Qué es NIS2 y cómo afecta a tu empresa

La directiva NIS2 (Directiva UE 2022/2555) es la normativa europea que amplía y refuerza las obligaciones de ciberseguridad para un número mucho mayor de empresas y sectores. Sustituye a la antigua NIS1 y eleva el listón: no solo obliga a las grandes empresas, sino también a sus proveedores y subcontratistas.

Si tu empresa trabaja con clientes de sectores críticos (banca, salud, energía, administración pública, telecomunicaciones), o si tú mismo estás en uno de esos sectores, es muy probable que NIS2 te afecte. Vamos a verlo.

1. Qué es NIS2 y por qué importa

NIS2 es la segunda versión de la Directiva de Seguridad de las Redes y los Sistemas de Información. Sus objetivos:

• Ampliar el número de sectores y empresas cubiertos.
• Elevar el nivel de exigencia en ciberseguridad.
• Reforzar la seguridad en la cadena de suministro.
• Unificar criterios entre países de la UE.
• Obligar a notificar incidentes en plazos estrictos.

2. ¿A quién afecta?

NIS2 distingue dos grupos de entidades:

2.1. Sectores de alta criticidad

• Energía
• Transporte
• Banca y mercados financieros
• Salud
• Agua potable y aguas residuales
• Infraestructura digital (DNS, cloud, data centers)
• Gestión de servicios TIC
• Administración pública
• Espacio

2.2. Otros sectores críticos

• Servicios postales y mensajería
• Gestión de residuos
• Fabricación de químicos, alimentos, vehículos, maquinaria
• Proveedores digitales (marketplaces, buscadores, redes sociales)
• Investigación

2.3. Y sus proveedores

Esto es clave: la cadena de suministro entra en el ámbito. Las grandes empresas afectadas por NIS2 deben garantizar que sus proveedores también cumplen. Eso significa que:

• Si una gran empresa está en NIS2, te pedirá a ti (como proveedor) demostrar tu seguridad.
• Si eres agencia, consultora o SaaS, tus clientes NIS2 te lo exigirán.
• Ese efecto dominó hace que muchas pymes queden indirectamente afectadas.

3. Las 4 obligaciones principales

El Art. 21 de NIS2 exige a las entidades afectadas adoptar medidas de gestión de riesgos. Entre ellas:

3.1. Gestión de riesgos y seguridad de sistemas

• Análisis de riesgos.
• Políticas de seguridad de la información.
• Gestión de incidentes.
• Continuidad de negocio y gestión de crisis.

3.2. Seguridad en la cadena de suministro

• Evaluar la ciberseguridad de proveedores y subcontratistas.
• Incluir requisitos de seguridad en contratos.
• Verificar el cumplimiento a lo largo de la relación.

3.3. Medidas técnicas concretas

• Cifrado y, cuando proceda, cifrado extremo a extremo.
• Autenticación multifactor (MFA).
• Gestión de vulnerabilidades y divulgación coordinada.
• Control de accesos y gestión de identidades.
• Seguridad de las comunicaciones.

3.4. Notificación de incidentes

Plazos concretos:

• 24 horas: alerta temprana.
• 72 horas: notificación completa del incidente.
• 1 mes: informe final con análisis de causas.

4. Sanciones por incumplimiento

NIS2 establece sanciones severas:

Además, se puede sancionar a los directivos personalmente, con suspensión temporal de su actividad.

5. Cómo prepararte

Si crees que NIS2 te afecta (directa o indirectamente), este es un buen plan de partida:

1. Diagnóstico inicial: mide tu postura actual de seguridad. Empieza por lo visible desde fuera: web, correo, DNS, puertos.
2. Identifica activos críticos: qué sistemas, datos y proveedores son imprescindibles.
3. Análisis de riesgos: qué amenazas son más probables y qué impacto tendrían.
4. Plan de medidas: prioriza por impacto y esfuerzo.
5. Documenta: NIS2 te exigirá demostrar que tienes las medidas. Sin documentación, no cuenta.
6. Extiéndelo a proveedores: pídeles evidencia de su seguridad.

6. Conclusión

NIS2 es la normativa que más está moviendo el mercado de la ciberseguridad en Europa. Aunque tu empresa no esté directamente en su ámbito, es probable que tus clientes sí lo estén, y te exigirán a ti.

El primer paso siempre es el mismo: medir. Un diagnóstico objetivo de tu postura de seguridad web y de correo te permite saber dónde estás y qué priorizar.