NIS2 — Ciberseguridad para entidades esenciales e importantes

Qué cambia respecto a NIS1

• Amplía el alcance: muchos más sectores y entidades. Distingue entre entidades esenciales (sectores listados como críticos) y entidades importantes (sectores listados pero con menor criticidad). El umbral típico es medianas y grandes empresas dentro del anexo (>50 empleados y/o >10M€ facturación, con matices).
• Notificación rápida de incidentes: alerta inicial en 24 horas, evaluación intermedia en 72h, informe final en 1 mes.
• Responsabilidad de la dirección: los órganos de gobierno deben aprobar las medidas y formarse. La dirección puede ser responsabilizada personalmente en infracciones.
• Sanciones más altas: hasta 10 millones € o 2 % de la facturación mundial para entidades esenciales (lo mayor); hasta 7 millones € o 1,4 % para importantes.
• Gestión de la cadena de suministro: las entidades deben evaluar la seguridad de sus proveedores y subcontratistas.

Medidas mínimas (Art. 21)

Las entidades deben implantar medidas técnicas, operativas y de gestión apropiadas y proporcionadas para gestionar los riesgos:

1. Políticas de análisis de riesgos y seguridad de la información.
2. Gestión de incidentes (detección, respuesta, comunicación).
3. Continuidad de negocio: copias de seguridad, recuperación ante desastres, gestión de crisis.
4. Seguridad de la cadena de suministro.
5. Seguridad en adquisición, desarrollo y mantenimiento de sistemas (incluida la gestión de vulnerabilidades y la divulgación).
6. Políticas y procedimientos para evaluar la eficacia de las medidas.
7. Higiene cibernética y formación.
8. Políticas y procedimientos sobre el uso de criptografía y cifrado.
9. Seguridad del personal, control de acceso, gestión de activos.
10. MFA o autenticación continua, comunicaciones seguras de voz/vídeo/texto y, en su caso, sistemas de emergencia.

Notificación de incidentes

• Alerta temprana: 24 h desde que se tiene conocimiento de un incidente significativo.
• Notificación: 72 h con evaluación inicial.
• Informe final: en 1 mes (o un informe de progreso si el incidente sigue activo).

La autoridad competente puede emitir órdenes vinculantes o auditar.

Cómo encaja en España

La transposición de NIS2 se realiza en el marco del Real Decreto que actualiza el Reglamento del ENS y el régimen de Operadores de Servicios Esenciales. El INCIBE-CERT y el CCN-CERT actúan como CSIRT de referencia. Para entidades del sector público se solapa con el ENS.

Si no es tu sector

Aunque tu organización no sea "entidad esencial" o "importante" en el sentido de NIS2, las medidas son buena práctica para cualquier empresa. Y si eres proveedor de alguien que sí está afectado, te van a exigir contractualmente cumplir un nivel mínimo.

Aviso: contenido formativo, no asesoramiento legal. Para evaluar si tu organización entra en el alcance y qué obligaciones concretas aplican, consulta con vuestra asesoría jurídica especializada.