Cada semana recibimos la misma llamada: una empresa de sesenta personas a la que su cliente principal —una industria grande, un hospital, una eléctrica— le acaba de enviar un cuestionario de seguridad de cuarenta preguntas. Nadie en la empresa sabe de dónde sale ese cuestionario. La respuesta casi siempre es la misma: sale de NIS2.
Esta guía explica qué es la directiva, a quién obliga de verdad y qué hay que hacer, sin la niebla habitual de las presentaciones de cumplimiento.
Qué es la directiva NIS2#
NIS2 es la Directiva (UE) 2022/2555, la norma europea que obliga a determinadas empresas y organismos a implantar medidas mínimas de ciberseguridad y a notificar los incidentes graves a la autoridad competente. Sustituye a la primera directiva NIS, de 2016, y amplía enormemente el número de sectores y entidades afectadas.
Su plazo de transposición terminó el 17 de octubre de 2024. España no llegó a tiempo: la ley que la incorpora al ordenamiento español ha ido por detrás del calendario europeo, lo que ha generado un limbo incómodo —la obligación existe a nivel europeo, pero el detalle nacional (autoridad competente, procedimiento sancionador, plazos concretos de registro) se ha ido concretando más tarde.
Ese retraso ha tenido un efecto perverso: muchas empresas han interpretado que "como aún no está la ley española, esto no va conmigo". Es un error de cálculo, y el motivo está en el siguiente apartado.
A quién aplica: sectores y tamaño#
NIS2 clasifica a las entidades afectadas en dos grupos, con el mismo catálogo de obligaciones y distinto régimen de supervisión:
- Entidades esenciales: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable y residual, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
- Entidades importantes: servicios postales y de mensajería, gestión de residuos, fabricación y distribución de productos químicos, producción y distribución de alimentos, fabricación (dispositivos médicos, electrónica, maquinaria, vehículos), proveedores digitales (mercados en línea, buscadores, redes sociales) e investigación.
Al criterio sectorial se suma el de tamaño: con carácter general entran las medianas y grandes empresas, entendiendo por medianas las que superan los 50 empleados o los 10 millones de euros de volumen de negocio o balance. Hay excepciones que entran por criticidad con independencia del tamaño, como ciertos proveedores de infraestructura digital o entidades que prestan un servicio único en su territorio.
Si su empresa tiene treinta empleados y fabrica componentes, la lectura literal es tranquilizadora: no está directamente obligada. La lectura completa no lo es tanto.
El efecto cadena de suministro: por qué le afecta aunque no esté en la lista#
Aquí está el punto que casi nadie explica bien. Entre las medidas que NIS2 exige a las entidades obligadas está la seguridad de su cadena de suministro: cada entidad afectada debe evaluar y gestionar los riesgos de seguridad que le llegan a través de sus proveedores y prestadores de servicios.
Traducido a la práctica: su cliente obligado por NIS2 no puede cumplir si no controla lo que usted hace. De ahí salen los cuestionarios, las cláusulas contractuales nuevas, las exigencias de certificación y, cada vez más, la exclusión de proveedores que no pueden acreditar unos mínimos.
Esa es la vía real por la que NIS2 llega a la pyme española: no como una obligación legal directa, sino como un requisito comercial. Y un requisito comercial no admite la excusa de que la ley española llegó tarde. Si no puede responder al cuestionario, el contrato se va a otro sitio.
Qué obliga a hacer exactamente#
El artículo 21 de la directiva enumera las medidas mínimas. No son diez controles exóticos, son la higiene que cualquier consultor recomendaría igualmente:
- Análisis de riesgos y políticas de seguridad de los sistemas de información.
- Gestión de incidentes: detección, respuesta y recuperación.
- Continuidad de negocio: copias de seguridad, gestión de crisis y recuperación ante desastres.
- Seguridad de la cadena de suministro, incluida la relación con proveedores directos.
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión de vulnerabilidades.
- Políticas para evaluar la eficacia de las medidas adoptadas.
- Higiene básica de ciberseguridad y formación del personal.
- Uso de criptografía y cifrado.
- Seguridad de los recursos humanos, control de accesos y gestión de activos.
- Autenticación multifactor y comunicaciones seguras.
A eso se añaden dos obligaciones que cambian la naturaleza del asunto:
La notificación de incidentes en tres tiempos. Ante un incidente significativo, la entidad debe enviar una alerta temprana en un plazo de 24 horas, una notificación con la evaluación inicial en 72 horas y un informe final en el plazo de un mes. Si su empresa no sabe hoy a quién llamaría un sábado por la noche, ese plazo de 24 horas es un problema de organización antes que de tecnología.
La responsabilidad de la dirección. Los órganos de dirección deben aprobar las medidas, supervisar su aplicación y formarse en la materia. La directiva contempla que puedan responder personalmente por su incumplimiento. Es el cambio cultural de fondo: la ciberseguridad deja de ser un asunto delegable al informático de turno.
En cuanto a sanciones, el marco europeo prevé multas de hasta 10 millones de euros o el 2 % del volumen de negocio mundial para entidades esenciales, y hasta 7 millones o el 1,4 % para las importantes.
Por dónde empezar: checklist realista#
Si su empresa está en la lista, o vende a alguien que lo está, este es un orden de trabajo sensato:
- Determine su posición. ¿Está directamente obligada, o le llega por cadena de suministro? La respuesta cambia el nivel de exigencia y el interlocutor: la autoridad competente o su cliente.
- Inventaríe lo que tiene. No se puede proteger lo que no se sabe que existe: equipos, servidores, servicios en la nube, accesos de terceros, datos sensibles.
- Haga un análisis de riesgos honesto. No hace falta una metodología pesada; hace falta saber qué le tumbaría el negocio una semana y qué probabilidad real tiene.
- Cierre lo básico primero. Copias de seguridad verificadas —restauradas de verdad, no solo programadas—, doble factor en todo lo que dé a internet, actualizaciones al día y permisos revisados.
- Escriba el plan de incidentes. Quién decide, quién llama, a quién se notifica y en qué plazo. Una hoja bien hecha vale más que un manual de doscientas páginas.
- Prepare la carpeta de evidencias. Sus clientes van a pedir pruebas, no promesas: políticas firmadas, registros de formación, resultados de auditorías.
Errores frecuentes#
- Esperar a la ley española. El requisito comercial ya está aquí y va por delante del BOE.
- Comprar una herramienta y dar el tema por cerrado. NIS2 exige procesos y evidencias; ningún producto sustituye eso.
- Copiar políticas de internet. Una política que no refleja lo que la empresa hace de verdad es un pasivo en una auditoría, no un activo.
- Dejarlo en manos del proveedor de sistemas. Su proveedor mantiene la infraestructura; la responsabilidad ante la autoridad y ante su cliente sigue siendo de la empresa.
En resumen#
- NIS2 es la Directiva (UE) 2022/2555 y obliga a implantar medidas mínimas de ciberseguridad y a notificar incidentes graves.
- Aplica directamente a medianas y grandes empresas de los sectores de sus anexos I y II; España transpuso la norma con retraso.
- La mayoría de pymes españolas se ven afectadas de forma indirecta, a través de las exigencias de seguridad que sus clientes obligados les trasladan como proveedores.
- Las obligaciones clave son diez medidas de higiene, la notificación en 24/72 horas y un mes, y la responsabilidad directa de la dirección.
- Empezar por inventario, copias verificadas, doble factor y plan de incidentes cubre buena parte del camino antes de plantearse certificaciones.
Si tiene un cuestionario de un cliente encima de la mesa y no sabe por dónde cogerlo, es exactamente el punto en el que conviene una revisión externa: acorta meses de prueba y error.