Adecuación a NIS2
NIS2 es la directiva europea de ciberseguridad (Directiva UE 2022/2555), que los países miembros debían transponer antes del 17 de octubre de 2024. Amplía las obligaciones a entidades esenciales e importantes en muchos sectores y alcanza a grupos con operaciones en la Unión Europea, con responsabilidad de la alta dirección y plazos cortos de notificación de incidentes.
¿Qué es NIS2?
NIS2 (Directiva UE 2022/2555) es la directiva de la Unión Europea sobre la seguridad de las redes y los sistemas de información. Entró en vigor el 16 de enero de 2023, derogó la antigua Directiva NIS (UE 2016/1148) y debía transponerse a la ley nacional de cada país miembro antes del 17 de octubre de 2024.
La directiva distingue entidades esenciales de entidades importantes y se aplica, por la regla de tamaño, a partir de las medianas empresas en los sectores listados en los Anexos I y II. Introduce la responsabilidad directa de los órganos de dirección, un conjunto mínimo de medidas de gestión de riesgos y obligaciones de notificación de incidentes. NIS2 tiene alcance extraterritorial: alcanza a organizaciones no establecidas en la UE que ofrezcan servicios en el mercado europeo — incluidos grupos con filiales u operaciones en Europa — que en algunos casos deben designar un representante en la Unión. La transposición ocurre mediante las leyes nacionales de cada país, por lo que el alcance exacto y las sanciones dependen de la jurisdicción en la que opera la entidad.
Qué cubre la adecuación
¿A quién se aplica NIS2?
NIS2 se aplica a las entidades esenciales e importantes de los sectores de alta criticidad y críticos, por regla general a partir de las medianas empresas. El primer paso de la adecuación es determinar si y cómo la organización entra en el alcance, sector por sector y jurisdicción por jurisdicción.
Entidades esenciales
Grandes organizaciones de los sectores de alta criticidad del Anexo I. Están sujetas a supervisión proactiva y a las sanciones más elevadas de la directiva.
Entidades importantes
Medianas empresas de los sectores del Anexo I y entidades de los sectores del Anexo II. Están sujetas a supervisión reactiva, activada ante indicios de incumplimiento.
Sectores de alta criticidad (Anexo I)
Energía, transporte, banca, infraestructuras de los mercados financieros, salud, agua potable y residual, infraestructura digital, gestión de servicios TIC, administración pública y espacio.
Otros sectores críticos (Anexo II)
Servicios postales y de mensajería, gestión de residuos, productos químicos, alimentos, fabricación, proveedores de servicios digitales y organizaciones de investigación.
Regla de tamaño
La directiva se aplica, por regla general, a empresas de tamaño mediano o mayor; algunas entidades críticas entran en el alcance con independencia del tamaño.
Grupos con operaciones en la UE
El alcance extraterritorial abarca a organizaciones no europeas que ofrezcan servicios en la Unión. Algunos proveedores digitales deben designar un representante en la UE.
¿Cuáles son las obligaciones y los plazos de NIS2?
NIS2 exige medidas de gestión de riesgos proporcionadas, responsabilidad de la alta dirección y un proceso de notificación de incidentes por etapas. Los plazos de notificación son cortos y deben diseñarse antes de que ocurra el incidente.
Responsabilidad de la alta dirección
Los órganos de dirección aprueban las medidas de gestión de riesgos, supervisan su implementación y pueden responder personalmente por incumplimientos. También hay obligación de formación.
Medidas de gestión de riesgos
Un conjunto mínimo de medidas técnicas y organizativas: análisis de riesgos, gestión de incidentes, continuidad del negocio, criptografía, control de acceso e higiene cibernética básica.
Notificación de incidentes
Alerta temprana en un plazo de 24 horas desde el conocimiento del incidente significativo, notificación del incidente en 72 horas e informe final en un mes, a la autoridad nacional competente o al CSIRT.
Seguridad de la cadena de suministro
Las medidas deben cubrir los riesgos de proveedores y prestadores de servicios, con evaluación de seguridad a lo largo de toda la cadena de suministro.
Registro y supervisión
Las entidades en el alcance deben registrarse ante las autoridades nacionales, que ejercen supervisión y pueden exigir auditorías, inspecciones y pruebas de cumplimiento.
Sanciones
Para entidades esenciales, hasta 10 millones de euros o el 2% de la facturación anual mundial total; para entidades importantes, hasta 7 millones de euros o el 1,4%, lo que sea mayor.
¿Cómo apoya Berghem la adecuación a NIS2?
De la determinación del alcance a la validación técnica, Berghem — con Berilo para el mercado europeo — cubre las medidas de gestión de riesgos, la gobernanza y la notificación de incidentes que exige la directiva, con evidencias auditables.
Gap analysis NIS2
Determinación del alcance (entidad esencial o importante) y diagnóstico contra las medidas de gestión de riesgos, con roadmap priorizado hasta el cumplimiento.
ISO 27001 como base
Un sistema de gestión de seguridad de la información alineado con la ISO 27001 aporta gran parte de las medidas técnicas y organizativas que exige NIS2.
Incident response y notificación
Diseño del proceso de respuesta y notificación que cumple las ventanas de 24h, 72h y un mes, con playbook, roles y comunicación con la autoridad competente.
Seguridad de la cadena de suministro
Gestión de riesgo de terceros (TPRM) para evaluar proveedores y la cadena de suministro, como exigen las medidas de NIS2.
Pruebas técnicas
Test de invasión y seguridad ofensiva que producen las evidencias de las medidas de seguridad implementadas en redes, aplicaciones e infraestructura.
Threat intelligence
Inteligencia de amenazas para apoyar el análisis de riesgos y el monitoreo continuo que prevén las medidas de la directiva.
¿Qué determina el costo y el plazo de una adecuación a NIS2?
No hay un precio único. La inversión depende del alcance aplicable, de la madurez actual de los controles y del número de jurisdicciones en las que opera el grupo.
Clasificación de la entidad
Ser entidad esencial o importante cambia la intensidad de la supervisión y la profundidad de las evidencias exigidas, y con ello el esfuerzo de la adecuación.
Madurez de los controles
Organizaciones con un SGSI ya implementado — por ejemplo, alineado con la ISO 27001 — llegan al cumplimiento con menos remediación. Los gaps abiertos alargan el cronograma.
Número de jurisdicciones
NIS2 se transpone mediante leyes nacionales distintas. Operar en varios países de la UE multiplica las obligaciones de registro, notificación y relación con las autoridades.
Complejidad de la cadena de suministro
El número de proveedores críticos y su relevancia para el servicio determinan la amplitud de la evaluación de riesgo de terceros.
Dudas sobre NIS2
¿Quién debe cumplir con NIS2?
¿Cuál era el plazo de transposición de NIS2?
¿Cuáles son los plazos de notificación de incidentes?
¿Qué sanciones prevé NIS2?
¿NIS2 se aplica a un grupo con operaciones en la UE?
¿Listo para iniciar la adecuación a NIS2?
En una conversación determinamos el alcance aplicable, mapeamos los gaps contra las medidas de la directiva y diseñamos el camino al cumplimiento — de la gobernanza a la notificación de incidentes.
Contáctanos