QUÉ ES Y CÓMO TE AFECTA LA DIRECTIVA EUROPEA NIS2 DE CIBERSEGURIDAD

¿Has oído hablar de la NIS2? Es la directiva europea que está redefiniendo la ciberseguridad en toda la Unión Europea, ampliando enormemente el número de empresas obligadas a protegerse frente a ciberataques. Pero hay un matiz que casi nadie te cuenta con claridad: aunque la directiva lleva en vigor desde enero de 2023, España todavía no la ha transpuesto a su legislación. Aquí te explicamos en qué punto está realmente y, sobre todo, qué deberías estar haciendo ya aunque la ley nacional aún no se haya publicado.

El estado real a día de hoy: el plazo para transponer la directiva venció el 17 de octubre de 2024, pero España no lo cumplió. Lo único que existe por ahora es el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025 y aún en tramitación parlamentaria. Por ese retraso, la Comisión Europea envió a España un dictamen motivado en mayo de 2025, paso previo a una posible demanda ante el Tribunal de Justicia de la UE. Conclusión práctica: cuando la ley se publique en el BOE, lo previsible es que entre en vigor con muy poco margen de adaptación.

Esta normativa NIS2 no solo se enfoca en la seguridad interna de las empresas, sino que también abarca la cadena de suministro y las relaciones con proveedores. Además, la alta dirección será directamente responsable del cumplimiento de estas medidas. Conoce todos los detalles y cómo tu empresa puede adaptarse a esta nueva era de la ciberseguridad.

Las empresas que deberán tener en cuenta esta nueva normativa NIS2 serán:

“*La Directiva NIS2, a efectos de cumplimiento de las medidas de gestión de riesgos, distingue entre entidades esenciales e importantes, en función del grado de criticidad de sus sectores o del tipo de servicio que prestan, así como de su tamaño. La Directiva NIS2 recoge los criterios para determinar si una entidad, de cualquiera de los tipos de los anexos I (Página 64 B.O.E.) y II (Pág. 69 B.O.E.), es esencial o importante.

Se consideran entidades esenciales:

• • Grandes empresas de los sectores de alta criticidad del anexo I.
  • Independientemente de su tamaño, los prestadores cualificados de servicios de confianza y registros de nombres de dominio de primer nivel y los proveedores de servicios de DNS.
  • Medianas empresas proveedoras de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles para el público.
  • Independientemente de su tamaño, entidades identificadas como críticas con arreglo a la Directiva (UE) 2022/2557 que ha de trasponerse a la legislación nacional en las mismas fechas que la NIS2.
  • Si así́ lo dispone el Estado miembro, las entidades identificadas por dicho Estado miembro antes del 16 de enero de 2023 como operadores de servicios esenciales de conformidad con la Directiva (UE) 2016/1148 o el derecho nacional.
  • Administración Pública central, que también queda incluida independientemente de su tamaño.

Se consideran entidades importantes todas aquellas de uno de los tipos mencionados en los anexos I o II que no puedan considerarse entidades esenciales.

Además, un Estado miembro puede identificar a una entidad, independientemente de su tamaño, como esencial o importante cuando:

• • La entidad sea el único proveedor en un Estado miembro de un servicio esencial para el mantenimiento de actividades sociales o económicas críticas.
  • Una perturbación del servicio prestado por la entidad pudiera tener repercusiones significativas sobre la seguridad pública, el orden público o la salud pública.
  • Una perturbación del servicio prestado por la entidad pudiera inducir riesgos sistémicos significativos, en particular para los sectores en los que tal perturbación podría tener repercusiones de carácter transfronterizo.
  • La entidad sea crítica a la luz de su importancia específica a nivel nacional o regional para el sector o tipo de servicio en concreto o para otros sectores interdependientes en el Estado miembro.

Aclaración:

1 Una empresa mediana se define como aquella con al menos 50 empleados o con una facturación anual (o balance total) de al menos 10 millones de euros, pero con menos de 250 empleados y no más de 50 millones de euros de facturación anual o 43 millones de euros de balance total.

2 Una entidad grande se define como una empresa con al menos 250 empleados o con un volumen de negocios anual de al menos 50 millones de euros y/o un balance general anual de al menos 43 millones de euros.

¿QUÉ MEDIDAS INICIALES DEBERÁN DE LLEVAR A CABO?

En general la Dirección de la empresa será responsable de implantar las medidas técnicas y organizativas para prevenir y protegerse de los ciberataques; garantizar que se lleven a cabo las evaluaciones pertinentes de riesgos de ciberseguridad, manteniéndose al tanto con la formación y la gestión de los riesgos adecuadas y, minimizar el impacto de cualquier incidente realizando una gestión adecuada del mismo.

Esto se desglosa en estas medidas:

• Administración de riesgos
• Políticas de seguridad de los sistemas de información y análisis de riesgos
• Gestión de incidentes desglosando la prevención, la detección y la respuesta a los mismos.

• Continuidad del negocio, recuperación de la información y respuesta en gestión de crisis o catástrofe.
• Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de información, incluida la gestión y divulgación de las vulnerabilidades.
• La seguridad de la cadena de suministro teniendo en cuenta las vulnerabilidades de los proveedores existentes o prestadores de servicios directos.
• Periodicidad de evaluaciones para verificar la eficacia de las medidas llevadas a cabo en la gestión de los riesgos de ciberseguridad existentes.
• Higiene y formación básica en ciberseguridad periódica tanto para la dirección como para los empleados.
• Políticas y procedimientos relativos al uso de criptografía y cifrado, cuando este esté garantizado
• el uso de soluciones de autenticación multifactorial o de autenticación continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicaciones de emergencia en la entidad, cuando proceda.
• La seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos

¿CÓMO ACTUAR EN CASO DE INDICENTE DE CIBERSEGURIDAD?

Se deberá de notificar las incidencias con un gran impacto, (entendiéndose este como un incidente que haya causado o pueda causar una grave perturbación operativa de los servicios o pérdidas financieras para la entidad de que se trate o si ha afectado o puede afectar a otras personas físicas o jurídicas causando daños materiales o morales considerables) en la prestación de servicios con este proceso:

• • Comunicarla al equipo designado de respuestas a incidentes de seguridad informática en un plazo de 24 horas.
  • Enviar un informe exhaustivo a la autoridad competente en un plazo de 72 horas.
  • Realizar un informe final del progreso de la incidencia y enviarlo en un plazo de 1 mes a los destinatarios de los servicios.

1. Sectores muy críticos: (Anexo I)

• • Transporte aéreo, marítimo, fluvial, ferrocarril o por carretera,
  • Banca: entidades de crédito.
  • Energía: Gestores, operadores, almacenamiento de Electricidad, crudo, gas, hidrógeno y sistemas urbanos de calefacción y refrigeración.
  • Espacio: Operadores de infraestructuras terrestres, cuya propiedad, gestión y explotación descansa en los Estados miembros o en entidades privadas, que apoyan la prestación de servicios espaciales, excepto los proveedores de redes públicas de comunicaciones electrónica.
  • Sector sanitario: Asistencia sanitaria, laboratorios, farmacéuticas, centros de investigación y desarrollo de medicamentos.
  • Agua potable: suministradores y distribuidores.
  • Infraestructuras de mercados financieros.
  • Administración pública
  • Aguas residuales: empresas dedicadas a la recogida, eliminación y el tratamiento.
  • Administración de servicios de TIC
  • Infraestructuras digitales: proveedores de DNS, internet, computación en la nube, centro de datos…

SANCIONES

Puede que la gravedad del incumplimiento de estas medidas sea que pueda considerarse al equipo directivo responsable del incumplimiento de estas obligaciones.

Además, las sanciones podrán ser de hasta 10 mll de € o el 2% de la facturación anual global si se trata de entidades esenciales,  se aplica el importe que resulte mayor de los dos, para empresas grandes esto puede marcar una diferencia importante. Para las entidades importantes el tope es de 7 millones de euros o el 1,4% de la facturación anual, eligiéndose siempre el importe mayor.

Además de las multas, la directiva prevé la inhabilitación temporal de directivos en casos de negligencia grave. Es uno de los aspectos que más preocupa a las empresas

En conclusión, la implementación de la NIS2 marca un hito crucial en la ciberseguridad europea. Con las amenazas cibernéticas en constante evolución, esta directiva no solo busca proteger a las empresas y sus operaciones, sino también garantizar la resiliencia de los servicios esenciales y la confianza en la economía digital. Adaptarse a estas nuevas normativas no es solo una obligación legal, sino una inversión en la seguridad y la estabilidad del futuro. La ciberseguridad ya no es un lujo, es una necesidad imperativa.

El reto no es esperar a que la ley salga publicada en el BOE, sino llegar a esa fecha con los deberes hechos.

FAQ del Instituto Nacional de Ciberseguridad