Preguntas frecuentes sobre la Directiva NIS2 de ciberseguridad

Question 1

¿Qué es la Directiva NIS2?

Accepted Answer

La Directiva NIS2 es la normativa europea que refuerza los requisitos de ciberseguridad para entidades esenciales e importantes en sectores críticos.
Su objetivo es elevar el nivel común de ciberseguridad en la Unión Europea, mejorar la resiliencia de los servicios esenciales y reducir el impacto de los incidentes que puedan afectar a redes, sistemas de información, servicios digitales, continuidad operativa y prestación de servicios críticos. NIS2 no se limita a exigir medidas técnicas de seguridad informática.
Incorpora obligaciones de gobernanza, gestión de riesgos, responsabilidad de la dirección, seguridad de la cadena de suministro, gestión de incidentes, continuidad de negocio, notificación de incidentes significativos, formación, supervisión y posibles sanciones por incumplimiento.

Question 2

¿A qué empresas y entidades aplica la Directiva NIS2?

Accepted Answer

La Directiva NIS2 aplica a entidades públicas o privadas que operan en sectores considerados críticos o de alta importancia para la sociedad y la economía.
Estos sectores son energía, transporte, banca, infraestructuras de mercados financieros, salud, agua potable, aguas residuales, infraestructuras digitales, gestión de servicios TIC, administración pública, espacio, servicios postales, gestión de residuos, productos químicos, alimentación, fabricación de determinados productos críticos y proveedores digitales.
Con carácter general, NIS2 afecta a medianas y grandes empresas que desarrollan actividades incluidas en sus anexos, aunque también puede afectar a entidades de menor tamaño en determinados casos, especialmente cuando prestan servicios especialmente críticos, tienen relevancia sectorial o son designadas por la autoridad competente.
El primer paso para saber si una organización está afectada por NIS2 es analizar su sector, actividad real, tamaño, servicios prestados, clientes, dependencia tecnológica, criticidad operativa y posible relación con servicios esenciales o entidades públicas.

Question 3

¿Qué diferencia hay entre entidades esenciales y entidades importantes?

Accepted Answer

La Directiva NIS2 clasifica a las organizaciones afectadas como entidades esenciales o entidades importantes.
La clasificación depende de factores como el sector, el tipo de actividad, el tamaño de la entidad, la criticidad del servicio prestado y el impacto que podría tener un incidente sobre la sociedad, la economía, los usuarios o la continuidad de servicios esenciales.
Las entidades esenciales están sometidas a un régimen de supervisión más intenso, debido a la mayor criticidad de sus servicios. Las entidades importantes también deben cumplir obligaciones de ciberseguridad, gestión de riesgos y notificación de incidentes, pero el régimen de supervisión suele ser menos preventivo y más reactivo.
En ambos casos, la organización debe analizar sus riesgos, implantar medidas técnicas, operativas y organizativas proporcionadas, gestionar incidentes, controlar proveedores, formar a la dirección y conservar evidencias que demuestren su nivel de cumplimiento.

Question 4

¿Qué obligaciones principales establece NIS2?

Accepted Answer

NIS2 establece obligaciones relacionadas con la gobernanza de la ciberseguridad, la gestión de riesgos, la protección de redes y sistemas de información, la gestión de incidentes, la continuidad de las actividades, la seguridad de la cadena de suministro, la seguridad en adquisición, desarrollo y mantenimiento de sistemas, la gestión de vulnerabilidades, la formación, el control de accesos, la autenticación, el uso de criptografía y la notificación de incidentes significativos.
Exige que los órganos de dirección aprueben y supervisen las medidas de gestión de riesgos de ciberseguridad, asuman responsabilidad sobre su implantación y reciban formación suficiente para comprender los riesgos y valorar el impacto de las medidas adoptadas.
En la práctica, NIS2 obliga a pasar de una ciberseguridad puramente técnica a un modelo de gestión, control, evidencias y mejora continua, integrado en la dirección y en los procesos de negocio de la organización.

Question 5

¿Qué medidas de gestión de riesgos de ciberseguridad exige NIS2?

Accepted Answer

NIS2 exige aplicar medidas proporcionadas al riesgo para proteger los sistemas de redes y de información utilizados por la entidad en sus operaciones o en la prestación de sus servicios.
Estas medidas deben ayudar a prevenir incidentes, detectarlos, responder ante ellos, reducir su impacto y recuperar la actividad. Entre las medidas clave se encuentran las políticas de seguridad de los sistemas de información, análisis de riesgos, gestión de incidentes, continuidad de negocio, copias de seguridad, recuperación ante desastres, gestión de crisis, seguridad de la cadena de suministro, seguridad en adquisición, desarrollo y mantenimiento de sistemas, gestión de vulnerabilidades, evaluación de la eficacia de los controles, ciberhigiene, formación, criptografía, control de accesos, gestión de activos y autenticación multifactor cuando proceda.
La clave no es implantar controles genéricos, sino definir medidas adaptadas a la actividad, riesgos, tamaño, servicios críticos, proveedores, sistemas y grado de exposición de cada organización.

Question 6

¿Qué responsabilidad tiene la dirección en NIS2?

Accepted Answer

La dirección tiene un papel central en NIS2.
Los órganos de dirección de las entidades esenciales e importantes deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su aplicación y asumir responsabilidad sobre el incumplimiento de las obligaciones aplicables.
Esto significa que la ciberseguridad deja de ser una cuestión exclusiva del departamento técnico o del área de sistemas.
La dirección debe conocer los riesgos, entender el impacto de los incidentes, asignar recursos, aprobar políticas, impulsar la cultura de ciberseguridad, revisar resultados y garantizar que la organización cuenta con medidas proporcionadas.
NIS2 prevé formación para los miembros de los órganos de dirección y fomenta la formación periódica del personal, de forma que la organización pueda detectar riesgos, evaluar prácticas de ciberseguridad y responder mejor ante amenazas.

Question 7

¿Qué obligaciones de notificación de incidentes establece NIS2?

Accepted Answer

NIS2 establece obligaciones de notificación para incidentes significativos que afecten a entidades esenciales o importantes.
La organización debe disponer de procesos para detectar, clasificar, escalar, gestionar y notificar incidentes de ciberseguridad dentro de los plazos establecidos.
De forma general, la Directiva prevé una alerta temprana sin demora indebida y, en todo caso, en un plazo de 24 horas desde que la entidad tenga conocimiento del incidente significativo.
Posteriormente debe realizarse una notificación más completa en un plazo de 72 horas, con una evaluación inicial del incidente, gravedad, impacto e indicadores de compromiso cuando estén disponibles. También se prevé un informe final a más tardar un mes después de la notificación.
Para cumplir adecuadamente, no basta con saber que existe una obligación de notificación. La empresa debe tener definido un procedimiento de gestión de incidentes, responsables, canales de comunicación, criterios de severidad, evidencias, coordinación con proveedores y mecanismos de aprendizaje posterior.

Question 8

¿Cómo afecta NIS2 a proveedores y a la cadena de suministro?

Accepted Answer

NIS2 da mucha importancia a la seguridad de la cadena de suministro. Las entidades afectadas deben tener en cuenta los riesgos derivados de proveedores, prestadores de servicios TIC, servicios cloud, servicios gestionados, software, soporte tecnológico, mantenimiento, desarrollo, infraestructuras y otros terceros que puedan afectar a la seguridad de sus sistemas o servicios.
Esto implica evaluar proveedores, revisar requisitos contractuales, analizar dependencias críticas, controlar accesos de terceros, valorar prácticas de desarrollo seguro, revisar acuerdos de servicio, exigir evidencias de seguridad, gestionar vulnerabilidades y establecer medidas de continuidad ante fallos de proveedores.
La ciberseguridad NIS2 no termina dentro de la organización. Debe extenderse a las relaciones con terceros cuando estos puedan comprometer la disponibilidad, autenticidad, integridad o confidencialidad de la información y de los servicios prestados.

Question 9

¿Qué sanciones puede conllevar el incumplimiento de NIS2?

Accepted Answer

El incumplimiento de NIS2 puede dar lugar a medidas de supervisión, requerimientos, instrucciones, auditorías, controles y sanciones. La intensidad del régimen dependerá de si la entidad es esencial o importante, del tipo de incumplimiento, de la gravedad del incidente, del impacto generado y de la normativa nacional de transposición aplicable.
La Directiva contempla un régimen sancionador exigente, especialmente para incumplimientos relacionados con medidas de gestión de riesgos, gobernanza, notificación de incidentes, cooperación con autoridades o falta de implantación de controles adecuados. Por ello, la adaptación a NIS2 debe plantearse como un proyecto real de cumplimiento y ciberresiliencia, no como una simple revisión documental.
La organización debe poder demostrar medidas implantadas, decisiones tomadas, evidencias, formación, seguimiento, auditorías y mejora continua.

Question 10

¿Qué relación tiene NIS2 con ISO 27001, ENS, DORA y la Directiva CER?

Accepted Answer

NIS2 puede relacionarse con otros marcos de seguridad, continuidad y resiliencia, pero no debe confundirse con ellos. ISO 27001 es una norma internacional para implantar un Sistema de Gestión de Seguridad de la Información.
ENS es el marco español aplicable al sector público y a determinados proveedores que prestan servicios o soluciones a administraciones públicas. DORA regula la resiliencia operativa digital del sector financiero.
La Directiva CER se centra en la resiliencia de entidades críticas. NIS2 establece obligaciones de ciberseguridad para entidades esenciales e importantes en sectores críticos de la Unión Europea.
ISO 27001 puede ayudar a estructurar un sistema de gestión de seguridad de la información alineado con muchos requisitos de NIS2, aunque no sustituye automáticamente el cumplimiento legal de la Directiva. ENS puede ser complementario cuando la organización trabaja con el sector público español.
DORA puede prevalecer como marco sectorial específico para entidades financieras cuando resulte aplicable. CER puede complementar NIS2 en entidades críticas, especialmente desde la perspectiva de resiliencia no exclusivamente cibernética.
En la práctica, muchas organizaciones necesitarán analizar solapamientos entre NIS2, ISO 27001, ENS, DORA, CER, protección de datos, continuidad de negocio y requisitos contractuales de clientes.

Question 11

¿Cómo se realiza la adaptación a NIS2 y cuánto tiempo puede requerir?

Accepted Answer

La adaptación a NIS2 debe realizarse de forma planificada y proporcional al nivel de riesgo, criticidad, sector y tamaño de la organización. Habitualmente se desarrolla en las siguientes fases:

Diagnóstico y análisis de aplicabilidad: revisión del sector, actividad, tamaño, servicios prestados, sistemas, clientes, normativa aplicable y posible clasificación como entidad esencial o importante.
Definición del alcance: identificación de procesos, servicios, activos, sistemas, ubicaciones, proveedores, usuarios y actividades incluidas en el proyecto de adaptación.
Análisis de riesgos de ciberseguridad: identificación de amenazas, vulnerabilidades, impacto potencial, dependencias, incidentes previos, criticidad operativa y exposición de la organización.
Definición de medidas y plan de acción: selección de medidas técnicas, operativas y organizativas necesarias para cubrir gobernanza, seguridad de sistemas, continuidad, gestión de incidentes, proveedores, accesos, formación, vulnerabilidades y notificación.
Implantación de controles y documentación: puesta en marcha de políticas, procedimientos, controles, responsables, registros, evidencias, formación y mecanismos de seguimiento.
Verificación, auditoría y mejora: revisión del grado de implantación, análisis de brechas pendientes, simulacros, auditorías internas, indicadores, acciones correctivas y mejora continua.

El tiempo necesario puede variar desde varias semanas hasta varios meses, dependiendo del alcance, madurez previa, complejidad tecnológica, número de proveedores, criticidad de los servicios, existencia de un SGSI ISO 27001, requisitos contractuales y grado de implantación real de medidas de ciberseguridad.

Question 12

¿Cómo ayuda GLOBAL O2 en la adaptación a NIS2?

Accepted Answer

GLOBAL O2 acompaña a las organizaciones en el análisis de aplicabilidad, diagnóstico, planificación, implantación, auditoría y mejora del cumplimiento de la Directiva NIS2. Analizamos la actividad de la empresa, sector, servicios, sistemas de información, procesos críticos, proveedores, contratos, riesgos, controles existentes, documentación, responsabilidades y grado de madurez en ciberseguridad.
A partir de ese diagnóstico, ayudamos a definir el alcance del proyecto, identificar brechas frente a NIS2, establecer un plan de acción, desarrollar políticas y procedimientos, implantar medidas organizativas, técnicas y operativas, definir procesos de gestión de incidentes, reforzar la cadena de suministro, preparar evidencias y alinear el sistema con otros marcos como ISO 27001, ENS, ISO 22301 o continuidad de negocio.
Nuestro objetivo es que la adaptación a NIS2 no sea solo un ejercicio documental, sino un modelo práctico de gestión de ciberseguridad que reduzca riesgos, mejore la resiliencia, facilite la notificación de incidentes, refuerce la confianza de clientes y autoridades, y convierta la ciberseguridad en una ventaja competitiva.

Cookie	Descripción	Duración	Tipo
_gat	Se usa para limitar el porcentaje de solicitudes.	1 minutos	Analítica
_ga	Esta cookie se usa para identificar usuarios procedentes de LinkedIn o Twitter. También es utilizada por Google para distinguir usuarios únicos. La primera vez que un usuario entre en el sitio web a través de un navegador se instalará esta cookie. Cuando este usuario vuelva a entrar en la web con el mismo navegador, la cookie considerará que es el mismo usuario. Solo en el caso de que el usuario cambie de navegador, se considerará otro usuario.	2 años	Analítica
_gat_gtag_UA_*	Utilizada por Google Analytics para controlar la tasa de peticiones.	Sesión	Analítica
_gid	Cookie fijada por analytics.js; librería JavaScript propiedad de Google. La librería analytics.js forma parte de Google Universal Analytics y utiliza esta cookie de origen que contiene un identificador anónimo usado para distinguir idiomas.	24 horas	Analítica

ISO 56001 - GESTIÓN DE INNOVACIÓN Consultoría | Auditoría | Formación | Mantenimiento

ISO 42001- GESTIÓN INTELIGENCIA ARTIFICIAL Consultoría | Auditoría | Mantenimiento

ISO 50001 - GESTIÓN DE ENERGÍA Consultoría | Auditoría | Mantenimiento

EMPRESA SALUDABLE Consultoría | Auditoría | Mantenimiento

NIS2 | Directiva (UE) 2022/2555 de ciberseguridad

Consultoría para adaptación a Directiva NIS2 de ciberseguridad

CONTACTO

Características y principales requisitos de la Directiva NIS2 de ciberseguridad

Determinación del alcance y aplicabilidad

Responsabilidad de los órganos de dirección

Gestión de riesgos de ciberseguridad

Gestión y notificación de incidentes

Continuidad de actividades y gestión de crisis

Seguridad de la cadena de suministro

Ciclo de vida de los sistemas

Activos, accesos y comunicaciones

Evaluación, formación y mejora continua

Soluciones de GLOBAL O2 en la Directiva NIS2 de ciberseguridad

CONSULTORÍA

AUDITORÍA

MANTENIMIENTO

FORMACIÓN

Beneficios de la adaptación a la Directiva NIS2 de ciberseguridad

Cumplimiento normativo

Reducción de riesgos de ciberseguridad

Continuidad y resiliencia operativa

Respuesta eficaz ante incidentes

Control de proveedores

Implicación de la dirección

Confianza de clientes y partes interesadas

Integrable con ISO 27001 y ENS

Mejora competitiva

Soluciones relacionadas con NIS2

ISO 27001

ISO 22301

ENS

ISO 9001

ISO 42001

Auditoría Interna e Inspección