La Directiva NIS2 (Directiva (UE) 2022/2555) és la norma europea que converteix la ciberseguretat en una obligació legal per a milers d’organitzacions: energia, transport, sanitat, aigua, banca, administració pública, indústria, alimentació o serveis digitals. Aquesta guia resumeix, sense argot jurídic, què exigeix, a qui i amb quins terminis, i proposa un full de ruta realista per complir-la i poder-ho demostrar.
Està pensada per a la direcció i per als responsables d’IT i de compliment. No substitueix l’assessorament jurídic: les referències als articles de la directiva et permeten contrastar cada punt amb el text oficial.
1. Què és la NIS2 en dos minuts
NIS2 substitueix la Directiva NIS de 2016. Amplia els sectors obligats, unifica els requisits de seguretat a tota la Unió Europea, endureix les sancions i fa responsable la direcció. Va entrar en vigor el 16 de gener de 2023 i els Estats membres l’havien de transposar al seu dret nacional abans del 17 d’octubre de 2024.
La idea central és senzilla: les organitzacions de les quals depèn el funcionament de la societat han de gestionar el risc de ciberseguretat de manera contínua, notificar els incidents significatius amb rapidesa i poder demostrar totes dues coses davant l’autoritat competent.
NIS2 no demana un certificat ni una auditoria anual: demana mesures proporcionades al risc, vigilància sostinguda i evidències.
2. T’afecta? Sectors i llindars
La directiva distingeix dos grups de sectors. L’annex I recull els sectors d’alta criticitat i l’annex II, altres sectors crítics:
- Annex I (alta criticitat): energia (electricitat, gas, petroli, hidrogen i calefacció urbana), transport (aeri, ferroviari, marítim i per carretera), banca, infraestructures dels mercats financers, sanitat, aigua potable, aigües residuals, infraestructura digital, gestió de serveis TIC entre empreses, administració pública i espai.
- Annex II (altres sectors crítics): serveis postals i de missatgeria, gestió de residus, fabricació i distribució de productes químics, producció i distribució d’aliments, fabricació (productes sanitaris, informàtics i electrònics, maquinària, vehicles i altre material de transport), proveïdors digitals (mercats en línia, motors de cerca i xarxes socials) i organismes de recerca.
Dins d’aquests sectors la regla general és la mida: queden obligades les mitjanes i grans empreses, és a dir, les que tenen com a mínim 50 empleats o superen els 10 milions d’euros de facturació o de balanç anual. Algunes entitats estan obligades independentment de la mida: proveïdors de xarxes i serveis de comunicacions electròniques, prestadors de serveis de confiança, registres de noms de domini de primer nivell, proveïdors de DNS, l’administració pública central i qualsevol entitat que sigui proveïdor únic d’un servei essencial en un Estat membre.
Essencials i importants
La directiva classifica les entitats en essencials (en general, les grans empreses dels sectors de l’annex I, més alguns tipus concrets) i importants (la resta d’entitats obligades). Les obligacions de fons són les mateixes; canvien la intensitat de la supervisió (prèvia i contínua per a les essencials, posterior per a les importants) i l’import màxim de les sancions.
La cadena de subministrament també compta
Encara que la teva organització no sigui a la llista, et pots veure afectada de manera indirecta: les entitats obligades han de gestionar la seguretat dels seus proveïdors directes (article 21.2.d) i traslladen aquesta exigència als contractes. Si vens a una elèctrica, a un hospital o a una administració, et demanaran evidències.
3. Calendari i situació a Espanya
- 16 de gener de 2023: entrada en vigor de la directiva.
- 17 d’octubre de 2024: data límit de transposició nacional; les mesures s’apliquen des del 18 d’octubre de 2024.
- 17 d’abril de 2025: data límit perquè cada Estat tingués la llista d’entitats essencials i importants.
- 14 de gener de 2025: el Consell de Ministres aprova l’Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, la norma que transposarà la NIS2 a Espanya i crearà el Centro Nacional de Ciberseguridad.
- Maig de 2025: la Comissió Europea envia a Espanya un dictamen motivat pel retard en la transposició.
A la data d’aquesta guia, la llei espanyola continua en tramitació parlamentària. Això no vol dir que puguis esperar: la directiva marca l’estàndard que ja exigeixen auditors, clients i asseguradores, la llei s’aplicarà sense un període de gràcia rellevant i les mesures que demana requereixen mesos de feina. Si ets administració pública o proveïdor seu, a més, l’Esquema Nacional de Seguretat (Reial decret 311/2022) ja és obligatori i cobreix bona part de les exigències.
4. Les deu mesures de l’article 21
L’article 21 obliga a adoptar mesures tècniques, operatives i organitzatives proporcionades al risc, amb un enfocament que contempli tots els perills. Com a mínim han de cobrir aquests deu àmbits:
- Anàlisi de riscos i polítiques de seguretat: saber quins actius tens, quines amenaces els afecten i quines mesures apliques. Sense inventari no hi ha anàlisi de riscos creïble.
- Gestió d’incidents: procediments per detectar, analitzar, contenir i notificar incidents, amb rols i contactes definits.
- Continuïtat de negoci: còpies de seguretat, recuperació davant de desastres i gestió de crisis, provades i no només documentades.
- Seguretat de la cadena de subministrament: avaluar i contractar amb criteris de seguretat proveïdors directes i prestadors de serveis.
- Seguretat en l’adquisició, el desenvolupament i el manteniment de xarxes i sistemes, incloses la gestió i la divulgació de vulnerabilitats.
- Avaluació de l’eficàcia de les mesures: polítiques i procediments per comprovar que el que has posat funciona.
- Ciberhigiene bàsica i formació de tot el personal, no només de l’equip tècnic.
- Criptografia i xifratge: polítiques sobre quan i com es xifra la informació.
- Seguretat dels recursos humans, control d’accés i gestió d’actius: qui accedeix a què, amb quins permisos i durant tota la relació laboral.
- Autenticació multifactor, comunicacions segures (veu, vídeo i text) i sistemes de comunicació d’emergència dins de l’entitat.
Fixa’t en el patró: sis de les deu mesures depenen de saber què hi ha connectat a la teva xarxa i què fa. És el punt de partida de tota la resta.
5. Notificar incidents: 24 hores, 72 hores, un mes
L’article 23 fixa terminis estrictes per als incidents significatius: els que causen o poden causar una pertorbació operativa greu o pèrdues econòmiques, o que afecten o poden afectar altres persones físiques o jurídiques amb danys considerables.
- Alerta primerenca en 24 hores des que es té coneixement de l’incident, indicant si se sospita d’un acte il·lícit o malintencionat i si pot tenir impacte transfronterer.
- Notificació en 72 hores, amb l’avaluació inicial de gravetat i impacte i els indicadors de compromís disponibles.
- Informe final en un mes, amb la descripció detallada, la causa probable, les mesures aplicades i l’impacte transfronterer. Si l’incident continua obert, un informe de situació i l’informe final quan es tanqui.
A més cal informar sense demora els destinataris dels serveis que es puguin veure afectats. A Espanya la notificació es farà a través del CSIRT de referència: INCIBE-CERT per al sector privat i la ciutadania i CCN-CERT per al sector públic, pels canals que fixi la llei de transposició.
Vint-i-quatre hores és molt poc temps si el primer a assabentar-se de l’incident és el teu client. Detectar a temps és l’única manera de notificar a temps.
6. Responsabilitat de la direcció i sancions
L’article 20 obliga els òrgans de direcció a aprovar les mesures de gestió de riscos, supervisar-ne l’aplicació i formar-se en ciberseguretat. Poden ser considerats responsables de l’incompliment. Ja no és un assumpte exclusiu del departament d’IT.
El règim sancionador (article 34) preveu multes de fins a 10 milions d’euros o el 2 % de la facturació mundial per a les entitats essencials i de fins a 7 milions o l’1,4 % per a les importants, la xifra que sigui més alta. Per a les entitats essencials, l’autoritat pot a més suspendre temporalment certificacions i autoritzacions i prohibir temporalment l’exercici de funcions directives als responsables (article 32.5).
7. Full de ruta en 90 dies
No cal començar per la documentació. Aquest ordre de treball prioritza el que redueix risc real i genera evidències des de la primera setmana:
Setmanes 1 a 3: saber què tens
- Inventari complet d’actius connectats: servidors, llocs de treball, càmeres, impressores, dispositius OT i IoT i serveis al núvol. Automatitzat, no en un full de càlcul.
- Mapa de dependències: quins serveis essencials prestes i de quins sistemes i proveïdors depenen.
- Designació de responsables: qui decideix, qui executa i qui notifica.
Setmanes 4 a 6: mesurar el risc
- Anàlisi de vulnerabilitats sobre l’inventari real i priorització per impacte en els serveis essencials.
- Revisió d’accessos: comptes privilegiats, autenticació multifactor i comptes orfes.
- Llista de proveïdors crítics i clàusules de seguretat que falten als contractes.
Setmanes 7 a 10: tancar bretxes i preparar la resposta
- Pla de gestió d’incidents amb els terminis de 24 hores, 72 hores i un mes ja integrats, i una plantilla de notificació a punt.
- Còpies de seguretat provades amb una restauració real i un exercici de crisi amb la direcció.
- Monitoratge continu de la xarxa: sense ell no hi ha detecció primerenca ni evidències.
Setmanes 11 a 13: demostrar-ho
- Polítiques aprovades per la direcció i formació registrada, inclosa la del mateix òrgan de direcció.
- Quadre d’evidències: quina mesura cobreix cada àmbit de l’article 21 i on és la prova.
- Calendari de revisió: l’anàlisi de riscos i les proves es repeteixen, no s’arxiven.
8. Checklist d’autoavaluació
Respon amb honestedat. Cada «no» és una tasca del full de ruta.
- Tenim un inventari actualitzat i automàtic de tots els dispositius connectats a la xarxa, inclosos OT i IoT?
- Sabem quins serveis prestem que la directiva considera essencials o importants?
- Hi ha una anàlisi de riscos aprovada per la direcció i revisada en els darrers dotze mesos?
- Existeix un procediment de gestió d’incidents amb responsables i terminis de notificació?
- Podríem enviar una alerta primerenca en 24 hores si detectéssim avui un incident?
- Detectaríem una connexió sortint cap a infraestructura maliciosa en menys d’una hora?
- Hem provat una restauració completa des de còpia de seguretat en els darrers sis mesos?
- Fem servir autenticació multifactor en tots els accessos remots i comptes privilegiats?
- Coneixem les vulnerabilitats obertes als nostres sistemes i quant tardem a corregir-les?
- Els nostres contractes amb proveïdors crítics inclouen requisits de seguretat i de notificació d’incidents?
- Tot el personal ha rebut formació en ciberseguretat el darrer any?
- L’òrgan de direcció ha rebut formació específica i aprova les polítiques de seguretat?
- Podem demostrar amb evidències cada una de les deu mesures de l’article 21?
9. Com ajuda Scud
Scud cobreix la part de la NIS2 que més costa sostenir en el temps: la visibilitat i la vigilància contínua de la xarxa.
- Scud Sensor aixeca l’inventari real de tot el que hi ha connectat, inclosos els dispositius oblidats, i en detecta les vulnerabilitats: la base de l’anàlisi de riscos i de la gestió d’actius (mesures 1, 5 i 9).
- Scud Smart Platform compara el trànsit amb amenaces conegudes en temps real i documenta cada detecció: gestió d’incidents i avaluació de l’eficàcia (mesures 2 i 6).
- Scud Monitor posa analistes propis a vigilar i respondre de manera contínua, amb els informes que necessites per notificar dins de termini i demostrar el compliment.
Tot comença amb un diagnòstic gratuït: connectem un Sensor, mapegem la xarxa i et lliurem l’informe de dispositius i vulnerabilitats. També pots veure els marcs que cobrim a la secció de compliment i llegir el nostre article sobre la Directiva NIS2 (en castellà).
Fonts
- Directiva (UE) 2022/2555 (NIS2), text oficial a EUR-Lex.
- Comissió Europea: NIS2 Directive.
- Departamento de Seguridad Nacional: Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad.
- INCIBE-CERT i CCN-CERT.
Aquesta guia és informativa i reflecteix la normativa a la data indicada. Per a decisions amb efectes legals, consulta el teu assessor jurídic.