NIS2 es la directiva europea que eleva el nivel de ciberseguridad y amplía su alcance por sectores y tamaño empresarial. Para las entidades afectadas, la conformidad se articula sobre una sólida gobernanza de datos y procesos organizacionales, esencial para identificar activos críticos, gestionar sus riesgos y asegurar la trazabilidad de la información sensible.

Este artículo explica el marco de la normativa NIS2 en España, los requisitos para mantener la conformidad continua y los plazos de notificación de incidentes. También detalla las evidencias y mecanismos de gobierno que una auditoría NIS2 exige para acreditar la conformidad ante la autoridad competente.

Qué cambia con NIS2 frente a NIS1

NIS2 sustituye las categorías OSE/PSD por entidades esenciales e importantes, homogeneiza la supervisión (más proactiva para esenciales, predominantemente ex post para importantes) y ensancha el perímetro sectorial con anexos actualizados. Endurece las medidas de gestión de riesgos alineándolas con prácticas de referencia (p. ej., ISO/IEC 27001 o equivalentes). Además, establece un reporting escalonado de incidentes y un régimen sancionador reforzado.

¿A quién aplica la Directiva NIS2?

NIS2 se aplica a empresas medianas y grandes (a partir de 50 empleados o ≥10M€ de facturación), que operen en ámbitos considerados críticos. Las micro y pequeñas empresas quedan en principio excluidas, salvo en estos casos:

• Si proveen, de forma exclusiva, un servicio esencial para la sociedad.


• Si deben garantizar continuidad del servicio por cuestiones de salud pública, economía o seguridad.


• Si operan servicios clave como infraestructuras DNS, TLD, redes electrónicas públicas o servicios de confianza.


• Si están catalogadas como críticas por otras regulaciones europeas como la Directiva CER (Resilience of Critical Entities).

En España, el proceso de transposición está en marcha, y entidades como la Agencia Española de Protección de Datos (AEPD) y el Instituto Nacional de Ciberseguridad (INCIBE) serán actores fundamentales del nuevo ecosistema normativo.

Tabla — Sectores y subsectores cubiertos por NIS2

Obligaciones clave de las organizaciones bajo NIS2

Las organizaciones afectadas por la Directiva NIS2 deberán asumir un conjunto de medidas organizativas, técnicas y de reporte. A continuación, desglosamos sus principales obligaciones.

1. Medidas de gestión del riesgo

Debe adoptarse un enfoque proporcional, teniendo en cuenta el nivel de riesgo, exposición, tamaño de la entidad y criticidad del servicio. Los requerimientos mínimos incluyen:

• Políticas y análisis de riesgos en ciberseguridad


• Planes de continuidad de negocio (copias de seguridad, recuperación ante desastres)


• Gestión de vulnerabilidades y procedimientos de notificación


• Seguridad en la cadena de suministro


• Cifrado, control de acceso, autenticación multifactor


• Formación al personal y gestión de activos


• Ciberhigiene básica


• Evaluación periódica de la eficacia de las medidas implantadas
  

2. Seguridad en la cadena de suministro y contratos

NIS2 exige que se integren cláusulas de ciberseguridad en los acuerdos con proveedores (hosting, SaaS, almacenamiento, desarrollo de software, etc.).

Las entidades deben poder evaluar la resiliencia, prácticas de seguridad e integraciones de terceros antes de contratar servicios clave.

3. Obligación de notificación de incidentes

Las entidades deben comunicar incidentes significativos conforme al siguiente cronograma:

El incidente puede calificarse como “significativo” si:

• Tiene un impacto importante en la continuidad operativa.


• Supone pérdidas económicas relevantes.


• Afecta a terceros o interfiere en su privacidad o integridad.
  

4. Trazabilidad y documentación

Las empresas deberán mantener y presentar cuando se requiera:

• Evidencias documentadas del cumplimiento (políticas, planes, informes)


• Registros históricos de evaluaciones, auditorías e incidentes


• Registros de formación y validación del personal técnico

Diferencia entre “entidades esenciales” y “entidades importantes”

Una de las nuevas clasificaciones de NIS2 es diferenciar entre entidades esenciales e importantes:

Ambos tipos deben cumplir con las obligaciones comunes, pero las esenciales estarán bajo una vigilancia más cercana e inmediata.

Cómo prepararse para cumplir con NIS2

Estado de la Directiva NIS2 en España

La transposición nacional puede introducir ajustes de supervisión, cuantías o coordinación con marcos vigentes. Mientras culmina, adopta la línea base europea —incluidos los plazos de reporte— y alinea el programa con requisitos españoles como el Esquema Nacional de Seguridad (ENS) cuando proceda. Mantener procedimientos de notificación operativos, métricas de eficacia y un ciclo de mejora continua reducirá el tiempo de respuesta ante requerimientos de la autoridad y facilitará la acreditación de cumplimiento NIS2.

Gigantics protege tus datos sensibles y cumple con NIS2

NIS2 no se detiene en producción. Desarrollo, pruebas y staging también están en el radar, exigiendo la protección de datos sensibles.

Gigantics permite a las organizaciones automatizar la anonimización y trazabilidad de datos sensibles en desarrollo, pruebas y preproducción, alineándose con los principios de NIS2 sin ralentizar la entrega.

FAQ sobre la Directiva NIS2

1. ¿Cuándo entra en vigor la Directiva NIS2?

La Directiva NIS2 entró en vigor el 16 de enero de 2023. Los Estados miembros debían transponerla a su legislación nacional antes del 17 de octubre de 2024. Desde esa fecha, sus disposiciones son plenamente aplicables.

2. ¿Qué empresas deben cumplir con la NIS2?

La directiva aplica a empresas medianas y grandes (≥50 empleados o ≥10M € de facturación) que operen en sectores críticos definidos en los Anexos I y II. También pueden estar incluidas pequeñas entidades que prestan servicios esenciales o críticos.

3. ¿Cómo saber si me aplica la NIS2?

Debes revisar si tu organización cumple los umbrales de tamaño y si tu actividad está incluida en los sectores mencionados por la directiva. También influye si prestas servicios esenciales o estratégicos para la economía o la seguridad pública.

4. ¿Qué obligaciones impone la NIS2?

La NIS2 exige implementar medidas de gestión del riesgo en ciberseguridad, establecer políticas claras, proteger la cadena de suministro y notificar incidentes relevantes dentro de plazos estrictos.

5. ¿Qué responsabilidades tiene la alta dirección?

Los órganos de dirección deben aprobar las medidas de ciberseguridad, supervisar su aplicación y recibir formación específica. Pueden ser sancionados por incumplimientos graves.

6. ¿Qué plazos establece NIS2 para notificar incidentes?

• Alerta temprana: dentro de las 24 horas.


• Notificación completa: dentro de las 72 horas.


• Informe final: como máximo un mes después.

7. ¿Qué sanciones prevé NIS2 por incumplimiento?

Las multas pueden llegar hasta €10 millones o el 2 % del volumen de negocio mundial para entidades esenciales, y hasta €7 millones o el 1,4 % para entidades importantes.

8. ¿Qué norma española transpone la NIS2?

España ya ha iniciado la transposición de la NIS2, con participación activa de organismos como INCIBE y la AEPD. El desarrollo reglamentario final puede variar según el sector.