🇪🇺 ¿Qué es la directiva NIS2?
La directiva NIS2 (Network and Information Security 2) es una normativa europea adoptada en diciembre de 2022 que amplía y refuerza el marco de seguridad de los sistemas de información establecido por NIS1 en 2016. Debía transponerse al derecho nacional de los Estados miembros antes de octubre de 2024.
Su objetivo: elevar el nivel de ciberseguridad de las organizaciones consideradas críticas para la economía y la sociedad europea, y armonizar las prácticas a escala continental.
⚠️ Importante: En España, como en el resto de la UE, la transposición de NIS2 al derecho nacional está en su fase final. El INCIBE (para el sector privado) y el CCN-CERT (para el sector público) acompañan este proceso y publican guías en incibe.es y ccn-cert.cni.es. Las líneas generales que siguen son válidas, pero verifique los textos oficiales para su sector.
🏭 ¿A quién afecta NIS2?
NIS2 distingue dos categorías de entidades, según su tamaño y su criticidad:
🔴 Entidades esenciales
Grandes organizaciones en sectores altamente críticos. Supervisión más estricta, auditorías periódicas y sanciones más elevadas.
🟠 Entidades importantes
Organizaciones de tamaño intermedio en sectores críticos. Obligaciones similares, pero supervisión a posteriori.
Los 18 sectores cubiertos por NIS2
Electricidad, petróleo, gas, calor, hidrógeno
Aéreo, ferroviario, marítimo, por carretera
Entidades de crédito
Hospitales, laboratorios, I+D farmacéutica
Distribución de agua potable, aguas residuales
Cloud, centros de datos, DNS, CDN
Estado, entidades locales, administración central
Operadores de infraestructura espacial
Servicios postales y de mensajería
Recogida, tratamiento, reciclaje
Química, agroalimentación, fabricación
Organismos de investigación científica
🟠 Fondo naranja = sectores altamente críticos (entidades esenciales) · 🟢 Fondo verde = sectores importantes
📋 ¿Qué obligaciones impone NIS2?
-
Medidas de gestión de los riesgos cibernéticos Política de seguridad formalizada, análisis de riesgos documentado, plan de continuidad de negocio (PCN/PRD).
-
Notificación de los incidentes significativos Notificación al CSIRT competente (INCIBE-CERT) en 24 h (alerta inicial), 72 h (informe intermedio) y 1 mes (informe final).
-
Seguridad de la cadena de suministro Evaluación de los riesgos ligados a sus proveedores y prestadores de TI. Cláusulas contractuales de seguridad obligatorias.
-
Control de acceso y autenticación MFA obligatorio para los accesos sensibles, gestión de permisos, trazabilidad de los accesos a los sistemas críticos.
-
Seguridad de los activos y cifrado Inventario de los activos de TI, cifrado de los datos sensibles en tránsito y en reposo, gestión de vulnerabilidades.
-
Formación y concienciación Programa de concienciación en ciberseguridad para toda la plantilla, formación específica para los equipos de TI.
-
Responsabilidad de los directivos NIS2 compromete explícitamente la responsabilidad de los directivos: deben aprobar y supervisar las medidas de seguridad.
⚖️ ¿Qué sanciones hay por incumplimiento?
🗓️ Calendario de cumplimiento
✅ Plan de acción concreto para su empresa
Tanto si le afecta directamente NIS2 como si no, estos son los pasos para avanzar con método:
Consulte la lista de sectores cubiertos y el tamaño de su organización. En caso de duda, contacte con su asociación sectorial o directamente con el INCIBE a través de incibe.es.
Cartografíe sus sistemas, identifique los datos sensibles y evalúe su nivel de protección actual frente a los requisitos de NIS2.
Redacte o actualice su Política de Seguridad de la Información (alineada con el Esquema Nacional de Seguridad, ENS). Documente roles, responsabilidades y procedimientos.
MFA en todos los accesos sensibles, actualización de los sistemas, copia de seguridad 3-2-1, EDR en los puestos, segmentación de red.
Evalúe la postura de seguridad de sus proveedores de TI. Incorpore cláusulas de seguridad en sus contratos.
Defina de antemano quién notifica, cuándo y cómo. Prepare las plantillas de notificación al INCIBE-CERT.
🤝 Cómo puede acompañarle HEConcept
Cumplimiento NIS2 llave en mano
Nuestros expertos en ciberseguridad acompañan a las pymes y medianas empresas en su camino hacia NIS2: auditoría inicial, plan de remediación, despliegue de las soluciones técnicas y acompañamiento a largo plazo.
✅ Auditoría de cumplimiento NIS2
✅ Despliegue de MFA y EDR
✅ Firewall UTM y supervisión
✅ Plan de continuidad de negocio
❓ Preguntas frecuentes sobre NIS2
¿A quién afecta la directiva NIS2?
NIS2 se aplica a las entidades que operan en 18 sectores definidos (energía, transporte, salud, agua, infraestructuras digitales, administraciones, etc.). Distingue entre «entidades esenciales» (grandes organizaciones) y «entidades importantes» (medianas empresas). En España, el número de entidades afectadas se multiplica respecto a la anterior NIS1, que solo cubría unos cientos.
¿Qué sanciones prevé NIS2 en caso de incumplimiento?
Las sanciones varían según el tipo de entidad. Para las entidades esenciales: hasta 10 millones de euros o el 2 % de la facturación mundial anual (la cantidad más alta). Para las entidades importantes: hasta 7 millones de euros o el 1,4 % de la facturación mundial. La responsabilidad personal de los directivos también puede verse comprometida en caso de incumplimiento grave.
¿Por dónde empezar para cumplir con NIS2?
El primer paso es determinar si le afecta NIS2 y en qué categoría. Después, realice una auditoría de su nivel de seguridad actual, identifique las brechas respecto a los requisitos de NIS2 y establezca un plan de remediación priorizado. El INCIBE publica guías prácticas en incibe.es. Un proveedor especializado también puede acompañarle.
¿Está su empresa preparada para NIS2?
Nuestros expertos analizan gratuitamente su nivel de cumplimiento de NIS2 y le proponen un plan de acción concreto adaptado a su sector.