¿Qué es la NIS2?
La NIS2 es la Directiva (UE) 2022/2555, la norma europea que fija un nivel común de ciberseguridad para las empresas que prestan servicios importantes. Sustituye a la primera directiva NIS, de 2016, y amplía mucho la lista de sectores y empresas afectadas.
Al ser una directiva, cada país la incorpora con su propia ley.
¿A quién afecta la NIS2?
La NIS2 distingue entre entidades esenciales e importantes. Como regla general, se aplica a empresas medianas y grandes (desde 50 personas, o con una facturación y un balance de más de 10 millones de euros cada uno) de los sectores que recoge la directiva: energía, transporte, salud, agua, infraestructura digital, fabricación de determinados productos, alimentación, gestión de residuos o servicios postales, entre otros.
| Entidades esenciales | Entidades importantes | |
|---|---|---|
| Quiénes, en general | Empresas grandes de los sectores de alta criticidad (anexo I) | Medianas y grandes del resto de sectores de los anexos I y II |
| Supervisión | Antes y después de un incidente | Después, si hay indicios de incumplimiento |
| Multa máxima | Cada país fija un máximo de, como mínimo, 10 M€ o el 2 % del volumen de negocio mundial anual, lo que sea mayor | Cada país fija un máximo de, como mínimo, 7 M€ o el 1,4 % del volumen de negocio mundial anual, lo que sea mayor |
Simplificado a partir de los artículos 3 y 34 de la Directiva (UE) 2022/2555. Hay excepciones por sector.
¿Por qué te afecta la NIS2 aunque seas pequeña?
La directiva obliga a las empresas afectadas a cuidar la seguridad de su cadena de suministro. En la práctica, eso significa que tu cliente grande te va a mandar un cuestionario, una cláusula en el contrato o una homologación de proveedor. Si no puedes responder, el problema es comercial antes que legal.
¿Qué medidas pide la NIS2?
El artículo 21 enumera diez tipos de medidas. No dice qué producto comprar: pide que las medidas sean proporcionadas al riesgo y al tamaño de la empresa.
¿Qué pasa si hay un incidente, según la NIS2?
Si ocurre un incidente significativo, la empresa afectada tiene que avisar a la autoridad o al equipo de respuesta de su país en plazos cortos.
24 horas
Alerta temprana
Aviso de que ha pasado algo significativo.
72 horas
Notificación
Primera evaluación: gravedad e impacto.
1 mes
Informe final
Qué pasó, por qué y qué se ha hecho.
¿Cómo se cumple la NIS2 y cómo se demuestra?
- Valora si te afecta directamente o a través de tus clientes.
- Aplica las medidas que faltan en equipos, correo, copias y accesos.
- Documenta tu sistema de seguridad: qué haces, quién lo hace y cómo lo compruebas.
- Guarda las pruebas cada mes en un dossier de evidencias.
Preguntas frecuentes
¿Existe un certificado NIS2?
No. Lo que te pedirán son las medidas aplicadas y las pruebas de que funcionan. Otros marcos, como la ISO 27001, sí se certifican.
¿Qué pasa si no cumplo?
Si tu empresa está obligada, hay multas y la dirección puede responder personalmente. Si no lo está, el riesgo es perder clientes que sí lo están.
¿Esta guía sustituye a un asesor legal?
No. Es una explicación general para orientarte. Para tu caso concreto, consulta con tu asesoría.
Fuentes
- Directiva (UE) 2022/2555, de 14 de diciembre de 2022 (DOUE L 333, de 27 de diciembre de 2022), artículos 3, 21, 23 y 34.
