Cumplimiento NIS2
La directiva europea de ciberseguridad ya afecta a miles de empresas. Te ayudamos a saber si la tuya y qué hacer.
Qué es NIS2
La Directiva (UE) 2022/2555, conocida como NIS2, es la norma europea de ciberseguridad que sustituye a la anterior directiva NIS. Amplía mucho el número de sectores y de empresas obligadas, endurece los requisitos y refuerza las sanciones.
Los Estados miembros deben incorporarla a su derecho nacional, por lo que conviene consultar siempre cómo queda recogida en la normativa española y qué autoridades supervisan cada sector.
¿Afecta a mi empresa?
La directiva distingue entre entidades esenciales e importantes. Como regla general se aplica a medianas y grandes empresas (a partir de 50 empleados o 10 millones de euros de facturación o balance) de sectores como:
- Energía, transporte, banca e infraestructuras de los mercados financieros.
- Sanidad, agua potable y aguas residuales.
- Infraestructura digital y gestión de servicios TIC para empresas (proveedores de servicios gestionados, por ejemplo).
- Administración pública y espacio.
- Servicios postales, gestión de residuos, productos químicos, alimentación, fabricación, proveedores digitales e investigación.
Además, una pyme puede verse afectada indirectamente si es proveedor de una entidad obligada, que le exigirá requisitos en su cadena de suministro.
Qué exige la directiva
- Gestión de riesgos de ciberseguridad con medidas técnicas y organizativas proporcionadas.
- Notificación de incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en el plazo de un mes.
- Seguridad de la cadena de suministro y de las relaciones con proveedores.
- Continuidad de negocio, copias de seguridad y gestión de crisis.
- Uso de criptografía y de autenticación multifactor, entre otras medidas.
- Responsabilidad de la dirección: los órganos de dirección deben aprobar las medidas, supervisarlas y recibir formación.
Sanciones
Para las entidades esenciales, las multas pueden llegar hasta 10 millones de euros o el 2 % de la facturación mundial anual, la cifra que sea mayor; para las importantes, hasta 7 millones o el 1,4 %.
Cómo te ayudamos
- Determinación del ámbito: si tu empresa es entidad esencial, importante o proveedor afectado.
- Análisis de brechas frente a los requisitos.
- Plan de adecuación con prioridades y calendario.
- Implantación de políticas, medidas técnicas y procedimiento de notificación de incidentes.
- Formación a la dirección y al personal.
- Apoyo con ISO 27001 y ENS, que cubren buena parte de lo que pide NIS2.
Preguntas frecuentes
¿Es lo mismo que el RGPD?
No. El RGPD protege los datos personales; NIS2 exige la ciberseguridad de los servicios y de las redes, con independencia de que haya datos personales. Se complementan.
¿Qué pasa si soy proveedor de una empresa obligada?
Lo habitual es que te exija contractualmente medidas de seguridad y evidencias. Prepararte con antelación puede ser una ventaja comercial.
¿Sirve la ISO 27001 para cumplir NIS2?
Cubre gran parte de las medidas, pero no todas; por ejemplo, los plazos de notificación de incidentes o las obligaciones de la dirección requieren un trabajo específico.
¿Por dónde empiezo?
Por determinar si estás afectado y medir la distancia entre lo que tienes y lo que se exige. Es el análisis de brechas.
Otros servicios relacionados
Consulta también la lista completa de servicios.
Hablemos de tu caso
Cuéntanos qué necesitas y te diremos con sinceridad si podemos ayudarte y por dónde empezar.
Contactar con CiberiKa