NIS2 y las empresas españolas: qué se le exige realmente

La directiva NIS2 (UE 2022/2555) sustituye a la primera directiva NIS y amplía el círculo de organizaciones obligadas a cumplir requisitos claros de ciberseguridad. En resumen: hay más empresas afectadas, los requisitos son más concretos y la responsabilidad sube al nivel de la dirección.

Esto es lo que el marco significa en la práctica y por dónde conviene empezar.

¿Está en el ámbito de aplicación?

Deciden dos preguntas: en qué sector opera y qué tamaño tiene.

Los sectores se dividen en la práctica en dos grupos. El primero incluye, entre otros, energía, transporte, banca y mercados financieros, sanidad, agua potable, aguas residuales, infraestructuras digitales, gestión de servicios TIC y espacio. El segundo incluye, entre otros, servicios postales y de mensajería, gestión de residuos, productos químicos, alimentación, fabricación, proveedores de servicios digitales e investigación.

En cuanto al tamaño, el marco se dirige principalmente a medianas y grandes empresas, pero existen excepciones importantes. Algunas entidades están incluidas independientemente de su tamaño, por ejemplo los prestadores cualificados de servicios de confianza, los proveedores de servicios de comunicaciones electrónicas de acceso público y los proveedores de servicios DNS centrales. Una empresa pequeña también puede estar incluida si es el único proveedor de un servicio crítico para la sociedad.

Conclusión: haga una evaluación documentada del sector, el tamaño y las posibles reglas especiales. Si tiene dudas, parta de la base de que puede estar incluido y verifíquelo: es más barato que descubrirlo durante una inspección.

Los requisitos de fondo

NIS2 no es una lista de productos. Son requisitos sobre un sistema de gestión de la seguridad de la información con los siguientes ámbitos básicos:

• Análisis de riesgos y política de seguridad, documentados y realmente aplicados.
• Gestión de incidentes con roles definidos, vías de escalado y ejercicios.
• Continuidad de negocio: copias de seguridad, restauración y plan para mantener las funciones críticas.
• Cadena de suministro: usted responde de la seguridad de los proveedores que utiliza, no solo de la suya.
• Gestión de vulnerabilidades y actualizaciones, incluida una rutina para tratar vulnerabilidades conocidas.
• Autenticación multifactor y protección de las comunicaciones cuando proceda.
• Formación de la dirección y de la plantilla.
• Cifrado cuando sea adecuado.

La notificación es el plazo más ajustado

La notificación de incidentes es la parte que más se subestima, porque el reloj juega en contra. Para un incidente significativo, NIS2 exige una notificación por etapas: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en un mes.

En la práctica, esto significa que la rutina no puede improvisarse durante el incidente. Necesita:

1. Una definición de incidente significativo que venga del negocio y no de TI.
2. Una persona designada capaz de enviar la alerta temprana, incluso a las tres de la madrugada.
3. Una plantilla y un canal hacia la autoridad competente, listos antes de que hagan falta.
4. Registros que permitan describir lo ocurrido en 72 horas.

La responsabilidad de la dirección

Uno de los cambios principales es que la dirección no puede delegar su responsabilidad. Debe aprobar las medidas de gestión de riesgos, supervisar su aplicación y recibir formación en ciberseguridad. En caso de incumplimientos graves, las sanciones pueden dirigirse a la organización y, en algunos casos, a los propios directivos.

En la práctica, NIS2 es una cuestión de dirección, no de TI. Un buen primer paso es poner el riesgo cibernético en el orden del día permanente: cuál es nuestro sistema más crítico, qué ocurre si está parado 72 horas y quién responde de ello.

Por dónde empezar

1. Evaluación del ámbito. Sector, tamaño y reglas especiales, documentados.
2. Análisis de brechas frente a los requisitos anteriores. ¿Dónde hay una política y dónde solo una intención?
3. La rutina de incidentes primero. Tiene el plazo más ajustado y es la más barata de poner en marcha.
4. Lista de proveedores. ¿Qué terceros tienen acceso a sus sistemas críticos y qué requisitos de seguridad les exige en los contratos?
5. Confirmación de la dirección. Decisiones, responsabilidad y formación, documentadas.

Trabaje en ese orden. Los requisitos del marco son, en esencia, el mismo trabajo que de verdad reduce el riesgo; la diferencia es que ahora debe estar documentado, tener un responsable y poder demostrarse.