¿Qué es la Directiva NIS2?

La Directiva NIS2 (Directiva (UE) 2022/2555) es la regulación de ciberseguridad de la Unión Europea que obliga a las empresas y entidades de sectores críticos de la economía a gestionar sus riesgos de ciberseguridad, notificar los incidentes significativos y a crear una estructura organizativa de seguridad dentro de su estructura. Aunque nos pertenezcas a los sectores obligados por la NIS2 y que veremos más adelante, la NIS2 es aplicable a cualquier entidad que quiera trabajar con entidades obligadas por esta Directiva.

Y otro dato importante, no estemos hablando de normas voluntarias con son las normas ISO, sino de regulación, ni tampoco hablamos de leyes con alcance local, como puede ser el Esquema Nacional de Seguridad. Estamos ante una regulación europea y por tanto con un alcance mucho más global.

En Applicalia te vamos a intentar ayudar a entender qué es la NIS2.

¿Cuál es el objetivo de la Directiva NIS2?

El objetivo es claro, si las organizaciones de la Unión Europea están obligadas a considerar la ciberseguridad como un elemento estratégico y no como un asunto meramente técnico, elevamos en nivel de ciberseguridad en la Unión Europea, es así de simple.

Pero la NIS2 no trata únicamente del establecimiento de obligaciones a nivel corporativo, va mucho más allá estructurándose en varios ejes:

• A nivel de Gobierno: Los Estados de la Unión Europea deben diseñar estrategias a nivel nacional en materia de Ciberseguridad. En particular, deben establecer una estrategia Nacional de Ciberseguridad y designar a autoridades competentes y puntos de contacto único, que realizan una función de “enlace” entre los Estados miembros, con la Comisión Europea y con ENISA (Agencia de la Unión Europea para la Ciberseguridad).
• A nivel de planificación: Las estrategias deben ser precedidas de medidas concretas para la gestión de riesgos de ciberseguridad, es decir, los Estados miembros deben velar porque ciertas entidades (que veremos más adelante) implanten medidas técnico-organizativas en función del riesgo de ciberseguridad de sus redes y sistemas de información.
• A nivel de notificación, los incidentes de ciberseguridad han de ser comunicados a través de entidades designadas por los Estados, como es el CCN CERT en España.
• A nivel de Cooperación, cada Estado miembro debe nombrar a uno de sus CSIRT de referencia-Computer Security Incident Response Team, Equipo de Respuesta Incidentes- a efectos de gestionar de manera coordinada las vulnerabilidades. Es decir, los Estados miembros deben comunicarse entre si todas las vulnerabilidades detectadas. El objetivo es tomar medidas comunes para evitar que se vuelvan a producir, o si no han podido evitarse detectarlas y minimizarlas a tiempo.
• A nivel de supervisión: Los Estados deben supervisar las actividades realizadas en su territorio.

Por tanto, la NIS2 es una estrategia integral de ciberseguridad a nivel europeo que implica gobierno, entidades y personas.

¿A quién afecta la Directiva NIS2?

El proceso de identificación de los sujetos obligados por NIS2 se hace muchas veces complicado de entender, por lo que es bueno estructurarlo en varios pasos, el primero determinar si nos aplica la Directiva, y luego determinar si conforme a la misma somos entidades esenciales o importantes, ya que las obligaciones difieren entre una y otra.

¿A qué sectores aplica la NIS2? En primer lugar el Anexo I y II de la Directiva establecen una serie de sectores dentro del ámbito de aplicación de la NIS2 que podemos ver en la siguiente imagen. Los sectores en color rojo son los del Anexo I de la Directiva y se consideran de “alta criticidad” y los que vemos en azul son los del Anexo II y se consideran como “otros sectores críticos”.

Una vez delimitados estos sectores, vamos a ver a qué entidades les aplica las NIS2:

1. Grandes empresas que pertenecen a los 18 sectores críticos (Anexo I y Anexo II)
2. A las medianas empresas que presten alguno de los servicios establecidos en el Anexo I y II de la Directiva NIS 2. Las medianas empresas son aquellas que emplean entre 51 y 200 personas y cuyo volumen de negocio anual está entre 10 millones y 50 millones de euros, o el balance general anual esté entre 10 millones y 43 millones de euros.
3. Con independencia de su tamaño se aplica a:
   a. Entidades que prestan los siguientes servicios:
   • Redes públicas de comunicaciones electrónicas o servicios de comunicaciones disponibles al público
   • Prestadores de servicios de confianza
   • Registradores de nombres de dominio de primer nivel y proveedores de sistemas de nombres de dominio.
   b. A entidades que sean el único proveedor de un Estado miembro de un servicio esencial (ahora veremos qué es un servicio esencial).
   c. Si una alteración del servicio prestado por una entidad puede tener repercusiones significativas contra la seguridad pública, el orden público o la salud pública.
   d. Si el servicio prestado por la entidad puede producir riesgos significativos, sobre todo de carácter transfronterizo.
   e. Si la entidad desde el punto de vista nacional o regional (no comunitario) tiene una importancia específica.
   f. Que la entidad sea una administración pública central o regional, que tras una evaluación de impacto se considere que puede ser de alto impacto.

Y el siguiente paso, es determinar, una vez que aplica la NIS2 si somos entidades esenciales o importantes.

¿Qué es una entidad esencial? Las entidades esenciales deben ser designadas como tal por un Estado miembro entre las siguientes entidades:

• Entidades de los sectores del Anexo I que superen los límites de mediana empresa.
• Prestadores de servicios de confianza y registros de nombres de dominio de primer nivel, y prestadores de servicios de DNS, con independencia de su tamaño.
• Proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles al público que tengan la consideración de medianas empresas.
• Administraciones públicas a nivel central.
• Cualquier entidad de las actividades de los Anexos I y II que un Estado miembro califique como esencial.
• Entidades que sean calificadas como críticas conforme a la Directiva 2022/2257.

Las entidades de los sectores del Anexo I y II que no puedan considerarse esenciales se denominan “entidades importantes”.
Todas aquellas que no sean esenciales y les aplique la NIS2 son importantes.

¿Y la diferencia práctica entre entidades esenciales y entidades importantes? Las obligaciones de fondo son las mismas para ambas: idénticas medidas de gestión de riesgos de ciberseguridad e idéntica notificación de incidentes. Lo que cambia es la supervisión y la sanción: las entidades esenciales están sometidas a supervisión ex ante (la autoridad puede auditarlas e inspeccionarlas en cualquier momento, sin necesidad de incidente previo) y a multas máximas superiores; las entidades importantes solo se supervisan ex post, es decir, cuando hay indicios de incumplimiento.

Pero no olvidemos, que si eres proveedora de una entidad obligada por la NIS2 te ves obligada a cumplirla, porque la seguridad de la cadena de suministro exige a las entidades esenciales e importantes trasladar requisitos de ciberseguridad a sus proveedores.

Principales requisitos de la Directiva NIS2

El núcleo de la Directiva es su artículo 21: las entidades esenciales y las entidades importantes deben adoptar medidas de ciberseguridad técnicas, operativas y organizativas, proporcionadas al riesgo de sus redes y sistemas de información. Las medidas se estructuran en función del riesgo. La gestión del riesgo es la columna vertebral de los sistemas de gestión de la ciberseguridad y de la NIS2. La norma fija un mínimo de diez ámbitos que toda organización obligada debe cubrir:

• Políticas de análisis de riesgos y de seguridad de los sistemas de información.
• Gestión de incidentes: prevención, detección y respuesta.
• Continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
• Seguridad de la cadena de suministro: evaluación y control de proveedores y prestadores de servicios directos.
• Seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades.
• Políticas y procedimientos para evaluar la eficacia de las propias medidas de gestión de riesgos de ciberseguridad.
• Prácticas básicas de ciberhigiene y formación en ciberseguridad para el personal.
• Políticas sobre el uso de criptografía y, cuando proceda, cifrado.
• Seguridad de los recursos humanos, control de acceso y gestión de activos.
• Autenticación multifactor, comunicaciones seguras (voz, vídeo y texto) y sistemas de comunicación de emergencia.

Si trabajas ya con marcos como el Esquema Nacional de Seguridad o la ISO 27001, esta lista de medidas de gestión de riesgos te resultará familiar: La Directiva no impone un marco técnico concreto para su cumplimiento. No obstante, en el contexto español, el Esquema Nacional de Seguridad (ENS) se configura como el marco técnico de referencia elegido para articular la adecuación a NIS 2, a través del Perfil de Cumplimiento Específico definido por el CCN (CCN-STIC 892), que establece el mapeo entre los requisitos del ENS y las obligaciones de la Directiva. Esta Guía se publicó en 2024, pero fue descatalogada y estemos a la espera de la nueva publicación.

En el caso de organizaciones que ya disponen de un Sistema de Gestión de Seguridad de la Información conforme a ISO/IEC 27001, la adecuación a NIS 2 se aborda de forma eficiente siguiendo el siguiente itinerario técnico: primero la alineación de la ISO 27001 con el ENS mediante el mapeo ISO/IEC 27001–ENS de la Guía CCN-STIC 825, y posteriormente la adecuación a NIS 2 desde el ENS, evitando duplicidades y rehacer controles ya implantados.

El punto que más trabajo da en la práctica es la seguridad de la cadena de suministro: obliga a inventariar proveedores críticos, evaluar su nivel de seguridad, incluir cláusulas de ciberseguridad en los contratos y hacer seguimiento periódico, algo que muy pocas organizaciones tienen maduro.

¿Cómo funciona la notificación de incidentes en NIS2?

Los proveedores de servicios esenciales y proveedores de servicios digitales tienen una obligación de comunicación a los centros de respuesta a incidentes de seguridad de referencia (CERT). A través de la siguiente tabla se especifican de manera clara y sencilla estos CERT de referencia en España.

Además, los proveedores de servicios de confianza (sujetos a la Ley 6/2020) y los proveedores de comunicaciones electrónicas que no son operadores críticos (sujetos a la Ley General de Telecomunicaciones) deberán notificar sus incidentes al Ministerio de Asuntos Económicos y Transformación Digital.

La función de los CERT de referencia es garantizar un alto nivel de la disponibilidad de los servicios de las comunicaciones, y para ello como mínimo:

• Supervisan los incidentes a escala nacional.
• Difunden información sobre riesgos e incidentes.
• Responden a los incidentes comunicados.
• Efectúan un análisis de los incidentes.
• Participan con otros CERT a nivel europeo.

Cuando una entidad obligada sufre un incidente significativo, la Directiva impone una notificación de incidentes escalonada en tres tiempos al CSIRT o autoridad competente:

• Alerta temprana en 24 horas desde que se tiene conocimiento del incidente, indicando si se sospecha de una causa malintencionada y si puede tener impacto transfronterizo.
• Notificación completa en 72 horas, con la evaluación inicial del incidente, su gravedad, su impacto y los indicadores de compromiso disponibles.
• Informe final en el plazo de un mes, con la descripción detallada, la causa probable, las medidas de mitigación aplicadas y, en su caso, el impacto transfronterizo. Si el incidente sigue en curso, se presenta un informe de situación, así como el informe final una vez cerrado el incidente.

Además, cuando proceda, la entidad debe informar sin demora indebida a los destinatarios de sus servicios afectados por el incidente, e incluso de las amenazas significativas y de las medidas que esos destinatarios puedan tomar para protegerse.

Cumplir estos plazos no se improvisa: exige contar con un procedimiento de gestión de incidentes real y efectivo que nos permita cumplir con estos requerimientos, y es que en 24 horas deber producirse la primera notificación.

Responsabilidad de los directivos en la Directiva NIS2

El artículo 20 de NIS2 cambia el enfoque, la ciberseguridad no es un terreno exclusivamente técnico sino en una obligación del órgano de dirección de las entidades esenciales y de las entidades importantes, con cuatro deberes concretos sobre las medidas de gestión de riesgos de ciberseguridad:

• Aprobar las medidas de gestión de riesgos de ciberseguridad adoptadas por la entidad.
• Supervisar su puesta en práctica: no basta con firmar la política; hay que hacer seguimiento de su implantación, dotarla de recursos y revisar sus resultados.
• Ofrecer formación a sus empleados, y aquí viene la frase que hemos oído muchas veces, el eslabón más débil en la cadena de seguridad es el empleado.
• Formarse: los miembros del órgano de dirección deben recibir formación en ciberseguridad suficiente para identificar riesgos y evaluar las prácticas de gestión. La NIS2 no exige que el órgano de gobierno sea un experto en ciberseguridad pero sí que tenga los conocimientos suficientes para poder tomar decisiones y liderar.

El artículo 20.1 en su párrafo 2ª establece claramente que los órganos de dirección de las entidades esenciales o importantes podrán ser consideradas responsables de las infracciones por incumplimiento, por lo que la ciberseguridad debe ser una cuestión estratégica y dejarse en las manos de un departamento técnico, es necesario liderar en ciberseguridad desde el órgano de gobierno.

Sanciones por incumplir la Directiva NIS2

NIS2 armoniza el régimen sancionador en todos los Estados miembros con dos techos según la categoría de la entidad:

• Entidades esenciales: Multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, si esta cifra es superior.
• Entidades importantes: Multas de hasta 7 millones de euros o el 1,4 % del volumen de negocio anual mundial, si esta cifra es superior.

Pero la multa es solo una parte del riesgo regulatorio. Las autoridades nacionales de supervisión disponen de una lista mínima de poderes coercitivos:

• Apercibir por incumplimiento.
• Adoptar instrucciones vinculantes o requerimientos de subsanación.
• Ordenar el cese de una conducta que infrinja la directiva.
• Ordenar que se garanticen las medidas de gestión de riesgos o las obligaciones de información de una manera y en un plazo determinados.
• Ordenar que se informe a las personas físicas o jurídicas a las que presten servicios o realicen actividades que se vean potencialmente afectadas por una ciberamenaza significativa.
• Ordenar que se apliquen las recomendaciones formuladas como resultado de una auditoría de seguridad en un plazo razonable.
• Designar a un responsable de supervisión con tareas bien definidas durante un periodo de tiempo determinado para supervisar el cumplimiento.
• Ordenar hacer públicos los aspectos de incumplimiento.
• Imponer multas administrativas.
• Suspender la certificación o autorización de una entidad esencial relativa al servicio, si no se cumple el plazo para tomar medidas.
• Prohibir temporalmente a los responsables de la gestión a nivel de director ejecutivo o representante legal el ejercicio de funciones directivas (aplicable únicamente a las entidades esenciales, no a las entidades importantes).

Prepara tu auditoría NIS2 con el acompañamiento de Applicalia

En Applicalia llevamos 16 años implantando sistemas de gestión de seguridad (ENS, ISO 27001) y ofrecemos consultoría para el cumplimiento de la Directiva NIS2 de principio a fin: análisis de aplicabilidad, plan de adecuación e implantación de las medidas. Primera consulta sin compromiso: llámanos al 911 528 859 o escríbenos desde el formulario de nuestra web.

Preguntas frecuentes sobre NIS2

¿Qué significa NIS2?

NIS son las siglas en inglés de «Network and Information Security» (seguridad de las redes y sistemas de información). NIS2 es la segunda directiva europea sobre esta materia, la Directiva (UE) 2022/2555, que sustituye y deroga a la primera Directiva NIS de 2016.

¿NIS2 es obligatoria?

Es obligatoria para aquellas empresas que estén dentro de su ámbito de aplicación, y para todos los proveedores de estas entidades.

¿Qué exige NIS2 a las empresas?

El establecimiento de un sistema de ciberseguridad basado en el riesgo y liderado por el órgano de gobierno de las entidades.

¿Cuáles son las multas de NIS2?

Hasta 10 millones de euros o el 2 % de la facturación anual mundial para las entidades esenciales, y hasta 7 millones o el 1,4 % para las entidades importantes, aplicándose en cada caso la cifra mayor. Se suman otras medidas: auditorías, requerimientos, publicidad del incumplimiento y suspensión de directivos en casos graves.

¿Cómo prepararse para cumplir con NIS2?

Primero verifica si te aplica, después establece un plan de adecuación para lo que podemos ayudarte.