La directiva NIS2 es la norma de ciberseguridad de la Unión Europea para las organizaciones que prestan servicios de los que dependen la sociedad y la economía. Si dirige una pyme, probablemente se haga tres preguntas: si le afecta, qué se le exigiría y por dónde empezar. BlueNova IT es una empresa de servicios informáticos con sede en Tallin que ofrece servicios de ciberseguridad para pymes. Esta guía explica la directiva sin jerga y se centra en prepararse con criterio, no en atajos.
Información general, no asesoramiento jurídico. Consulte las fuentes oficiales: el texto de la Directiva (UE) 2022/2555 (NIS2) en EUR-Lex y las normas y la orientación que publique la autoridad nacional de ciberseguridad de su país. Si NIS2 se aplica a su empresa, y qué exige su país, debe confirmarlo con un asesor jurídico o con esa autoridad. Usar esta guía no garantiza el cumplimiento normativo, y BlueNova IT no presta asesoramiento jurídico ni certifica el cumplimiento.
Qué es la directiva NIS2 y qué no es
NIS2 es la Directiva (UE) 2022/2555, que sustituye a la primera directiva NIS. Busca elevar el nivel común de ciberseguridad en la Unión obligando a las organizaciones de ciertos sectores a gestionar sus riesgos, notificar los incidentes significativos y someterse a la supervisión de una autoridad nacional.
Conviene tener presentes dos matices. El primero: una directiva no se aplica directamente a las empresas, sino que cada Estado miembro la incorpora a su derecho interno, de modo que las obligaciones concretas, la autoridad competente y las sanciones varían de un país a otro. El plazo de transposición terminó en octubre de 2024, pero el avance nacional no ha sido uniforme, así que compruebe la situación vigente en cada país donde opere. El segundo: NIS2 no es un certificado. No existe un sello oficial de "empresa conforme con NIS2" que se pueda comprar; la norma pide medidas adecuadas que puedan demostrarse ante la autoridad si esta lo solicita.
Cómo saber si NIS2 afecta a una empresa de su tamaño
La directiva combina tres criterios: el sector, el tamaño y el tipo de servicio.
- Sector. El anexo I recoge los sectores de alta criticidad, como energía, transporte, banca, salud, agua potable, infraestructura digital y gestión de servicios TIC para otras empresas. El anexo II recoge otros sectores críticos, como servicios postales, gestión de residuos, productos químicos, alimentación, cierta fabricación y proveedores digitales.
- Tamaño. Como regla general, alcanza a las entidades medianas y grandes de esos sectores. El tamaño mediano sigue la recomendación europea sobre pymes: aproximadamente 50 o más empleados, o un volumen de negocio o balance superior a 10 millones de euros. Las microempresas y las pequeñas empresas quedan, en general, fuera del ámbito principal.
- Excepciones. Algunas entidades están incluidas con independencia de su tamaño, por ejemplo ciertos proveedores de comunicaciones electrónicas públicas, servicios de confianza o servicios DNS, o el único proveedor de un servicio esencial en un Estado miembro. Los Estados miembros también pueden ampliar la norma a organizaciones más pequeñas.
Las entidades incluidas se clasifican como esenciales o importantes, y la supervisión es distinta en cada caso.
Una forma rápida de situarse. Esta secuencia le ayuda a ordenar la pregunta antes de llevarla a un asesor jurídico o a la autoridad nacional de ciberseguridad. Es una ayuda de cribado, no una determinación, así que compruebe en cada paso el texto vigente de la directiva y su transposición nacional.
- ¿Dónde está establecida su empresa y dónde presta servicios? Haga una lista de los países de la UE implicados: cada Estado miembro tiene su propia ley de transposición y su autoridad competente.
- ¿Aparece su actividad en el anexo I o en el anexo II? Lea los anexos en EUR-Lex en lugar de fiarse de un resumen. El anexo I incluye la gestión de servicios TIC para otras empresas, categoría que puede abarcar a proveedores de servicios IT gestionados.
- ¿De qué tamaño es? Compare plantilla, volumen de negocio y balance con la definición europea de pyme. Como regla general, la norma alcanza a las entidades medianas y grandes de los sectores incluidos y, en general, no a las pequeñas ni a las microempresas.
- ¿Hay alguna excepción o ampliación nacional? Algunas entidades quedan incluidas con independencia de su tamaño y algunos países aplican la norma de forma más amplia.
- ¿Presta servicios a una empresa que sí está incluida? Aunque las respuestas anteriores apunten a quedar fuera, esos clientes pueden pedirle cuestionarios de seguridad y cláusulas contractuales.
Cómo leer el resultado. Si las respuestas sugieren que puede estar incluida, o no lo tiene claro, lleve la cuestión a un asesor jurídico o a la autoridad nacional y empiece por la lista de comprobación de más abajo. Si sugieren que queda fuera, es posible que sus clientes le pidan evidencias igualmente, así que la misma lista es una base razonable. Nada de este apartado es una conclusión jurídica.
Si su empresa está por debajo del umbral, siga leyendo. Los clientes que sí están incluidos deben gestionar la seguridad de su cadena de suministro y pueden enviarle cuestionarios o cambiar las condiciones del contrato. Nuestra guía de requisitos NIS2 para proveedores explica qué suelen pedir esos clientes y qué evidencias conviene guardar.
Qué exige la directiva, explicado sin jerga
Es un resumen, no sustituye al texto de la directiva, disponible en EUR-Lex.
- Responsabilidad de la dirección (artículo 20). El órgano de dirección aprueba las medidas de gestión de riesgos, supervisa su aplicación y puede responder por ellas. Se espera que reciba formación.
- Medidas de gestión de riesgos (artículo 21). Medidas técnicas, operativas y organizativas adecuadas y proporcionadas. Entre los ámbitos mínimos figuran el análisis de riesgos y las políticas de seguridad, la gestión de incidentes, la continuidad (por ejemplo copias de seguridad y recuperación ante desastres), la seguridad de la cadena de suministro, la higiene cibernética básica y la formación, la criptografía, el control de accesos y la gestión de activos, y la autenticación multifactor cuando proceda.
- Notificación de incidentes (artículo 23). Los incidentes significativos se comunican por fases a la autoridad nacional o al CSIRT.
- Supervisión y sanciones. Las autoridades pueden pedir información, auditar y ordenar medidas correctoras. La directiva fija unos mínimos para las multas máximas y el derecho nacional concreta el resto; lo citamos solo como contexto general.
Fíjese en "adecuadas y proporcionadas". Las medidas deben guardar relación con el tamaño, la exposición y el impacto probable de un incidente, lo que deja a una empresa pequeña margen para empezar por lo básico.
Los plazos para notificar un incidente
El artículo 23 describe tres pasos para los incidentes significativos. Cada país concreta qué se considera significativo y quién recibe la notificación, pero el calendario es este:
- Alerta temprana, en 24 horas desde que se tiene conocimiento del incidente.
- Notificación del incidente, en 72 horas, con una evaluación inicial de su gravedad e impacto.
- Informe final, a más tardar un mes después de la notificación, con la causa probable y las medidas de mitigación aplicadas.
Un plazo de 24 horas no se cumple si nadie sabe quién decide, a quién se llama y dónde están los teléfonos.
Cómo se traduce NIS2 en el día a día de IT
La mayoría de las medidas del artículo 21 se traducen en higiene informática corriente. Sin equipo de seguridad propio, lo práctico es leer la directiva como una lista de preguntas sobre su trabajo diario:
- Cuentas y accesos. Quién entra en qué, si la autenticación multifactor se usa de forma coherente, quién tiene derechos de administración y cómo se gestionan altas y bajas. Nuestra lista de comprobación de seguridad de Microsoft 365 recoge estos puntos para Microsoft 365.
- Copias de seguridad y continuidad. Qué se copia, dónde se guardan las copias, quién puede borrarlas y si alguna vez se ha probado una restauración. Una copia que nunca se ha restaurado es una suposición, no una salvaguarda. Nuestra guía de copias de seguridad y recuperación explica el RTO, el RPO y las pruebas de restauración.
- Dispositivos y nube. Un inventario, un método para actualizar, cifrado de discos y reglas claras para compartir fuera de la empresa.
- Proveedores. Quién aloja sus datos o gestiona sistemas críticos, qué acceso tiene y qué debe hacer si algo falla.
- Personas. Sesiones breves de concienciación y una dirección que entienda lo bastante para decidir con conocimiento.
Primeros pasos para una pyme
- Averigüe si probablemente le afecta. Anote sector, plantilla, volumen de negocio, países y servicios que presta a clientes incluidos, y confírmelo con un asesor jurídico o con la autoridad nacional.
- Designe a un responsable en la dirección, porque la responsabilidad recae en ese nivel.
- Ponga por escrito lo que tiene: sistemas, cuentas, dispositivos, servicios en la nube, proveedores y los datos que manejan.
- Revise lo básico: autenticación multifactor, derechos de administración, actualizaciones y copias con una restauración probada.
- Redacte un procedimiento de incidentes de una página: quién decide, a quién se avisa y qué sistemas se restablecen primero. Nuestra guía del plan de recuperación ante desastres de una página cubre la parte de recuperación.
- Conserve registros breves de decisiones, revisiones y pruebas, y acuerde prioridades y una fecha de revisión.
Lista de comprobación práctica para prepararse
Use esta lista como documento de trabajo cuando ya tenga una idea de su posición probable. Sigue los ámbitos que nombra el artículo 21, en términos generales, y los convierte en preguntas sobre la práctica diaria. No es una prueba de cumplimiento: responder a todas las líneas no demuestra que se cumpla la directiva, y la normativa nacional puede exigir más.
| Ámbito | Pregunta que debe responder | Evidencia que conviene conservar |
|---|---|---|
| Gobierno | ¿Ha designado la dirección a un responsable, ha acordado las prioridades y ha recibido formación básica? | Un responsable designado, actas breves, fechas de formación |
| Inventario | ¿Sabe qué sistemas, cuentas, dispositivos, servicios en la nube y datos utiliza? | Un inventario con responsable y fecha de revisión |
| Accesos | ¿Se usa la autenticación multifactor de forma coherente y están limitados y revisados los derechos de administración? | Exportaciones de la configuración, lista de administradores, registros de altas y bajas |
| Copias y recuperación | ¿Qué se copia, quién puede borrar las copias y cuándo se probó por última vez una restauración? | El alcance de las copias, el registro de la prueba de restauración |
| Actualizaciones y dispositivos | ¿Cómo se actualizan y cifran los sistemas y dispositivos, y qué ocurre cuando se pierde uno? | Una rutina de actualización, una lista de dispositivos, un procedimiento ante pérdidas |
| Incidentes | ¿Existe un procedimiento de una página que diga quién decide, a quién se avisa y qué sistemas se restablecen primero? | El procedimiento, una lista de contactos, una nota de cualquier simulacro |
| Proveedores | ¿Qué proveedores alojan sus datos o gestionan sistemas críticos, y qué dicen los contratos sobre seguridad e incidentes? | Una lista de proveedores, las cláusulas contractuales relevantes, respuestas a cuestionarios |
| Personas | ¿Sabe el personal qué debe comunicar y a quién? | Registros de sesiones breves, una vía de comunicación |
Mantenga las evidencias breves y al día. Si desea ayuda para convertir las respuestas en un plan priorizado, vea más abajo qué puede hacer un socio tecnológico y qué no.
Qué puede hacer un socio tecnológico y qué no
Un socio tecnológico puede aclarar el lado práctico, pero no asumir su responsabilidad jurídica. Nuestros servicios de ciberseguridad para pymes parten de una revisión estructurada de cuentas, dispositivos, copias de seguridad, red y nube, y de la preparación ante incidentes. En el contexto de NIS2 podemos ayudarle a:
- revisar lo que realmente existe y documentarlo, con las carencias abiertas, en lenguaje claro (vea en qué se diferencian una auditoría de seguridad, un escaneo de vulnerabilidades y una prueba de penetración);
- preparar respuestas a cuestionarios de seguridad de clientes o a requisitos contractuales;
- agrupar las mejoras por impacto y esfuerzo y acordar quién se encarga de cada una;
- dar soporte al trabajo diario mediante nuestros servicios IT gestionados, con un alcance acordado por separado.
No prestamos asesoramiento jurídico, no determinamos si NIS2 le afecta, no certificamos el cumplimiento ni garantizamos que una autoridad considere suficientes sus medidas. El soporte se presta en español e inglés, de lunes a viernes, de 09:00 a 18:00 CET. Si desea empezar por una revisión, contáctenos y cuéntenos brevemente sus equipos, ubicaciones y principales preocupaciones.
Relacionado: servicios de ciberseguridad para pymes, servicios IT gestionados, Cómo elegir servicios de ciberseguridad.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), texto oficial en EUR-Lex: el texto legal en el que se basan el ámbito de aplicación, la responsabilidad de la dirección (artículo 20), las medidas de gestión de riesgos (artículo 21) y la notificación de incidentes (artículo 23) resumidos arriba
- Recomendación 2003/361/CE de la Comisión, en EUR-Lex: la definición europea de microempresas, pequeñas y medianas empresas que se usa para el criterio de tamaño
- Comisión Europea: Directiva SRI 2 (NIS2): descripción oficial de la directiva y de sus objetivos
