Compliance
¿Qué exige la Directiva NIS2 a la infraestructura de una empresa?
La Directiva NIS2, o Directiva (UE) 2022/2555, obliga a las entidades esenciales e importantes de 18 sectores a gestionar sus riesgos de ciberseguridad, notificar los incidentes significativos en plazos fijos y responder de ello a nivel de dirección. Sus medidas alcanzan también a la cadena de suministro: los proveedores de infraestructura y servicios TI forman parte del riesgo que cada entidad debe controlar.
En esta página
¿Qué es la NIS2 y en qué se diferencia de la primera NIS?
NIS2 sustituye a la Directiva NIS de 2016. Amplía los sectores afectados, cambia la distinción entre operadores de servicios esenciales y proveedores de servicios digitales por la de entidades esenciales e importantes, endurece las sanciones y hace responsables a los órganos de dirección de aprobar y supervisar las medidas de ciberseguridad. En algunos textos aparece como NIS 2.0.
¿A quién se aplica la normativa NIS2?
Con carácter general, a las medianas y grandes empresas de los sectores que recogen sus anexos, y a algunas entidades con independencia de su tamaño, como los proveedores de servicios DNS o determinados proveedores de comunicaciones electrónicas. Entre los sectores incluidos están:
- Alta criticidad
Energía, transporte, banca e infraestructuras de los mercados financieros.
- Alta criticidad
Sanidad, agua potable y aguas residuales.
- Alta criticidad
Infraestructura digital, incluidos los proveedores de centros de datos y de servicios de computación en nube.
- Alta criticidad
Gestión de servicios TIC entre empresas: proveedores de servicios gestionados y de seguridad gestionada.
- Alta criticidad
Administración pública y espacio.
- Otros sectores críticos
Servicios postales, gestión de residuos, química, alimentación, fabricación, proveedores digitales e investigación.
Eso significa que un MSP mediano o grande puede ser entidad obligada por sí mismo, además de proveedor de otras entidades obligadas.
¿Sería una entidad obligada?
Elige el sector y el tamaño de la organización para ver cómo la clasifica, en principio, la Directiva NIS2.
Clasificación orientativa
Orientativo, según la Directiva (UE) 2022/2555. La clasificación definitiva depende de la transposición española y del análisis de cada caso.
¿Qué medidas exige la NIS2?
El artículo 21 enumera las medidas mínimas de gestión de riesgos:
- a
Políticas de análisis de riesgos y de seguridad de los sistemas de información.
- b
Gestión de incidentes.
- c
Continuidad de las actividades: gestión de copias de seguridad, recuperación en caso de catástrofe y gestión de crisis.Relacionado: Cloud Backup y Walhalla S3 con copias inmutables.
- d
Seguridad de la cadena de suministro, incluidas las relaciones con los proveedores.Como proveedor, Walhalla cuenta con el ENS en categoría alta e ISO/IEC 27001.
- e
Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión de vulnerabilidades.
- f
Políticas para evaluar la eficacia de las medidas.
- g
Ciberhigiene básica y formación en ciberseguridad.
- h
Criptografía y, cuando proceda, cifrado.
- i
Seguridad de los recursos humanos, control de acceso y gestión de activos.
- j
Autenticación multifactor y comunicaciones seguras.
Autoevaluación orientativa para preparar la conversación con el cliente: no sustituye a un análisis de cumplimiento.
¿En qué plazos hay que notificar un incidente?
24 horas
Alerta temprana desde que se tiene conocimiento de un incidente significativo
72 horas
Notificación del incidente, con una evaluación inicial
1 mes
Informe final, desde la notificación
Sanciones previstas
Entidades esenciales
Multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, la cifra que sea mayor.
Entidades importantes
Multas de hasta 7 millones de euros o el 1,4 % del volumen de negocio anual mundial, la cifra que sea mayor.
El régimen definitivo lo fijará la ley española de transposición.
Situación de la NIS2 en España
El plazo de transposición terminó el 17 de octubre de 2024. En enero de 2025 el Gobierno aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que en el momento de revisar esta página sigue en tramitación. Las obligaciones concretas dependerán de esa ley, pero el texto de la directiva ya indica qué medidas habrá que acreditar.
En el blog: NIS2 en España: qué exige a tu infraestructura mientras llega la ley
DORA, el reglamento para el sector financiero
Las entidades financieras tienen además el Reglamento (UE) 2022/2554, conocido como DORA, aplicable desde el 17 de enero de 2025, que regula la resiliencia operativa digital y la gestión del riesgo de los proveedores TIC. Para ellas, DORA prevalece sobre NIS2 en lo que ambas normas se solapan.
¿Cómo ayuda una infraestructura certificada a cumplir NIS2?
Ningún proveedor puede hacer que una entidad cumpla la directiva: el cumplimiento depende de la gestión de riesgos de cada organización. Lo que sí aporta la infraestructura son medidas y evidencias en los puntos en los que NIS2 mira al proveedor:
Cadena de suministro: proveedor con ENS categoría alta e ISO/IEC 27001 certificadas por AENOR, con los certificados disponibles para auditoría.
Continuidad: copias con Cloud Backup, almacenamiento de objetos con Walhalla S3 y centro de procesamiento de datos en Castellón.
Gestión de incidentes: ServiceDesk y SOC 24×7, escalado automático y comunicación por escrito de las incidencias críticas.
Contratos medibles: disponibilidad comprometida por servicio, con penalizaciones e informes mensuales de disponibilidad.
Ubicación de los datos: infraestructura en España, sin transferencias fuera del Espacio Económico Europeo en los servicios alojados en Castellón.
Para partners: NIS2 como conversación con el cliente
La directiva obliga a muchas empresas a revisar a sus proveedores. Para un partner, eso abre una conversación concreta con su cliente: qué infraestructura soporta sus servicios, qué evidencias puede presentar y cómo se recupera ante un incidente. Walhalla aporta la documentación técnica de su parte y el soporte preventa para preparar esa conversación.
Preguntas frecuentes
¿Qué es la Directiva NIS2?
Es la Directiva (UE) 2022/2555, que establece medidas para un elevado nivel común de ciberseguridad en la Unión Europea y sustituye a la Directiva NIS de 2016.
¿Cuándo se aplica NIS2 en España?
Sus obligaciones serán exigibles cuando se publique la ley española de transposición, que en el momento de revisar esta página sigue en tramitación.
¿NIS2 se aplica a las pymes?
Por regla general, no a las pequeñas y microempresas, salvo en casos concretos que recoge la directiva. Aun así, pueden verse afectadas como proveedoras de entidades obligadas.
¿Qué diferencia hay entre NIS2 y DORA?
NIS2 se aplica a 18 sectores; DORA solo al sector financiero y a sus proveedores TIC críticos, y prevalece sobre NIS2 para esas entidades.
¿Hablamos de tu proyecto?
Cuéntanos tu nombre, empresa y teléfono, una breve descripción del proyecto y el servicio que te interesa. Te responderá una persona del equipo comercial.
