Cuando se abra el diálogo de impresión: elige "Guardar como PDF", luego desmarca "Encabezados y pies de página" en Más ajustes.
Guía de Cumplimiento de la Directiva NIS2 para Organizaciones Europeas
Resumen Ejecutivo
La Directiva NIS2 (Directiva (UE) 2022/2555) es la legislación europea más significativa en ciberseguridad hasta la fecha. Sustituye a la Directiva NIS original de 2016 y amplía la población regulada desde aproximadamente 10.000 hasta una estimación de 160.000 entidades en toda la Unión. Para las organizaciones dentro del ámbito, el cumplimiento no es opcional: es una obligación legalmente exigible respaldada por multas de hasta 10 millones de euros o el 2% del volumen de negocios global anual, además de responsabilidad personal del alto directivo.
Puntos clave
- La NIS2 se aplica a organizaciones medianas y grandes en 18 sectores críticos, agrupadas en Sujetos Esenciales y Sujetos Importantes con distintas obligaciones y topes sancionadores.
- Italia transpuso la NIS2 mediante el Decreto Legislativo 138/2024, en vigor desde octubre de 2024, con plena aplicación de sanciones desde 2026. España ha alineado su transposición con los plazos de la UE.
- El Artículo 21 impone diez categorías de medidas de gestión del riesgo de ciberseguridad: cifrado, MFA, seguridad de la cadena de suministro, continuidad del negocio y más.
- La notificación de incidentes sigue una escala temporal: alerta temprana en 24 horas, notificación en 72 horas, informe final en 1 mes — considerablemente más estricta que el RGPD.
- El alto directivo responde personalmente de la aprobación y supervisión de las medidas de ciberseguridad. Los miembros del consejo deben recibir formación en la materia.
A quién se dirige esta guía
- CISOs y responsables de seguridad que necesitan una referencia consolidada sobre ámbito, medidas y plazos de la NIS2.
- DPOs y responsables de cumplimiento que deben mapear las obligaciones NIS2 contra marcos existentes como RGPD, ISO 27001 y normativas sectoriales.
- CIOs y directores de TI que planifican la ruta técnica y el presupuesto para cerrar los gaps NIS2.
- Consejos de administración y órganos de dirección responsables de aprobar el programa de ciberseguridad y asumir responsabilidad personal.
¿Qué es la Directiva NIS2?
La NIS2 — Network and Information Security Directive 2 — es un marco legislativo de la UE que establece un nivel común elevado de ciberseguridad en toda la Unión Europea. Fue adoptada por el Parlamento Europeo y el Consejo en diciembre de 2022, entró en vigor el 16 de enero de 2023 y tenía como fecha límite de transposición por los Estados Miembros el 17 de octubre de 2024.
La directiva nace de una necesidad concreta. Los ciberataques contra organizaciones de la UE aumentaron notablemente entre 2022 y 2024, y solo el ransomware cuesta a las empresas europeas miles de millones de euros anualmente. La Directiva NIS original, aunque pionera, sufrió una implementación inconsistente entre Estados Miembros y un ámbito estrecho que dejó muchos sectores críticos sin protección.
La NIS2 aborda estas brechas mediante cuatro cambios principales: cobertura sectorial más amplia, medidas mínimas de seguridad armonizadas, notificación de incidentes más estricta y — crucial — responsabilidad directa de los órganos de gestión. La directiva también introduce poderes de supervisión para las autoridades nacionales, incluyendo inspecciones in situ, auditorías ad hoc y la posibilidad de suspender funciones ejecutivas de líderes no conformes.
16 ene 2023 — La NIS2 entra en vigor en toda la UE. 17 oct 2024 — Plazo de transposición para los Estados Miembros. Oct 2024 — Italia transpone mediante D.Lgs. 138/2024. 2026 — Plena aplicación de sanciones en la mayoría de Estados Miembros.
¿A Quién se Aplica la NIS2? — Umbrales de Tamaño
La NIS2 utiliza un mecanismo de umbral dimensional combinado con la clasificación sectorial para determinar la aplicabilidad. La directiva se aplica, por defecto, a todas las entidades medianas y grandes que operen en alguno de los 18 sectores cubiertos. El tamaño se determina según la definición estándar de PYME de la UE (Recomendación 2003/361/CE).
| Criterio | Mediana Empresa | Gran Empresa |
|---|---|---|
| Empleados | De 50 a 249 | 250 o más |
| Facturación Anual | De 10 a 50 M EUR | Más de 50 M EUR |
| Balance Total | De 10 a 43 M EUR | Más de 43 M EUR |
Excepciones al umbral: algunas entidades están en el ámbito independientemente del tamaño — incluyendo proveedores de DNS, registros TLD, prestadores de servicios de confianza, proveedores cualificados de servicios de comunicación electrónica y cualquier organización identificada por los Estados Miembros como entidad crítica bajo la Directiva CER. La administración pública central siempre está en el ámbito; entidades regionales y locales pueden ser designadas por los Estados Miembros.
Sujetos Esenciales (Anexo I)
Los Sujetos Esenciales se someten a la supervisión más estricta, al tope sancionador más alto y a una vigilancia ex-ante proactiva por parte de la autoridad competente. Operan en sectores cuya disrupción tendría consecuencias sistémicas para el mercado único.
Los Sujetos Esenciales están sujetos a poderes de supervisión que incluyen inspecciones in situ sin previo aviso, auditorías de seguridad obligatorias e intervención directa de las autoridades nacionales. Multa administrativa máxima: 10 millones de euros o 2% del volumen de negocios global anual — la cifra más alta.
Sujetos Importantes (Anexo II)
Los Sujetos Importantes tienen un tope sancionador más bajo y se someten a supervisión ex-post: las autoridades actúan normalmente tras recibir evidencia de una infracción o incidente, en lugar de inspeccionar proactivamente. Las obligaciones sustantivas del Artículo 21 — las diez medidas de gestión del riesgo — son, por lo demás, idénticas a las de los Sujetos Esenciales.
Multa administrativa máxima para Sujetos Importantes: 7 millones de euros o 1,4% del volumen de negocios global anual — la cifra más alta. En ambas categorías, el órgano de gestión es personalmente responsable de aprobar el programa de ciberseguridad.
Artículo 21: Medidas de Gestión del Riesgo (1-5)
El Artículo 21 de la NIS2 obliga a las entidades en el ámbito a adoptar "medidas técnicas, operativas y organizativas adecuadas y proporcionadas" para gestionar los riesgos de ciberseguridad. La directiva enumera diez categorías de medidas que deben abordarse. No son sugerencias, sino requisitos mínimos jurídicamente vinculantes, y su falta de implementación es una violación directa que expone a la entidad y a su dirección a sanciones.
Metodología de análisis de riesgo documentada aplicada a todos los sistemas de información, con políticas escritas aprobadas por el órgano de gestión y revisadas a intervalos planificados.
Procedimientos documentados para detectar, analizar, contener, erradicar y recuperarse de incidentes de ciberseguridad, incluyendo la notificación obligatoria dentro de los plazos 24/72h/1 mes tratados más adelante en esta guía.
Gestión y restauración de backups, planes de recuperación ante desastres y disposiciones de gestión de crisis — probadas regularmente y alineadas con los resultados del análisis de impacto en el negocio.
Gestión del riesgo cibernético en las relaciones con proveedores directos y prestadores de servicios, incluida la evaluación de su postura de seguridad y los requisitos contractuales de seguridad.
Requisitos de seguridad integrados en aprovisionamiento, SDLC y gestión del cambio — incluyendo gestión de vulnerabilidades y divulgación coordinada para productos y servicios.
Artículo 21: Medidas de Gestión del Riesgo (6-10)
Políticas y procedimientos para evaluar la eficacia de las medidas de gestión del riesgo de ciberseguridad — incluyendo auditorías regulares, pruebas de penetración y revisiones técnicas.
Prácticas básicas de ciberhigiene (autenticación fuerte, parcheo, configuración segura, resistencia al phishing) y formación continua para todo el personal, incluidos los órganos de gestión.
Políticas y procedimientos sobre el uso de criptografía y, cuando proceda, cifrado — protegiendo los datos en reposo, en tránsito y en uso.
Procesos de vetting, onboarding y offboarding; control de acceso basado en roles; inventario y clasificación de activos incluidos hardware, software y datos.
Uso de MFA o soluciones de autenticación continua; comunicaciones seguras de voz, vídeo y texto; sistemas de comunicación de emergencia seguros dentro de la entidad, cuando proceda.
El Artículo 21 exige medidas "adecuadas y proporcionadas" a los riesgos afrontados. La proporcionalidad se determina por el estado del arte, el coste de implementación y la exposición, tamaño y probabilidad de incidentes de la entidad. No es una vía de escape: las autoridades nacionales están explícitamente facultadas para cuestionar la evaluación de proporcionalidad de una entidad.
Notificación de Incidentes — 24 / 72 horas / 1 mes
El Artículo 23 de la NIS2 establece una escala temporal de notificación de incidentes en tres etapas, significativamente más estricta que el RGPD. El reloj empieza a correr en el momento en que la entidad tiene conocimiento de un incidente significativo — definido como cualquier incidente que haya causado o sea capaz de causar una grave interrupción operativa o pérdida financiera, o que haya afectado a otras personas físicas o jurídicas con daño material o inmaterial considerable.
Notificación al CSIRT nacional o a la autoridad competente. La alerta debe indicar si se sospecha que el incidente está causado por actos ilícitos o maliciosos y si podría tener impacto transfronterizo. No se requiere análisis detallado en esta fase.
Actualización de la alerta temprana con una evaluación inicial del incidente, incluyendo gravedad, impacto y, cuando estén disponibles, indicadores de compromiso. Sustituye a la alerta y es la notificación formal.
Descripción detallada del incidente, incluyendo gravedad e impacto, tipo de amenaza o causa raíz probable, medidas de mitigación aplicadas y en curso, y, cuando aplique, impacto transfronterizo observado.
Además de la notificación a las autoridades, las entidades pueden estar obligadas a informar a los usuarios de sus servicios sobre incidentes significativos que puedan afectarles negativamente y sobre las medidas que los usuarios puedan adoptar. Esto aplica particularmente cuando el incidente está causado por una amenaza cibernética divulgada públicamente.
Obligaciones de Seguridad de la Cadena de Suministro
La seguridad de la cadena de suministro es una de las expansiones más significativas introducidas por la NIS2 respecto a la Directiva NIS de 2016. El Artículo 21(2)(d) exige explícitamente a las entidades tener en cuenta "la seguridad de la cadena de suministro, incluidos los aspectos relativos a la seguridad de las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos". No es una declaración genérica de buenas prácticas: es una obligación de cumplimiento específica.
La lógica es directa: la mayoría de los incidentes cibernéticos más dañinos en la UE en los últimos años se remontan a proveedores, prestadores de servicios o componentes de software comprometidos. La NIS2 busca cerrar esa brecha extendiendo la responsabilidad cibernética a lo largo de la cadena de valor, sin incluir formalmente a los proveedores en el perímetro regulado salvo que se califiquen de forma autónoma.
En la práctica esto significa que una entidad en el ámbito debe identificar a sus proveedores críticos, evaluar su postura de seguridad, imponer requisitos de seguridad por contrato, supervisar los cambios de esa postura en el tiempo y tratar el compromiso de un proveedor crítico como un incidente notificable bajo el Artículo 23 cuando se alcance el umbral de impacto.
Qué exige concretamente la "seguridad de la cadena de suministro"
- Mantener un inventario actualizado de proveedores críticos y prestadores de servicios — especialmente cloud, managed services, fabricantes de software y MSSPs.
- Evaluar la postura de seguridad de los proveedores críticos antes del onboarding y a intervalos definidos posteriormente — mediante cuestionarios, atestaciones, informes de auditoría independientes o evaluaciones técnicas.
- Incorporar cláusulas de seguridad en los contratos con proveedores: controles mínimos, obligaciones de notificación de incidentes, derechos de auditoría, aprobación de subprocesadores, compromisos de tratamiento de datos, resolución por incumplimiento.
- Supervisar incidentes y vulnerabilidades en los proveedores: suscripción a avisos de seguridad, mantenimiento de canales de contacto, inclusión de proveedores en ejercicios tabletop.
- Propagar requisitos: los proveedores críticos deben imponer obligaciones equivalentes a sus propios subproveedores críticos cuando sea relevante para el servicio prestado.
- Incluir el riesgo del proveedor en el plan de continuidad del negocio: proveedores alternativos, estrategias de salida, compromisos de portabilidad.
Sanciones y Responsabilidad de la Dirección
La NIS2 introduce una estructura sancionadora de dos niveles que refleja el enfoque del RGPD. Las sanciones pueden imponerse tanto a la entidad como a los miembros de su órgano de gestión. La directiva también otorga a las autoridades nacionales amplios poderes de supervisión, incluida la capacidad de suspender certificaciones y funciones ejecutivas.
Responsabilidad Personal de los Órganos de Gestión
El Artículo 20 hace a los miembros del órgano de gestión personalmente responsables de aprobar las medidas de gestión del riesgo de ciberseguridad y supervisar su implementación. Cuando la entidad persista en el incumplimiento, las autoridades nacionales pueden — además de multas — prohibir temporalmente a miembros individuales el ejercicio de funciones directivas. Es un cambio de fondo: la NIS2 es el primer instrumento europeo de ciberseguridad que sanciona directamente a individuos a nivel de consejo.
Cuando un incidente NIS2 también implica una violación de datos personales, las organizaciones pueden enfrentarse a procedimientos paralelos bajo el RGPD. El Artículo 35 de la NIS2 establece que las multas ya impuestas bajo el RGPD por los mismos hechos deben tenerse en cuenta para evitar una doble punición desproporcionada — pero no es un escudo frente a investigaciones o daño reputacional.
NIS2 vs RGPD — Dónde se Solapan y Dónde Difieren
NIS2 y RGPD se confunden a menudo porque ambos imponen deberes de notificación de incidentes y ambos conllevan multas administrativas medidas sobre el volumen de negocios global. Sin embargo, son instrumentos fundamentalmente distintos que abordan riesgos distintos: el RGPD protege los datos personales, la NIS2 protege los sistemas de red e información. Un mismo evento — por ejemplo, un ataque de ransomware — frecuentemente activará ambos.
| Aspecto | NIS2 | RGPD |
|---|---|---|
| Finalidad | Ciberseguridad de sistemas y redes | Protección de datos personales de personas físicas |
| Ámbito | 18 sectores, umbral dimensional, Esenciales/Importantes | Cualquier responsable o encargado de datos UE |
| Activador de notificación | Incidente significativo (impacto operativo) | Violación de datos personales (riesgo a derechos y libertades) |
| Notificación inicial | En 24 horas (alerta) | En 72 horas |
| Multa máxima | 10 M EUR / 2% (Esenciales) | 20 M EUR / 4% |
| Responsabilidad personal | Órgano de gestión (Art. 20) | Generalmente la persona jurídica |
| Modelo de supervisión | Ex-ante (Esenciales) / ex-post (Importantes) | Ex-post, basado en denuncia |
En resumen: NIS2 y RGPD se solapan pero no se sustituyen. Una organización ya madura bajo RGPD tiene una ventaja real en gobernanza, documentación y respuesta a incidentes NIS2 — pero ninguna de las medidas técnicas del Artículo 21 se satisface automáticamente por el cumplimiento del RGPD. Trátalos como programas paralelos con evidencia compartida.
Checklist de Implementación NIS2
Un enfoque por fases al cumplimiento de la NIS2 funciona mejor que intentar todo a la vez. La checklist a continuación organiza el trabajo en cuatro fases, desde el alcance hasta la mejora continua. Marca las casillas a medida que las validas con evidencia.
Fase 1 — Alcance y Gobernanza
- Confirmar si la organización cumple los umbrales de tamaño y cae en uno de los 18 sectores.
- Clasificar la entidad como Esencial o Importante y documentar la justificación.
- Registrarse ante la autoridad nacional competente (p. ej. ACN en Italia, INCIBE/CCN en España) dentro del plazo.
- Nombrar un CISO o figura equivalente y asignar formalmente la responsabilidad NIS2 a un miembro del órgano de gestión.
- Programar la formación obligatoria en ciberseguridad para todos los miembros del consejo.
Fase 2 — Riesgo y Controles
- Realizar un gap assessment NIS2 frente a las medidas 1 a 10 del Artículo 21.
- Documentar una política de seguridad de la información aprobada por el órgano de gestión.
- Definir y documentar una metodología de evaluación de riesgos y realizar una primera evaluación a nivel de organización.
- Implementar MFA en todas las cuentas privilegiadas y accesibles desde el exterior.
- Desplegar cifrado para datos en reposo y en tránsito en todos los sistemas del ámbito.
- Establecer gestión de vulnerabilidades con SLAs de remediación definidos.
Fase 3 — Preparación ante Incidentes y Cadena de Suministro
- Redactar y ejercitar un plan de respuesta a incidentes alineado con la escala 24/72h/1 mes.
- Establecer canales de contacto con el CSIRT nacional para la notificación de incidentes.
- Construir un inventario de proveedores críticos y realizar una primera evaluación de seguridad para cada uno.
- Actualizar las plantillas de aprovisionamiento con cláusulas NIS2 y obligaciones de notificación de incidentes.
- Realizar un ejercicio tabletop que simule un incidente significativo con obligaciones de notificación externa.
Fase 4 — Mejora Continua
- Programar pruebas de penetración independientes al menos anualmente.
- Revisar la política de seguridad de la información anualmente o tras incidentes significativos.
- Seguimiento de métricas NIS2 a nivel de consejo: mean time to detect, mean time to report, porcentaje de proveedores evaluados.
- Reincorporar las lecciones aprendidas de incidentes al risk assessment.
- Mantener evidencia apta para inspección de la autoridad nacional con poco preaviso.
Cómo Orizon Apoya el Cumplimiento NIS2
Orizon es una plataforma europea de ciberseguridad diseñada desde el primer día en torno a los requisitos de soberanía, documentación y evidencia continua que exige la NIS2. El cumplimiento no es un efecto secundario de nuestros productos: es su eje principal de diseño. La tabla siguiente mapea las capacidades principales de Orizon a las medidas del Artículo 21 que apoyan directamente.
Próximos pasos
- Reserva una evaluación de scoping NIS2 con nuestro equipo de cumplimiento para validar estado y prioridades.
- Solicita una gap analysis frente al Artículo 21 basada en tus controles, políticas y evidencia actuales.
- Inicia un escaneo gratuito de superficie de ataque externa para establecer una línea base de exposición.
Contacto: [email protected] · orizon.one/solutions/nis2-compliance · Sede UE, infraestructura soberana.