NIS 2
Descubra más sobre la directiva NIS y cómo la colaboración con Resillion puede mejorar su resiliencia cibernética.
¿Qué es NIS2?
NIS2 es un conjunto de normas a nivel de la UE diseñado para fortalecer la resiliencia cibernética de sectores clave. Establece estándares mínimos de seguridad cibernética, exige la presentación de informes más rápidos en caso de incidentes y hace que la dirección superior sea directamente responsable de gestionar el riesgo cibernético.
A quién se aplica
El NIS2 se aplica a Organizaciones medianas y grandes en sectores críticos como: Energía, Transporte, Salud, Agua potable y aguas residuales, Banca e infraestructura financiera, Administración pública, Infraestructura digital y servicios de TIC, Manufactura, alimentos, productos químicos, servicios postales, servicios digitales, investigación, y más.
Se divide las organizaciones en dos categorías:
-
Entidades esenciales – se impondrá una supervisión más estricta
-
Entidades importantes – aún regulada, pero con una supervisión más ligera
¿Quién no está cubierto?
El NIS2 generalmente no se aplica a organizaciones con menos de 50 empleados y un volumen de negocios o balance anual inferior a 10 millones de euros.
Pero existen excepciones: algunos actores más pequeños pero estratégicamente importantes —como ciertos proveedores de servicios de confianza o servicios de comunicación— aún pueden ser invitados a participar.
Si su organización pertenece a uno de esos sectores y cumple con los requisitos de tamaño, ahora tiene obligaciones legales reales. Estas incluyen:
- Gestionar el riesgo cibernético de forma rigurosa.
- Reporte de incidentes de ciberseguridad importantes dentro de plazos estrictos.
- Hacer que la dirección superior responda de sus acciones: según la NIS2, la dirección puede ser considerada personalmente responsable de los incumplimientos de la normativa.
Para abril de 2025, los Estados miembros de la UE deberán crear listas oficiales de todas las entidades esenciales e importantes, así como de las organizaciones que proporcionan servicios de registro de nombres de dominio.
Para ser incluidas en estas listas, las organizaciones deberán proporcionar a sus autoridades nacionales al menos la siguiente información:
-
El nombre de la organización
-
Su dirección y los datos de contacto actualizados, incluidos las direcciones de correo electrónico, los rangos IP y los números de teléfono
Si alguna de estas informaciones cambia, la organización debe informar de la actualización en un plazo de dos semanas.
ENISA, la Agencia de Ciberseguridad de la UE, es responsable de crear y mantener un registro central para las organizaciones que prestan servicios transfronterizos – incluidos los proveedores de DNS, los registros de TLD, los servicios de registro de nombres de dominio, los proveedores de servicios en la nube y los operadores de centros de datos.
Estas organizaciones fueron obligadas a presentar sus datos. antes del 18 de enero de 2025, lo que significa que el plazo ya ha expirado y todas las entidades incluidas en el ámbito de aplicación deberían ya estar registradas.
Los órganos de gestión de entidades esenciales e importantes también deben aprobar y supervisar las medidas de gestión de riesgos de ciberseguridad de la organización. Pueden ser detenidos personalmente responsable si la organización no cumple con sus requisitos de NIS2.
Las organizaciones deben implementar medidas de seguridad adecuadas para proteger su red y sus sistemas de información —incluyendo su entorno físico—. ‘Apto’ significa que las medidas deben corresponder al nivel de riesgo que enfrenta la organización.
La directiva exige que las organizaciones dispongan, como mínimo:
-
Análisis de riesgos y política de seguridad para sus sistemas de información
-
Procesos eficaces de gestión de incidentes
-
Planes de continuidad de negocios, incluidos copias de seguridad, planes de contingencia y procedimientos de gestión de crisis
-
Medidas de seguridad y controles de la cadena de suministro durante todo el ciclo de vida de sus sistemas, incluyendo cómo manejan y revelan vulnerabilidades
-
Políticas y procedimientos para evaluar si sus medidas de seguridad realmente funcionan
-
Prácticas básicas de ciberhigiene y formación regular en ciberseguridad
NIS2 se refiere a los estándares europeos e internacionales reconocidos al diseñar estas medidas, mencionando específicamente: Serie ISO 27000. Se pueden encontrar otras orientaciones prácticas sobre ciberseguridad y ciberhigiene en los sitios web nacionales y gubernamentales, como el Centro de Ciberseguridad de Bélgica, el Centro Nacional de Ciberseguridad y la Rijksinspectie Digitale Infrastructuur en los Países Bajos.
Las entidades sujetas a NIS2 deben enviar una alerta inicial sin demora por cualquier incidente o evento significativo, y posteriormente proporcionar un informe completo sobre el incidente a su CSIRT nacional o a la autoridad competente dentro de las 72 horas siguientes.
También deben informar sobre cualquier cambio en la información registrada, tanto en las listas mantenidas por ENISA como en las listas gestionadas por los distintos Estados miembros.
Los Estados miembros son responsables de supervisar el cumplimiento de NIS2. Las entidades esenciales estarán sujetas a una supervisión activa y continua. Las entidades importantes serán supervisadas de forma pasiva, lo que significa que las autoridades solo intervendrán cuando haya motivos para hacerlo, como en caso de un incidente.
Las autoridades de supervisión tendrán el poder de realizar inspecciones in situ, verificaciones fuera de la sede, auditorías, análisis de seguridad y solicitar documentación o información siempre que sea necesario.
Las entidades esenciales pueden ser sancionadas con multas administrativas de hasta 10 millones de euros o el 2% del volumen de negocios anual global. Las entidades importantes pueden ser sancionadas con multas de hasta 7 millones de euros o el 1,4% del volumen de negocios anual global.
El NIS2 y el RGPD se superponen en parte: ambos requieren medidas de seguridad estrictas y la obligación de informar de incidentes a las autoridades competentes.
Cuando las leyes específicas del sector imponen normas más estrictas en materia de ciberseguridad, esas exigencias tienen prioridad. Por ejemplo, la Ley de Resiliencia Operacional Digital (DORA) establece normas más estrictas para el sector financiero.
El NIS2 crea un marco coordinado de ciberseguridad en toda la UE, que abarca las estrategias nacionales, la gestión de crisis y la cooperación transfronteriza.
Cada Estado miembro debe establecer uno o más CSIRT. Estos equipos supervisan las amenazas cibernéticas nacionales, gestionan los incidentes, emiten alertas tempranas y apoyan a entidades esenciales y importantes durante los eventos de ciberseguridad.
La UE también ha creado el programa EU-CyCLONe para ayudar a coordinar la respuesta a incidentes cibernéticos graves y transfronterizos.
Para demostrar la conformidad, los Estados miembros pueden exigir a las organizaciones que utilicen productos, servicios o procesos de TIC certificados conforme a los esquemas de ciberseguridad de la UE. También se les alienta a utilizar servicios de confianza cualificados.
