La Directiva NIS2 (Directiva (UE) 2022/2555) es la norma europea que convierte la ciberseguridad en una obligación legal para miles de organizaciones: energía, transporte, sanidad, agua, banca, administración pública, industria, alimentación o servicios digitales. Esta guía resume, sin jerga jurídica, qué exige, a quién y con qué plazos, y propone una hoja de ruta realista para cumplirla y poder demostrarlo.
Está pensada para la dirección y para los responsables de IT y de cumplimiento. No sustituye al asesoramiento jurídico: las referencias a los artículos de la directiva te permiten contrastar cada punto con el texto oficial.
1. Qué es la NIS2 en dos minutos
NIS2 sustituye a la Directiva NIS de 2016. Amplía los sectores obligados, unifica los requisitos de seguridad en toda la Unión Europea, endurece las sanciones y hace responsable a la dirección. Entró en vigor el 16 de enero de 2023 y los Estados miembros debían transponerla a su derecho nacional antes del 17 de octubre de 2024.
Su idea central es sencilla: las organizaciones de las que depende el funcionamiento de la sociedad deben gestionar el riesgo de ciberseguridad de forma continua, notificar los incidentes significativos con rapidez y poder demostrar ambas cosas ante la autoridad competente.
NIS2 no pide un certificado ni una auditoría anual: pide medidas proporcionadas al riesgo, vigilancia sostenida y evidencias.
2. ¿Te afecta? Sectores y umbrales
La directiva distingue dos grupos de sectores. El anexo I recoge los sectores de alta criticidad y el anexo II, otros sectores críticos:
- Anexo I (alta criticidad): energía (electricidad, gas, petróleo, hidrógeno y calefacción urbana), transporte (aéreo, ferroviario, marítimo y por carretera), banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
- Anexo II (otros sectores críticos): servicios postales y de mensajería, gestión de residuos, fabricación y distribución de productos químicos, producción y distribución de alimentos, fabricación (productos sanitarios, informáticos y electrónicos, maquinaria, vehículos y otro material de transporte), proveedores digitales (mercados en línea, motores de búsqueda y redes sociales) y organismos de investigación.
Dentro de esos sectores la regla general es el tamaño: quedan obligadas las medianas y grandes empresas, es decir, las que tienen al menos 50 empleados o superan los 10 millones de euros de facturación o de balance anual. Algunas entidades están obligadas con independencia de su tamaño: proveedores de redes y servicios de comunicaciones electrónicas, prestadores de servicios de confianza, registros de nombres de dominio de primer nivel, proveedores de DNS, la administración pública central y cualquier entidad que sea proveedor único de un servicio esencial en un Estado miembro.
Esenciales e importantes
La directiva clasifica las entidades en esenciales (en general, las grandes empresas de los sectores del anexo I, más algunos tipos concretos) e importantes (el resto de entidades obligadas). Las obligaciones de fondo son las mismas; cambian la intensidad de la supervisión (previa y continua para las esenciales, posterior para las importantes) y el importe máximo de las sanciones.
La cadena de suministro también cuenta
Aunque tu organización no esté en la lista, puedes verte afectada de forma indirecta: las entidades obligadas deben gestionar la seguridad de sus proveedores directos (artículo 21.2.d) y trasladan esa exigencia a los contratos. Si vendes a una eléctrica, a un hospital o a una administración, te pedirán evidencias.
3. Calendario y situación en España
- 16 de enero de 2023: entrada en vigor de la directiva.
- 17 de octubre de 2024: fecha límite de transposición nacional; las medidas se aplican desde el 18 de octubre de 2024.
- 17 de abril de 2025: fecha límite para que cada Estado tuviera su lista de entidades esenciales e importantes.
- 14 de enero de 2025: el Consejo de Ministros aprueba el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, la norma que transpondrá NIS2 en España y creará el Centro Nacional de Ciberseguridad.
- Mayo de 2025: la Comisión Europea envía a España un dictamen motivado por el retraso en la transposición.
A la fecha de esta guía, la ley española sigue en tramitación parlamentaria. Eso no significa que puedas esperar: la directiva marca el estándar que ya exigen auditores, clientes y aseguradoras, la ley se aplicará sin un periodo de gracia relevante y las medidas que pide llevan meses de trabajo. Si eres administración pública o proveedor suyo, además, el Esquema Nacional de Seguridad (Real Decreto 311/2022) ya es obligatorio y cubre buena parte de las exigencias.
4. Las diez medidas del artículo 21
El artículo 21 obliga a adoptar medidas técnicas, operativas y organizativas proporcionadas al riesgo, con un enfoque que contemple todos los peligros. Como mínimo deben cubrir estos diez ámbitos:
- Análisis de riesgos y políticas de seguridad: saber qué activos tienes, qué amenazas les afectan y qué medidas aplicas. Sin inventario no hay análisis de riesgos creíble.
- Gestión de incidentes: procedimientos para detectar, analizar, contener y notificar incidentes, con roles y contactos definidos.
- Continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis, probadas y no solo documentadas.
- Seguridad de la cadena de suministro: evaluar y contratar con criterios de seguridad a proveedores directos y prestadores de servicios.
- Seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas, incluida la gestión y divulgación de vulnerabilidades.
- Evaluación de la eficacia de las medidas: políticas y procedimientos para comprobar que lo que has puesto funciona.
- Ciberhigiene básica y formación de todo el personal, no solo del equipo técnico.
- Criptografía y cifrado: políticas sobre cuándo y cómo se cifra la información.
- Seguridad de los recursos humanos, control de acceso y gestión de activos: quién accede a qué, con qué permisos y durante toda la relación laboral.
- Autenticación multifactor, comunicaciones seguras (voz, vídeo y texto) y sistemas de comunicación de emergencia dentro de la entidad.
Fíjate en el patrón: seis de las diez medidas dependen de saber qué hay conectado a tu red y qué hace. Es el punto de partida de todo lo demás.
5. Notificar incidentes: 24 horas, 72 horas, un mes
El artículo 23 fija plazos estrictos para los incidentes significativos: los que causan o pueden causar una perturbación operativa grave o pérdidas económicas, o que afectan o pueden afectar a otras personas físicas o jurídicas con daños considerables.
- Alerta temprana en 24 horas desde que se tiene conocimiento del incidente, indicando si se sospecha de un acto ilícito o malintencionado y si puede tener impacto transfronterizo.
- Notificación en 72 horas, con la evaluación inicial de gravedad e impacto y los indicadores de compromiso disponibles.
- Informe final en un mes, con la descripción detallada, la causa probable, las medidas aplicadas y el impacto transfronterizo. Si el incidente sigue abierto, un informe de situación y el informe final al cerrarlo.
Además hay que informar sin demora a los destinatarios de los servicios que puedan verse afectados. En España la notificación se hará a través del CSIRT de referencia: INCIBE-CERT para el sector privado y la ciudadanía y CCN-CERT para el sector público, por los canales que fije la ley de transposición.
Veinticuatro horas es muy poco tiempo si el primero en enterarse del incidente es tu cliente. Detectar a tiempo es la única forma de notificar a tiempo.
6. Responsabilidad de la dirección y sanciones
El artículo 20 obliga a los órganos de dirección a aprobar las medidas de gestión de riesgos, supervisar su aplicación y formarse en ciberseguridad. Pueden ser considerados responsables del incumplimiento. Ya no es un asunto exclusivo del departamento de IT.
El régimen sancionador (artículo 34) prevé multas de hasta 10 millones de euros o el 2 % de la facturación mundial para las entidades esenciales y de hasta 7 millones o el 1,4 % para las importantes, la cifra que sea mayor. Para las entidades esenciales, la autoridad puede además suspender temporalmente certificaciones y autorizaciones y prohibir temporalmente el ejercicio de funciones directivas a los responsables (artículo 32.5).
7. Hoja de ruta en 90 días
No hace falta empezar por la documentación. Este orden de trabajo prioriza lo que reduce riesgo real y genera evidencias desde la primera semana:
Semanas 1 a 3: saber qué tienes
- Inventario completo de activos conectados: servidores, puestos, cámaras, impresoras, dispositivos OT e IoT y servicios en la nube. Automatizado, no en una hoja de cálculo.
- Mapa de dependencias: qué servicios esenciales prestas y de qué sistemas y proveedores dependen.
- Designación de responsables: quién decide, quién ejecuta y quién notifica.
Semanas 4 a 6: medir el riesgo
- Análisis de vulnerabilidades sobre el inventario real y priorización por impacto en los servicios esenciales.
- Revisión de accesos: cuentas privilegiadas, autenticación multifactor y cuentas huérfanas.
- Lista de proveedores críticos y cláusulas de seguridad que faltan en los contratos.
Semanas 7 a 10: cerrar brechas y preparar la respuesta
- Plan de gestión de incidentes con los plazos de 24 horas, 72 horas y un mes ya integrados, y una plantilla de notificación lista.
- Copias de seguridad probadas con una restauración real y un ejercicio de crisis con la dirección.
- Monitorización continua de la red: sin ella no hay detección temprana ni evidencias.
Semanas 11 a 13: demostrarlo
- Políticas aprobadas por la dirección y formación registrada, incluida la del propio órgano de dirección.
- Cuadro de evidencias: qué medida cubre cada ámbito del artículo 21 y dónde está la prueba.
- Calendario de revisión: el análisis de riesgos y las pruebas se repiten, no se archivan.
8. Checklist de autoevaluación
Responde con honestidad. Cada «no» es una tarea de la hoja de ruta.
- ¿Tenemos un inventario actualizado y automático de todos los dispositivos conectados a la red, incluidos OT e IoT?
- ¿Sabemos qué servicios prestamos que la directiva considera esenciales o importantes?
- ¿Hay un análisis de riesgos aprobado por la dirección y revisado en los últimos doce meses?
- ¿Existe un procedimiento de gestión de incidentes con responsables y plazos de notificación?
- ¿Podríamos enviar una alerta temprana en 24 horas si detectáramos hoy un incidente?
- ¿Detectaríamos una conexión saliente hacia infraestructura maliciosa en menos de una hora?
- ¿Hemos probado una restauración completa desde copia de seguridad en los últimos seis meses?
- ¿Usamos autenticación multifactor en todos los accesos remotos y cuentas privilegiadas?
- ¿Conocemos las vulnerabilidades abiertas en nuestros sistemas y cuánto tardamos en corregirlas?
- ¿Nuestros contratos con proveedores críticos incluyen requisitos de seguridad y de notificación de incidentes?
- ¿Todo el personal ha recibido formación en ciberseguridad en el último año?
- ¿El órgano de dirección ha recibido formación específica y aprueba las políticas de seguridad?
- ¿Podemos demostrar con evidencias cada una de las diez medidas del artículo 21?
9. Cómo ayuda Scud
Scud cubre la parte de la NIS2 que más cuesta sostener en el tiempo: la visibilidad y la vigilancia continua de la red.
- Scud Sensor levanta el inventario real de todo lo conectado, incluidos los dispositivos olvidados, y detecta sus vulnerabilidades: la base del análisis de riesgos y de la gestión de activos (medidas 1, 5 y 9).
- Scud Smart Platform compara el tráfico con amenazas conocidas en tiempo real y documenta cada detección: gestión de incidentes y evaluación de la eficacia (medidas 2 y 6).
- Scud Monitor pone analistas propios a vigilar y responder de forma continua, con los informes que necesitas para notificar en plazo y demostrar el cumplimiento.
Todo empieza con un diagnóstico gratuito: conectamos un Sensor, mapeamos la red y te entregamos el informe de dispositivos y vulnerabilidades. También puedes ver los marcos que cubrimos en la sección de cumplimiento y leer nuestro artículo sobre la Directiva NIS2.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), texto oficial en EUR-Lex.
- Comisión Europea: NIS2 Directive.
- Departamento de Seguridad Nacional: Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad.
- INCIBE-CERT y CCN-CERT.
Esta guía es informativa y refleja la normativa a la fecha indicada. Para decisiones con efectos legales, consulta a tu asesor jurídico.