Cumplimiento NIS2: obligaciones de seguridad para tu empresa

¿Tienes razón?

NIS2 no aplica a todas las empresas por igual. Tres factores determinan si tu entidad está sujeta a NIS2.

1) Sector y tipo de servicio. NIS2 se dirige a operadores de servicios esenciales y a entidades digitales críticas en sectores concretos (infraestructuras, salud, energía, transporte, servicios digitales, etc.). Si prestas servicios en esos sectores, es posible que te correspondan obligaciones.

2) Tamaño e impacto. La regulación distingue entre entidades en función de su tamaño, criticidad y riesgo sistémico. Entidades con mayor impacto tienen obligaciones más estrictas.

3) Normativa de transposición y autoridad competente. NIS2 se transpone a través de normativa nacional y las autoridades competentes dictan guías de cumplimiento y el catálogo de entidades sujetas. Debes comprobar la normativa y la lista aplicable en España.

Si cumples esos tres requisitos, tienes obligaciones concretas; si no, tu exposición es menor.

Cómo se soluciona

1) Identificación y mapeo de activos.

• Haz un inventario de sistemas, servicios y dependencias críticas. Identifica qué servicios afectan a la continuidad de actividades esenciales.
• Clasifica activos según criticidad y datos manejados, incluyendo proveedores y servicios en la nube.

2) Gestión de riesgos y medidas técnicas.

• Implementa un sistema de gestión del riesgo: identifica amenazas, evalúa impacto y probabilidad, y prioriza mitigaciones.
• Medidas técnicas típicas: controles de acceso, cifrado, segmentación de red, copias de seguridad periódicas, parches y gestión de vulnerabilidades, monitorización y logging, detección y respuesta ante incidentes.

3) Gobernanza y responsabilidades.

• Designa responsables internos de ciberseguridad y, cuando proceda, un delegado o equipo encargado de cumplir NIS2.
• Incorpora la seguridad en la gobernanza corporativa: informes periódicos al órgano de administración, políticas documentadas y formación.

4) Gestión de proveedores y cadenas de suministro.

• Evalúa riesgos de terceros y exige garantías contractuales a proveedores críticos. Realiza auditorías o cuestionarios de seguridad y cláusulas de continuidad y notificación en contratos.

5) Notificación de incidentes.

• Define procedimientos internos para detectar, clasificar y notificar incidentes a la autoridad competente según la normativa aplicable. Conserva registros de detección y respuesta.

6) Pruebas y mejora continua.

• Realiza ejercicios de respuesta a incidentes, pruebas de penetración y revisiones periódicas de políticas. Documenta las lecciones aprendidas e incorpora mejoras.

Qué puedes hacer solo: inventario de activos, políticas básicas, parches y backups, y elaborar un plan de respuesta a incidentes. Cuándo llamar a un abogado o consultor: para interpretar el alcance aplicable, redactar cláusulas contractuales con proveedores, diseñar obligaciones de notificación y responder a requerimientos de la autoridad competente.

Qué puede pasar

1) Se arregla con medidas internas y documentación.

• Si puedes demostrar que has adoptado medidas razonables, documentado políticas y gestionado el incidente correctamente, la autoridad puede limitarse a recomendaciones o medidas correctoras sin sanción severa.

2) Acuerdo con la autoridad y plan de subsanación.

• La autoridad puede imponer medidas rectificadoras o un plan de cumplimiento. Aceptar un plan de subsanación puede ser preferible para evitar sanciones más graves y demostrar cooperación.

3) Sanciones administrativas y consecuencias reputacionales.

• Si hay incumplimientos graves o negligencia, la autoridad puede imponer sanciones administrativas. Además, incidentes mal gestionados dañan la reputación y pueden afectar contratos con clientes y proveedores. En casos de daños a terceros, puede abrirse vía civil por responsabilidad extracontractual.

Y si te sancionan, ¿qué pasa? Una sanción administrativa puede implicar multas y medidas correctoras. En paralelo, terceros perjudicados pueden reclamar daños y perjuicios. Por eso, la prevención y la documentación de medidas son claves para reducir la exposición.

Errores que arruinan el caso

• No mapear proveedores críticos: ignorar la cadena de suministro deja huecos importantes de riesgo.
• Falta de documentación: no tener políticas, registros de auditorías o pruebas de respuesta dificulta defenderse ante la autoridad.
• Retraso en la detección y notificación: no detectar o notificar según los requisitos puede agravar la sanción.
• No integrar la ciberseguridad en la gobernanza: sin responsabilidades claras, las medidas quedan dispersas e ineficaces.
• Depender sin controles de servicios cloud o terceros críticos: no exigir garantías contractuales y derechos de auditoría aumenta el riesgo de interrupciones.