Directiva (UE) 2022/2555 · NIS2
La Directiva NIS2 amplía la ciberseguridad obligatoria a miles de empresas y entidades de sectores críticos, hace responsable a la dirección y alcanza también a sus proveedores. Te ayudamos a saber qué te exige y a cumplirlo aprovechando lo que ya tienes.
18
sectores incluidos, entre los de alta criticidad y los otros sectores críticos.
10
medidas mínimas de gestión de riesgos que exige el artículo 21.
24 h
para enviar la alerta temprana de un incidente significativo.
10 M€
o el 2 % de la facturación mundial: sanción máxima para las entidades esenciales.
A quién aplica
Grandes empresas de los sectores de alta criticidad y, sea cual sea su tamaño, servicios como DNS, dominios de primer nivel o servicios de confianza cualificados. Supervisión previa y sanciones de hasta 10 M€ o el 2 % de la facturación.
Medianas y grandes empresas del resto de sectores incluidos, y medianas de los de alta criticidad. Supervisión a posteriori y sanciones de hasta 7 M€ o el 1,4 % de la facturación.
Las entidades obligadas deben gestionar la seguridad de su cadena de suministro, así que trasladan requisitos a sus proveedores por contrato. Es la vía por la que NIS2 llega a muchas pymes.
Comprobación rápida
La Directiva combina dos criterios: el sector en el que operas y el tamaño de tu organización. Algunos servicios entran siempre, y muchas pymes quedan afectadas de forma indirecta a través de sus clientes.
SectorAlta criticidad: energía, transporte, banca, mercados financieros, salud, agua, infraestructura digital, servicios TIC gestionados, administración pública o espacio. Otros críticos: postal, residuos, química, alimentación, fabricación, proveedores digitales o investigación.
TamañoPequeña: menos de 50 personas y hasta 10 M€ de facturación. Mediana: menos de 250 y hasta 50 M€. Grande: por encima de esos umbrales.
Servicio especialProveedor de DNS, registro de dominios de primer nivel, servicios de confianza cualificados o redes y servicios de comunicaciones electrónicas públicas.
Proveedor de una entidad afectadaPrestas servicios TIC, software, mantenimiento o suministros a una empresa o entidad que sí está dentro de NIS2.
Resultado orientativo
Fuera del ámbito
Con estos datos, NIS2 no te obliga directamente. Aun así, sus medidas son una buena referencia de lo que hoy se considera una seguridad razonable.
Comprobar mi caso →Simplificación de los artículos 2 y 3 de la Directiva (UE) 2022/2555. La autoridad puede designar entidades por su criticidad y la ley española concreta el detalle; lo confirmamos en el análisis de aplicabilidad.
Artículo 21
La Directiva no impone una norma concreta, sino un enfoque basado en el riesgo y proporcionado. Estas son las medidas que debe cubrir, como mínimo, cualquier entidad obligada.
¿Ya tienes ISO/IEC 27001 o el ENS? Cubren buena parte de estas medidas. El trabajo consiste en identificar las diferencias, no en rehacer el sistema.
Responsabilidad de la dirección
NIS2 deja claro que la seguridad no se delega por completo en el departamento técnico.
Cómo trabajamos
Confirmamos si estás dentro, como entidad esencial o importante, o si te afecta como proveedor.
Comparamos tu situación con las medidas del artículo 21, reutilizando ISO 27001, ENS o los controles que ya tengas.
Plan priorizado, roles, procedimiento de notificación y formación de la dirección.
Implantación, documentación proporcionada y preparación para la supervisión de la autoridad.
Análisis de aplicabilidad sin compromiso
Te decimos si estás dentro, en qué categoría y qué te falta respecto a las medidas exigidas, con un plan proporcionado a tu tamaño.
Preguntas frecuentes
La Directiva es de aplicación en la Unión Europea desde octubre de 2024, y cada Estado debe trasladarla a su legislación. En España, esa transposición se tramita como Ley de Coordinación y Gobernanza de la Ciberseguridad. En cada proyecto te confirmamos el estado de la normativa aplicable y las autoridades competentes.
Directamente, en general no: la Directiva se dirige a medianas y grandes empresas, salvo servicios concretos como DNS o servicios de confianza. Pero si eres proveedor de una entidad obligada, es muy probable que te pida por contrato medidas de seguridad, evidencias o auditorías.
No automáticamente, pero tienes buena parte del camino hecho. ISO 27001 cubre la mayoría de las medidas del artículo 21; faltan sobre todo aspectos como los plazos de notificación, la responsabilidad y formación de la dirección o requisitos específicos de la cadena de suministro.
Sí. Las entidades obligadas deben facilitar sus datos a la autoridad competente para que los Estados elaboren la lista de entidades esenciales e importantes. Los detalles y el canal los fija la normativa nacional.
Son marcos distintos que se solapan. El ENS sigue siendo obligatorio para el sector público y sus proveedores, y quien ya lo cumple tiene adelantada gran parte de las medidas de NIS2.
Servicios relacionados
Contacto
Cuéntanos el sector, el tamaño aproximado de tu organización y si algún cliente te está pidiendo requisitos de seguridad. Te diremos si estás dentro, en qué categoría y por dónde empezar.
