Cumplimiento NIS2 para empresas

NIS2 en España: dónde está la ley y por qué conviene prepararse ya

NIS2 es la directiva europea que sustituye a la NIS original y fija un nivel común de ciberseguridad en la Unión. Los Estados debían trasponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es la norma que la trasladará a nuestro ordenamiento. A la fecha de redacción de esta página, esa ley no consta publicada en el BOE y la Comisión Europea mantiene abierto un procedimiento de infracción contra España por no haber completado la transposición. Mientras tanto sigue aplicándose el Real Decreto-ley 12/2018, que trasponía la NIS anterior. Revisad siempre el BOE para conocer la situación actualizada.

Esperar a la publicación tiene poco sentido: las medidas que pide la directiva no van a cambiar en lo esencial, llevan tiempo de implantar y muchos clientes grandes ya las están exigiendo a sus proveedores.

¿Os afecta NIS2?

La directiva distingue entre entidades esenciales e importantes según el sector y el tamaño. Abarca sectores como energía, transporte, banca, salud, agua, infraestructura digital, proveedores de servicios TIC gestionados, administración pública, servicios postales, gestión de residuos, química, alimentación, fabricación de determinados productos, proveedores digitales e investigación. Por regla general entran las medianas y grandes empresas de esos sectores, y algunas entidades lo están con independencia de su tamaño. El encaje exacto depende de la ley española y de cómo se calcule el tamaño con empresas vinculadas, así que lo analizamos caso a caso.

Aunque no estéis directamente obligados, NIS2 os puede llegar por la cadena de suministro: las entidades afectadas deben gestionar el riesgo de sus proveedores, y eso se traduce en cuestionarios de seguridad, cláusulas contractuales y auditorías a quien les presta servicios.

Qué medidas exige

El artículo 21 de la directiva pide medidas proporcionadas al riesgo, entre ellas:

• Análisis de riesgos y políticas de seguridad de los sistemas de información.
• Gestión de incidentes y continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
• Seguridad de la cadena de suministro y de la relación con proveedores.
• Seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión de vulnerabilidades.
• Evaluación de la eficacia de las medidas, ciberhigiene básica y formación.
• Criptografía y cifrado, seguridad de los recursos humanos, control de accesos y gestión de activos.
• Autenticación multifactor y comunicaciones seguras cuando proceda.

Además, el artículo 20 hace responsables a los órganos de dirección: deben aprobar las medidas, supervisar su aplicación y formarse.

Notificación de incidentes

Para incidentes significativos, el artículo 23 fija una alerta temprana en 24 horas, una notificación en 72 horas con una primera evaluación y un informe final como máximo un mes después. Cumplir esos plazos exige saber detectar, clasificar y documentar un incidente antes de que ocurra. Por eso preparamos el procedimiento, las plantillas y la monitorización que lo hacen posible.

Qué hacemos nosotros

Cubrimos la parte técnica y organizativa: análisis de diferencias, plan de adecuación, implantación de medidas (EDR gestionado, firewall, VPN, copias inmutables, MFA, monitorización con SysMonitor), políticas y evidencias para auditoría. La interpretación jurídica de vuestro encaje y las relaciones con la autoridad competente corresponden a vuestro asesor legal; trabajamos coordinados con él.