Cumplimiento NIS2: obligaciones de seguridad para tu empresa

¿Tienes razón?

NIS2 y normas similares no son simples recomendaciones: requieren que las organizaciones adopten medidas de seguridad adecuadas al riesgo y que mantengan evidencia de cumplimiento. Si tu empresa presta servicios considerados críticos o digitales, probablemente tienes obligaciones de gestión de riesgo, protección de la cadena de suministro y notificación de incidentes. Lo que determina si debes cumplir son el tipo de servicio que prestas, tu tamaño y la importancia de tus operaciones para infraestructuras y servicios de la sociedad.

Evalúa: (1) si tu actividad figura en los listados regulatorios como servicio esencial o proveedor de servicios digitales; (2) el tamaño y criticidad de tus activos; (3) los contratos con clientes y autoridades que exijan cumplimiento; y (4) la exposición regulatoria internacional si operas con socios que requieren NIS2. Si encajas en esos supuestos, tu empresa debe demostrar políticas, procesos y controles de seguridad razonados y aplicados.

Cómo se soluciona

1. Haz un mapeo de activos y servicios: identifica sistemas, datos y dependencias críticos. Documenta qué servicios afectan a terceros y qué impacto tendría una interrupción.

1. Realiza una evaluación de riesgos: registra amenazas y vulnerabilidades, evalúa probabilidad e impacto, y prioriza controles. La evaluación debe estar documentada y actualizada regularmente.

1. Implementa medidas técnicas y organizativas: gestión de accesos, segmentación de redes, encriptación, backups, parcheo, gestión de vulnerabilidades y políticas de seguridad. Complementa con formación al personal y roles claros de responsabilidad.

1. Gestiona la cadena de suministro: exige controles de seguridad a proveedores críticos, incluye cláusulas contractuales sobre seguridad y auditorías, y mantiene un inventario de terceros con riesgos mapeados.

1. Establece un plan de respuesta a incidentes: define procedimientos, responsables, comunicación interna y externa, y mecanismos de recuperación. Practica con ejercicios de tabletop y simulacros.

1. Registra y conserva evidencia: logs, informes de auditoría, actas de reuniones de gobernanza, resultados de pruebas y listas de control que demuestren la aplicación de controles.

1. Notificación de incidentes: establece procesos para identificar y documentar incidentes de seguridad y poder notificar a autoridades y clientes según exigencias aplicables. Ten preparados los canales y los equipos responsables de la comunicación.

1. Auditoría y mejora continua: realiza auditorías internas y externas para comprobar el estado del cumplimiento y corrige las deficiencias identificadas.

Qué puedes hacer hoy: mapear servicios críticos y revisar contratos con proveedores. Qué hace un abogado: revisar obligaciones regulatorias, adaptar contratos con proveedores y clientes, y asesorar sobre requisitos de notificación y responsabilidades legales.

Qué puede pasar

1) Se arregla con una carta o plan de acciones: ante una inspección menor, a menudo basta presentar un plan de mejora y plazos de implementación. Las autoridades valoran la cooperación y planes creíbles.

2) Acuerdo o medidas administrativas: si se detectan incumplimientos, pueden proponerse medidas correctivas, multas o sanciones administrativas según la ley aplicable. Firmar un acuerdo de cumplimiento puede evitar sanciones mayores.

3) Procedimientos sancionadores o litigios: en casos graves con daño a terceros, puede iniciarse procedimiento sancionador o acciones civiles por daños. En un procedimiento judicial o administrativo, la empresa deberá probar que aplicó medidas adecuadas y que actuó con diligencia; si no lo hizo, puede enfrentar sanciones y responsabilidad por daños.

Y si ganas, ¿cobras? En materia de cumplimiento, «ganar» suele equivaler a cumplir las medidas impuestas; una resolución favorable puede evitar multas o reducirlas. En litigios por daños, la condena a favor facilita la reparación, pero la ejecución depende de la solvencia del responsable.

Errores que arruinan el caso

• No documentar las evaluaciones de riesgo: la falta de registros impide demostrar diligencia.
• Tratar la seguridad sólo como técnica y no integrar la gobernanza y formación: la normativa exige medidas técnicas y organizativas.
• Ignorar la cadena de suministro: muchos incidentes provienen de proveedores sin controles.
• No practicar la respuesta a incidentes: sin ejercicios, la reacción en crisis será desordenada y más dañina.
• No revisar contratos: cláusulas que descargan responsabilidad al cliente o que impiden notificar incidentes ponen en riesgo el cumplimiento.