Directiva NIS2 Explicada: A Quién Afecta, Requisitos y Sanciones

La Directiva NIS2 (Directiva de Seguridad de Redes y Sistemas de Información 2) es la legislación de ciberseguridad más ambiciosa de la UE. Sustituye a la Directiva NIS original de 2016, ampliando drásticamente su alcance y endureciendo los requisitos. NIS2 deja algo claro: tu ciberseguridad ya no es solo tu problema — es el problema de todos.

Si un ciberataque tumba tu empresa, el daño no se detiene en tu puerta. Tus clientes pierden servicio, tus proveedores pierden ingresos y sectores enteros pueden verse afectados. NIS2 existe para asegurar que eso no ocurra.

¿A Quién Afecta NIS2?

NIS2 aplica a entidades esenciales e importantes en 18 sectores críticos. El alcance es mucho más amplio de lo que la mayoría de organizaciones esperan.

Entidades Esenciales (Requisitos Máximos)

Energía (electricidad, petróleo, gas, hidrógeno, calefacción urbana)
Transporte (aéreo, ferroviario, marítimo, por carretera)
Banca e infraestructura del mercado financiero
Sanidad (hospitales, laboratorios, fabricantes de dispositivos médicos)
Suministro de agua potable y gestión de aguas residuales
Infraestructura digital (proveedores DNS, registros TLD, cloud, centros de datos, CDN)
Gestión de servicios TIC (B2B — proveedores de servicios gestionados y de seguridad gestionada)
Administración pública (gobierno central y regional)
Espacio

Entidades Importantes

Servicios postales y de mensajería
Gestión de residuos
Fabricación y distribución de productos químicos
Producción y distribución de alimentos
Fabricación (dispositivos médicos, electrónica, maquinaria, vehículos de motor)
Proveedores digitales (marketplaces, motores de búsqueda, redes sociales)
Organizaciones de investigación

Umbrales de Tamaño

NIS2 aplica generalmente a medianas y grandes empresas: organizaciones con 50+ empleados o 10M€+ de facturación anual. Sin embargo, algunas entidades están dentro del alcance independientemente de su tamaño — proveedores DNS, registros TLD y proveedores de comunicaciones electrónicas públicas.

El Factor Cadena de Suministro

Crítico: NIS2 no solo aplica a las entidades listadas arriba. También llega a sus cadenas de suministro. Si eres proveedor de software, servicios cloud o servicios TI de una entidad esencial, puedes enfrentarte a requisitos NIS2 indirectamente — a través de obligaciones contractuales que tus clientes te imponen.

Requisitos Clave

NIS2 exige un enfoque integral de ciberseguridad:

1. Medidas de Gestión de Riesgos

Las organizaciones deben implementar medidas técnicas, operativas y organizativas apropiadas para gestionar los riesgos de ciberseguridad. Como mínimo:

Análisis de riesgos y políticas de seguridad de sistemas de información
Procedimientos de gestión de incidentes
Continuidad de negocio y gestión de crisis
Seguridad de la cadena de suministro
Seguridad en la adquisición, desarrollo y mantenimiento de redes y sistemas
Gestión y divulgación de vulnerabilidades
Prácticas de evaluación y pruebas de ciberseguridad
Políticas de cifrado y criptografía
Seguridad de recursos humanos, control de acceso y gestión de activos
Autenticación multifactor y comunicaciones seguras

2. Notificación de Incidentes

NIS2 establece una notificación de incidentes estricta y multifase:

Plazo	Obligación
24 horas	Alerta temprana a la autoridad competente — notificación inicial de que ha ocurrido un incidente significativo
72 horas	Notificación completa — evaluación inicial, gravedad, impacto, indicadores de compromiso
1 mes	Informe final — análisis de causa raíz, medidas de mitigación, impacto transfronterizo

3. Responsabilidad de la Dirección

Esto es nuevo. NIS2 hace a los órganos de dirección personalmente responsables de la ciberseguridad. La dirección debe:

Aprobar las medidas de gestión de riesgos de ciberseguridad
Supervisar su implementación
Recibir formación en ciberseguridad
Ser responsable de los incumplimientos

El CEO ya no puede decir “la ciberseguridad es problema de TI.” Bajo NIS2, es problema del consejo de administración.

4. Continuidad de Negocio

Las organizaciones deben contar con planes para:

Gestión de copias de seguridad y recuperación ante desastres
Gestión de crisis
Garantizar la continuidad de servicios esenciales durante y después de un incidente

5. Seguridad de la Cadena de Suministro

Las entidades deben evaluar y gestionar los riesgos de sus proveedores directos y prestadores de servicios, incluyendo:

Evaluación de las prácticas de ciberseguridad de proveedores
Inclusión de requisitos de ciberseguridad en contratos
Monitorización y auditoría de la seguridad de proveedores
Planes de contingencia para fallos de proveedores

Por Qué NIS2 Importa

NIS2 refleja un cambio fundamental en cómo la UE ve la ciberseguridad: ya no es un tema técnico — es una cuestión de resiliencia social.

Riesgo interconectado: Un solo proveedor comprometido puede afectar en cascada a todo un sector. NIS2 obliga a pensar más allá de tu propio perímetro.
Diferenciación competitiva: Las organizaciones que demuestran cumplimiento NIS2 se convierten en socios y proveedores preferidos.
Requisitos de seguros: Las aseguradoras de ciber-riesgos exigen cada vez más controles de nivel NIS2 como condición para la cobertura.
Solapamiento con otros marcos: El cumplimiento NIS2 proporciona una base sólida para ISO 27001, DORA y CRA.

Qué Pasa Si No Cumples

Las Multas

Tipo de Entidad	Multa Máxima
Entidades esenciales	Hasta 10 millones de euros o 2% de la facturación anual global (lo que sea mayor)
Entidades importantes	Hasta 7 millones de euros o 1,4% de la facturación anual global (lo que sea mayor)

Además: responsabilidad personal de la dirección — incluyendo posible inhabilitación temporal para ejercer funciones directivas.

Un Escenario Que Quita el Sueño

Este es un escenario ilustrativo basado en patrones de ataques reales.

Una empresa SaaS proporciona facturación y procesamiento de pagos a 3.000 pymes. Un atacante compromete su pipeline CI/CD mediante una credencial de desarrollador robada y modifica el código de la pasarela de pagos. Durante 18 horas, cada pago de cliente se redirige silenciosamente a la cuenta del atacante.

340.000 € robados en un día.

La empresa no tenía:

Plan de respuesta a incidentes
Autenticación multifactor en su infraestructura de desarrollo
Evaluación de seguridad de la cadena de suministro
Capacidad de detección de incidentes (tardaron 3 días en descubrirlo)
Procedimientos de notificación (nunca notificaron a las autoridades)

Bajo NIS2:

10 millones de euros de multa sobre las pérdidas financieras
Responsabilidad personal del CEO, que nunca aprobó una política de ciberseguridad
Divulgación pública obligatoria del incidente
Supervisión regulatoria y remediación obligatoria
Cada uno de sus 3.000 clientes debe reportar el incidente de cadena de suministro a sus propios reguladores

El atacante robó 340.000 €. Las consecuencias de NIS2 cuestan 30 veces más.

Cómo Empezar

1. Determina Si Estás en el Alcance

Verifica si tu organización está en uno de los 18 sectores NIS2 y cumple el umbral de tamaño. No olvides: si eres proveedor de entidades esenciales, puedes estar indirectamente en el alcance.

2. Realiza una Evaluación de Brechas

Evalúa tu postura actual de ciberseguridad contra las diez medidas mínimas de seguridad de NIS2. Identifica dónde fallas — la mayoría de organizaciones encuentran brechas en notificación de incidentes, seguridad de la cadena de suministro y responsabilidad de la dirección.

3. Establece Respuesta a Incidentes

Construye una capacidad de respuesta a incidentes multifase alineada con los plazos de NIS2 (24h/72h/1 mes). Designa responsables, crea plantillas de comunicación y realiza ejercicios de simulación.

4. Involucra a la Dirección

NIS2 requiere participación a nivel de consejo. Informa a tu dirección sobre sus nuevas obligaciones, programa formación en ciberseguridad y asegura que aprueben formalmente las políticas de seguridad.

5. Evalúa Tu Cadena de Suministro

Mapea tus proveedores críticos, evalúa su postura de seguridad y actualiza los contratos para incluir requisitos de ciberseguridad. Este es a menudo el paso más difícil y que más tiempo consume — empieza pronto.

El cumplimiento NIS2 no es opcional y el reloj avanza. Las organizaciones que empiecen ahora estarán preparadas. Las que esperen estarán improvisando — y pagando el precio.