Cumplimiento NIS2: obligaciones de seguridad para tu empresa

¿Tienes razón?

NIS2 es una directiva europea que establece obligaciones de ciberseguridad para operadores de servicios esenciales y proveedores de servicios digitales en el mercado europeo. En México no es una ley mexicana, pero aplica cuando tu empresa presta servicios dentro de la UE o depende de proveedores regulados por esa normativa. Lo que determina si te afecta es el modelo de negocio y la relación contractual con usuarios o infraestructuras europeas: si prestas servicios transfronterizos o te encuentras en la cadena de suministro de un operador europeo, NIS2 puede exigirte medidas, notificación de incidentes y documentación de gestión de riesgos.

Evalúa si tu actividad encaja en los supuestos de la directiva y si tienes clientes o infraestructuras sujetas a NIS2. También considera que, aunque no te alcance directamente, tus clientes europeos pueden exigir cumplimiento contractual como condición para trabajar contigo.

Cómo se soluciona

1. Haz un mapeo de alcance. Identifica qué servicios, infraestructuras y proveedores conectan con la UE. Revisa contratos con clientes y proveedores para detectar cláusulas de cumplimiento que te obliguen a cumplir estándares europeos.
2. Evalúa riesgos y activos. Lista activos críticos, servicios que soportan la operación y dependencias externas (nube, proveedores de pago, plataformas de autenticación). Identifica vulnerabilidades conocidas y el impacto de su explotación.
3. Implementa medidas técnicas básicas. Configura controles de acceso, segmentación de redes, copias de seguridad seguras, gestión de vulnerabilidades, registro y monitoreo de eventos. Documenta configuraciones y políticas.
4. Organiza medidas organizativas. Define roles y responsabilidades, realiza formación básica de personal, establece procedimientos de respuesta a incidentes y un plan de continuidad del negocio.
5. Contratos y cláusulas. Actualiza contratos con proveedores y clientes para reflejar obligaciones de seguridad, niveles de servicio y mecanismos de notificación de incidentes. Asegura que tienes potestad para auditar proveedores críticos.
6. Procedimiento de notificación. Diseña un procedimiento interno para identificar, evaluar y notificar incidentes relevantes a clientes o autoridades, según lo exijan tus contratos o la normativa aplicable.
7. Revisión y pruebas. Realiza pruebas periódicas (simulaciones, auditorías internas) y documenta resultados y medidas correctoras.

Separación de tareas: el equipo técnico debe llevar a cabo las medidas técnicas y las pruebas; el equipo legal o de cumplimiento debe revisar contratos, evaluar obligaciones extraterritoriales y preparar documentación. Un abogado ayuda a redactar cláusulas, interpretar obligaciones y gestionar notificaciones con clientes y autoridades.

Qué puede pasar

1. Solución interna y contractual. Muchas empresas resuelven el asunto actualizando contratos y ajustando medidas de seguridad. Si eres proveedor y un cliente europeo exige NIS2, negociar un anexo técnico y de responsabilidades suele cerrar la cuestión.
2. Reclamación comercial o sanción contractual. Si incumples cláusulas contractuales con clientes europeos, puedes enfrentar multas contractuales, suspensión de servicios o cuentas retenidas. En muchos casos, llegar a un acuerdo sobre medidas y plazos de remediación es la salida práctica.
3. Inspección o sanción administrativa en la UE. Si estás sujeto a la directiva por operar en la UE y no cumples, podrías enfrentarte a procedimientos de supervisión o sanciones por parte de autoridades europeas. Además, la reputación y las relaciones comerciales pueden verse dañadas.

Y si ganas un litigio contractual por incumplimiento, recuerda que obtener una sentencia favorable no siempre garantiza reparación si la otra parte es insolvencia o no facilita remedios técnicos. Por eso, negociar garantías técnicas y financieras es clave.

Errores que arruinan el caso

• No mapear el alcance: asumir que por ser empresa mexicana NIS2 no aplica cuando tienes clientes o servicios en la UE.
• Depender de proveedores sin cláusulas de seguridad: perderás control sobre componentes críticos.
• No documentar procedimientos de respuesta: la ausencia de registros complica demostrar diligencia.
• Implementar medidas técnicas sin política ni responsables claros: la seguridad técnica sin gobernanza falla en auditorías.
• Aceptar contratos con obligaciones europeas sin revisar repercusiones legales y operativas.