	Qué implica / ejemplos
Gestión de riesgos	Analizar amenazas, identificar vulnerabilidades, establecer controles de seguridad.
Gobernanza y responsabilidad	La alta dirección debe asumir responsabilidades claras en ciberseguridad.
Notificación de incidentes	Informar incidentes graves en plazos cortos (24 horas o menos) a la autoridad competente.
Seguridad en la cadena de suministro	Vigilar que los proveedores y subcontratistas también cumplan medidas de seguridad. C
Controles técnicos	Acceso controlado, cifrado, monitorización, actualizaciones, pruebas de seguridad periódicas.
Evaluación permanente	Revisar periódicamente la eficacia de las medidas e introducir mejoras continuas.

Plazos y estado en España

- - La directiva NIS2 entró en vigor el 16 de enero de 2023.
- - Los Estados miembros tenían hasta el 17 de octubre de 2024 para incorporar sus disposiciones al derecho nacional.
- - En España, la transposición se ha realizado mediante un anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad.
- En cuanto al Esquema Nacional de Seguridad (ENS), ya exigido para el sector público y para quienes trabajen con la Administración, muchas de sus exigencias están alineadas con el Software NIS2.

Consecuencias de no cumplir NIS2

- - Multas importantes: podrían superar los millones de euros o un porcentaje de la facturación global.
- - Riesgo reputacional: filtraciones de datos o paradas de servicio pueden dañar la confianza de clientes, usuarios o instituciones.
- Pérdida operativa: un incidente mal manejado puede paralizar operaciones críticas.

Recomendaciones prácticas para empezar ya con el cumplimiento de esta normativa:

Hacer un diagnóstico inicial de tus sistemas, activos y riesgos.
Mapear proveedores y subcontratistas para ver dónde están los puntos débiles en la cadena.
Definir roles y responsabilidades en ciberseguridad para directivos y áreas técnicas.
Implementar medidas básicas: control de acceso, copias de seguridad, cifrado, parches, monitoreo.
Formación continua del personal: cultura de seguridad y detección de amenazas.
Simulacros y ejercicios de incidentes para preparar la respuesta en situaciones reales.
Revisión constante: auditar de forma periódica y ajustar según evolucione el entorno.