La Directiva NIS2, Directiva (UE) 2022/2555, es la ley de ciberseguridad de la Unión Europea para las entidades «esenciales» e «importantes» de 18 sectores. Les exige diez medidas de seguridad mínimas (artículo 21), notificar los incidentes significativos en 24 horas (artículo 23) y que la dirección rinda cuentas (artículo 20), con multas de hasta 10 millones de euros o el 2 % de la facturación mundial. Sustituyó a la Directiva NIS de 2016 y amplió tanto los sectores cubiertos como las obligaciones de cada entidad.
Si usted gestiona plantas, lo difícil es aplicar esas medidas a máquinas que no admiten software de seguridad. Nuestra página de cumplimiento NIS2 para OT asocia cada medida del artículo 21 al control que la cubre, y dice con claridad qué parte sigue siendo tarea suya.
¿Qué es la Directiva NIS2?
NIS2 es la segunda directiva sobre seguridad de las redes y sistemas de información. El texto completo está en EUR-Lex. Entró en vigor en enero de 2023. Los Estados miembros debían transponerla antes del 17 de octubre de 2024, y cada ley nacional fija sus propias fechas de aplicación.
La directiva tiene cuatro objetivos:
- Armonizar las normas de ciberseguridad entre Estados miembros.
- Ampliar el alcance a más sectores y a las empresas medianas.
- Fijar medidas de seguridad concretas en lugar de dejarlas a la interpretación nacional.
- Acelerar la notificación de incidentes y la cooperación entre autoridades nacionales.
¿Quién debe cumplir NIS2?
NIS2 se aplica a las organizaciones medianas y grandes de los sectores enumerados en sus dos anexos. Algunas entidades están afectadas sea cual sea su tamaño, como los proveedores de DNS o el único proveedor de un servicio crítico en un Estado miembro.
| Categoría | Sectores | Tamaño típico | Multa máxima |
|---|---|---|---|
| Entidad esencial | Grandes organizaciones del anexo I: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública, espacio | 250 empleados o más, o más de 50 millones de euros de facturación | 10 millones de euros o el 2 % de la facturación mundial anual |
| Entidad importante | Organizaciones medianas del anexo I, y medianas o grandes del anexo II: servicios postales, gestión de residuos, química, alimentación, fabricación (productos sanitarios, electrónica, equipos eléctricos, maquinaria, vehículos), proveedores digitales, investigación | 50 empleados o más, o más de 10 millones de euros de facturación | 7 millones de euros o el 1,4 % de la facturación mundial anual |
El anexo I reúne 11 sectores de alta criticidad y el anexo II otros 7 sectores críticos, de ahí los «18 sectores». Las entidades ya cubiertas por la primera Directiva NIS siguen dentro. Muchos fabricantes, productores de alimentos y plantas químicas entran por primera vez.
Las obligaciones son casi idénticas para ambas categorías. La diferencia está en la supervisión: las entidades esenciales tienen supervisión previa y las importantes, supervisión a posteriori.
¿Cuáles son los requisitos de NIS2?
Las diez medidas de seguridad del artículo 21
El artículo 21(2) enumera diez medidas mínimas. Deben ser proporcionadas a su riesgo, su tamaño y el impacto probable de un incidente. La columna de la derecha explica qué supone cada una en una planta industrial.
| Artículo | Medida | Qué supone en una planta industrial |
|---|---|---|
| 21(2)(a) | Análisis de riesgos y políticas de seguridad de los sistemas de información | Partir de un inventario de máquinas actualizado. En OT se escucha el tráfico en lugar de escanear los equipos. |
| 21(2)(b) | Gestión de incidentes | Registrar los accesos a cada máquina, para reconstruir la cronología dentro de los plazos de notificación. |
| 21(2)(c) | Continuidad de negocio, copias de seguridad, gestión de crisis | Guardar copia de los programas de PLC y de las configuraciones, no solo de los servidores. Probar la restauración. |
| 21(2)(d) | Seguridad de la cadena de suministro | Controlar el acceso del integrador, de la empresa de mantenimiento y del fabricante de la máquina, incluidos los routers 4G olvidados en los armarios. |
| 21(2)(e) | Seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión de vulnerabilidades | Incluir cláusulas de seguridad en los pliegos de las máquinas. Prever los equipos que nunca recibirán un parche. |
| 21(2)(f) | Evaluación de la eficacia de las medidas | Medir y mostrar los datos. Una política escrita no basta como evidencia. |
| 21(2)(g) | Ciberhigiene básica y formación | Incluir a los equipos de producción. Son ellos quienes conectan memorias USB y abren accesos a proveedores. |
| 21(2)(h) | Criptografía y cifrado | Modbus, S7 y DNP3 viajan en claro. El cifrado tiene que venir de la red que rodea a las máquinas. |
| 21(2)(i) | Seguridad de los recursos humanos, control de acceso, gestión de activos | Un PLC no conoce el concepto de usuario. Una contraseña de taller compartida no deja rastro nominativo. |
| 21(2)(j) | Autenticación multifactor y comunicaciones seguras | Un HMI antiguo no admite MFA. La autenticación fuerte debe situarse delante de la máquina. |
Para ver cómo responde Trout Access Gate a cada línea, con un «parcial» honesto cuando parte del trabajo sigue siendo suyo, consulte la correspondencia del artículo 21 en nuestra página NIS2.
Notificación de incidentes (artículo 23)
Ante un incidente significativo, el plazo empieza a contar cuando usted tiene conocimiento de él.
- En 24 horas: una alerta temprana al CSIRT o a la autoridad competente.
- En 72 horas: una notificación del incidente con una primera evaluación de su gravedad e impacto.
- En un mes: un informe final.
Un incidente es significativo cuando causa, o puede causar, una perturbación grave del servicio o pérdidas económicas, o daños considerables a terceros. El plazo de 24 horas es el que sorprende a la mayoría de las organizaciones.
Gobernanza y responsabilidad (artículo 20)
Los órganos de dirección deben aprobar las medidas de seguridad, supervisar su aplicación y recibir formación en ciberseguridad. Se les puede exigir responsabilidad por los incumplimientos. En las entidades esenciales, la autoridad puede inhabilitar temporalmente a un directivo para funciones de dirección (artículo 32). Nuestro artículo sobre la responsabilidad de la dirección en NIS2 lo explica en detalle.
¿Qué supone NIS2 para las redes ICS y OT?
NIS2 no exime a los sistemas de control industrial. En energía, agua, transporte y fabricación, las medidas del artículo 21 recaen sobre PLC, HMI, RTU y servidores SCADA. La mayoría de estas máquinas no admiten un agente, y muchas funcionan con sistemas operativos sin soporte. Cuatro áreas requieren un trabajo específico de OT.
Gestión de activos
Mantenga al día el inventario de cada máquina, su firmware y sus flujos de datos. Constrúyalo de forma pasiva a partir del tráfico de red, para no alterar nunca un proceso en marcha. Nuestra guía sobre los requisitos de inventario de activos de NIS2 detalla qué controlar.
Gestión de riesgos
Evalúe a la vez el riesgo cibernético y el físico, porque un incidente OT puede parar una línea o herir a alguien. Clasifique las máquinas según lo que costaría su parada. Revise el análisis cada vez que cambie la planta.
Respuesta a incidentes
Designe un equipo de respuesta con funciones claras. Redacte un plan para incidentes OT y pruébelo en simulacros con el personal de producción. Decida de antemano quién notifica a la autoridad, para que la alerta de 24 horas no espere a una reunión.
Continuidad de negocio
Prevea alternativas para los procesos críticos. Guarde copias sin conexión de los programas de PLC y de los proyectos HMI. Compruebe que el plan sigue reflejando la planta tras cada cambio.
Control de acceso y segmentación
Suele ser la brecha más difícil de cerrar. Las máquinas antiguas no saben autenticar a un usuario ni grabar una sesión, y la vía de entrada más arriesgada es el acceso remoto de proveedores. El considerando 89 de la directiva cita la segmentación de la red entre las prácticas básicas de ciberhigiene, y marcos nacionales como el ReCyF francés exigen a las entidades esenciales dividir sus sistemas en zonas de seguridad.
Trout Access Gate se conecta a su red existente y sitúa una pasarela delante de esas máquinas. Cada sesión, incluido el mantenimiento por terceros, queda ligada a un usuario con nombre, limitada a las máquinas necesarias y grabada. No se instala nada en las máquinas. Consulte cumplimiento NIS2 para OT y acceso remoto seguro para OT y proveedores.
¿Qué normas ayudan a cumplir NIS2?
No existe un certificado NIS2. El cumplimiento se demuestra ante la autoridad nacional con evidencias. Las normas existentes permiten reunirlas más rápido.
- La IEC 62443 aporta el modelo técnico de las redes industriales: zonas y conductos, niveles de seguridad y requisitos para proveedores.
- La ISO/IEC 27001 cubre el sistema de gestión: proceso de riesgos, políticas y mejora continua.
- Los marcos nacionales convierten el artículo 21 en objetivos verificables, como el ReCyF publicado por la ANSSI francesa.
Asocie cada medida del artículo 21 a un control que ya aplique, para no hacer el trabajo dos veces. Si además vende al sector de defensa de EE. UU., consulte una sola arquitectura para CMMC y NIS2.
Cómo prepararse para el cumplimiento de NIS2
- Confirme su categoría. Compruebe si es entidad esencial o importante, y regístrese ante la autoridad nacional.
- Haga un análisis de brechas. Compare sus controles actuales con las diez medidas del artículo 21, planta por planta.
- Elabore una hoja de ruta. Asigne a cada brecha un responsable, una fecha y un presupuesto. Empiece por las de mayor riesgo.
- Prepárese para notificar. Compruebe que puede enviar una alerta en 24 horas, también en fin de semana.
- Proteja la cadena de suministro. Añada cláusulas de seguridad a los contratos con proveedores y controle su acceso remoto.
- Ponga controles delante del OT. Segmentación, acceso nominativo, MFA y registros de sesión, sin modificar las máquinas.
- Forme a las personas. Incluya a operadores y mantenimiento, no solo a las oficinas.
- Mida y mejore. Revise las medidas con regularidad y tenga las evidencias listas para una auditoría.
Hay tres dificultades frecuentes. Los controles de seguridad no deben bloquear el trabajo legítimo de producción. Las entidades pequeñas deben invertir donde el riesgo es mayor. Y la seguridad de sus proveedores pasa a ser la suya, así que prevea sus revisiones desde el principio.
¿Cuándo se aplica NIS2?
El plazo de transposición venció el 17 de octubre de 2024. En 2026, la mayoría de los Estados miembros ya han incorporado NIS2 a su legislación nacional. Algunos, entre ellos Francia, siguen ultimando la suya, y la supervisión se intensifica a medida que entra en vigor cada ley nacional. Consulte a su autoridad nacional la fecha que le corresponde. Nuestro artículo sobre la aplicación de NIS2 recoge lo que ha cambiado.
Por dónde empezar
Identifique su categoría, asocie sus controles al artículo 21 y pruebe su notificación en 24 horas. En las plantas, empiece por el control de acceso a las máquinas que no pueden protegerse solas.