La Directiva NIS2 es la ley de ciberseguridad actualizada de la Unión Europea, en vigor desde enero de 2023 y aplicada mediante legislación nacional desde octubre de 2024. Exige a las entidades «esenciales» e «importantes» de 18 sectores gestionar el riesgo cibernético, asegurar su cadena de suministro, notificar los incidentes importantes en un plazo de 24 horas y responsabilizar a la alta dirección, con multas de hasta 10 millones de euros o el 2 % de la facturación mundial. Sustituye a la Directiva NIS de 2016 y amplía tanto los sectores cubiertos como las obligaciones de cada entidad.
Comprender la Directiva NIS2
La Directiva NIS2 es la legislación de ciberseguridad más relevante de la UE desde la Directiva NIS original de 2016. Amplía el ámbito de aplicación a más sectores, introduce sanciones más estrictas (hasta 10 millones de EUR o el 2 % de la facturación global) y exige la notificación de incidentes en un plazo de 24 horas. Para fabricantes, empresas energéticas y proveedores de infraestructuras digitales que antes no estaban incluidos, esto supone un terreno nuevo con plazos inamovibles.
¿Cuáles son los requisitos?
Medidas de seguridad
Bajo NIS2, las organizaciones deben implementar medidas de ciberseguridad específicas y proporcionales a su riesgo. Estas medidas deben alinearse con las mejores prácticas e incluir:
- Análisis de riesgos y políticas de seguridad de los sistemas de información.
- Gestión de incidentes (prevención, detección, respuesta y recuperación).
- Continuidad del negocio y gestión de crisis.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información.
- Políticas y procedimientos para evaluar la eficacia de las medidas de gestión del riesgo de ciberseguridad.
Notificación de incidentes
La notificación de incidentes es un aspecto central de NIS2, diseñado para garantizar la concienciación y la respuesta oportunas ante ciberamenazas. Las organizaciones deben:
- Notificar los incidentes que tengan un impacto significativo en la prestación de sus servicios.
- Informar a las autoridades competentes o a los CSIRT (Equipos de Respuesta a Incidentes de Seguridad Informática) en un plazo de 24 horas desde que tengan conocimiento del incidente.
- Proporcionar informes detallados del incidente en un plazo de 72 horas.
Gobernanza y responsabilidad
La directiva hace especial hincapié en la gobernanza y exige a las entidades que:
- Asignen responsabilidades claras en materia de gestión del riesgo de ciberseguridad.
- Garanticen la responsabilidad de la alta dirección en la supervisión del cumplimiento de NIS2.
- Ofrezcan programas periódicos de formación y concienciación para los empleados.
Ámbito de aplicación de NIS2
Ampliación de la cobertura sectorial
NIS2 amplía el ámbito de los sectores que cubre e incorpora industrias adicionales consideradas esenciales para la economía y la sociedad. Entre ellas se encuentran:
- Energía
- Transporte
- Infraestructuras bancarias y de mercados financieros
- Salud
- Suministro y distribución de agua potable
- Infraestructura digital
- Administración pública
Entidades esenciales frente a entidades importantes
Las entidades se clasifican como esenciales o importantes en función de su impacto social y económico. Esta clasificación determina el alcance de sus obligaciones bajo NIS2, siendo los requisitos más estrictos para las entidades esenciales.
¿Quién debe cumplir?
Obligaciones existentes y nuevas
NIS2 se aplica a:
- Entidades existentes cubiertas anteriormente por la Directiva NIS original.
- Nuevas entidades dentro de los sectores ampliados y aquellas identificadas como de importancia crítica.
Umbrales de inclusión
La directiva establece umbrales específicos de inclusión basados en factores como:
- Tamaño y facturación.
- Relevancia en el mercado.
- La criticidad de los servicios prestados.
Cómo prepararse para el cumplimiento de NIS2
Realizar un análisis de brechas
Lleve a cabo un análisis de brechas detallado para comparar las prácticas de ciberseguridad actuales con los requisitos de NIS2. Este análisis identificará las áreas que necesitan mejoras o medidas adicionales.
Implementar un marco de ciberseguridad
Adopte un marco de ciberseguridad, como NIST SP 800-171 o ISO/IEC 27001, para disponer de un enfoque estructurado en la gestión de la seguridad de la información. Esto facilita la alineación efectiva con los requisitos de NIS2.
Reforzar los planes de respuesta a incidentes
Desarrolle y perfeccione los planes de respuesta a incidentes para garantizar la detección y mitigación rápidas de incidentes de ciberseguridad. Pruebe estos planes periódicamente mediante simulaciones y ejercicios.
Mejorar la seguridad de la cadena de suministro
Dada la importancia que se otorga a la seguridad de la cadena de suministro, evalúe y refuerce la postura de ciberseguridad de su cadena de suministro. Esto incluye realizar evaluaciones de riesgos y garantizar que los contratos con proveedores incluyan obligaciones de ciberseguridad.
Controlar el acceso a los sistemas OT e industriales
Para los operadores de energía, agua, fabricación y otros sectores industriales incluidos en NIS2, los requisitos de control de acceso y responsabilidad recaen directamente sobre la tecnología operativa, y suele ser la brecha más difícil de cerrar. Los PLC, HMI y sistemas SCADA antiguos no pueden autenticar a un usuario ni registrar una sesión, y la vía de acceso de mayor riesgo es el acceso remoto de los proveedores. Trout coloca una pasarela de acceso sin agente delante de estos sistemas, de modo que cada sesión, incluido el mantenimiento por terceros, quede vinculada a una identidad, con privilegio mínimo y registrada, sin modificar los equipos. Consulte el cumplimiento de NIS2 para OT y el acceso remoto seguro para OT y proveedores.
Formación y concienciación
Realice sesiones de formación periódicas para los empleados con el fin de mejorar la concienciación y la comprensión de las ciberamenazas y la importancia de cumplir los requisitos de NIS2.
Conclusión
El plazo de 2026 es inamovible. Si aún no ha iniciado su análisis de brechas, ese es el primer paso inmediato. Identifique en qué categoría de entidad se encuentra (esencial o importante), compare sus controles actuales con los requisitos del Artículo 21 y elabore un calendario de subsanación. Priorice la preparación para la notificación de incidentes (la ventana de notificación de 24 horas toma por sorpresa a la mayoría de las organizaciones) y las obligaciones de seguridad de la cadena de suministro. Las organizaciones que comiencen ahora cumplirán; las que esperen irán con el tiempo encima.
Para más recursos sobre NIS2, opciones de despliegue soberano y guías de cumplimiento, visite el centro de cumplimiento NIS2 para OT en instalaciones propias.