NIS2 para una empresa mediana: lo que la directiva exige realmente

Cuando la directiva europea NIS2 empezó a aplicarse en 2024, la mayoría de las empresas medianas la vio como algo que afectaba a los bancos y a los operadores de telecomunicaciones. En 2026 esa suposición se ha venido abajo. Las transposiciones nacionales están entrando en vigor en toda la UE, en varios países sin periodo transitorio alguno. Y basta con prestar servicios críticos en la cadena de suministro de un cliente que a su vez esté sujeto a NIS2 - y de repente usted también lo está.

Este artículo no sustituye a la conversación con un abogado. Lo que he reunido en él, eso sí, es lo que yo mismo eché en falta cuando un cliente me preguntó por primera vez cómo cumple GoIDEA con NIS2. En lenguaje llano, lejos de la jerga de los consultores. Qué se desprende realmente de la directiva y por dónde puede empezar.

Qué es realmente NIS2

NIS2 es la directiva europea de ciberseguridad (formalmente, la 2022/2555) que sustituyó a la anterior directiva NIS de 2016. Eleva y armoniza los requisitos de seguridad en toda la Unión para las empresas de sectores críticos e importantes. Cada Estado miembro la transpone a su propio derecho nacional y designa su propia autoridad de supervisión - los detalles de la transposición varían de un país a otro.

En la práctica, la directiva impone obligaciones en tres niveles: la gestión de riesgos, la notificación de incidentes dentro de plazos fijados y la responsabilidad personal de la dirección de la empresa por ambas cosas. Es un proceso continuo, que se mantiene mientras la empresa siga en funcionamiento.

A quién se aplica NIS2

En resumen: a las empresas de sectores críticos o importantes con 50 o más empleados o una facturación anual de 10 millones de euros o más. Entre los sectores críticos están la energía, el transporte, la banca y la infraestructura digital. Los sectores importantes incluyen, entre otros, la industria manufacturera, los proveedores de servicios digitales, los servicios postales y la gestión de residuos.

La segunda vía de entrada es menos evidente. Si usted mismo queda fuera de NIS2 pero suministra software, infraestructura o servicios críticos a una empresa sujeta a ella - su cliente está obligado a verificar cómo gestiona usted la ciberseguridad. En la práctica: en los contratos aparecen cláusulas que le exigen a usted lo mismo que al gran cliente.

Para los proveedores medianos, este es hoy el mecanismo más rápido para verse arrastrados a NIS2. El gran cliente no le pregunta si le gustaría adaptarse. El gran cliente tiene un departamento de cumplimiento normativo que ha recibido un plan y lo está ejecutando.

Qué exige realmente la directiva

NIS2 define los resultados exigidos y deja en sus manos la elección de la tecnología. Desde la perspectiva de una empresa mediana, se trata de diez ámbitos que hay que describir y mantener.

Políticas de análisis de riesgos y de seguridad de los sistemas. Procedimientos de gestión y notificación de incidentes - una alerta temprana en 24 horas, una evaluación en 72 horas, un informe final en 30 días. Continuidad del negocio (copias de seguridad, gestión de crisis). Seguridad de la cadena de suministro - incluidos sus proveedores de software. Seguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas informáticos. Procedimientos para evaluar la eficacia de las medidas de gestión de riesgos. Formación del personal en ciberhigiene. Criptografía donde tenga sentido. Control de acceso y gestión de identidades. Autenticación multifactor y comunicaciones seguras.

Diez ámbitos. Cada uno debe estar documentado. Cada uno necesita una persona responsable. Cada uno debe poder auditarse.

Qué significa esto en la práctica para una empresa mediana

Para la mayoría de las empresas de 20-250 personas, implantar NIS2 es ante todo un trabajo de documentación - en lo técnico, normalmente ya tienen lo necesario. La mayoría de las empresas medianas hace la mayor parte de lo que exige la directiva - solo que no lo pone por escrito, no lo prueba ni lo notifica en ningún sitio.

La parte más cara de una implantación de NIS2 suele ser un mes de trabajo para describir lo que ya ocurre en la empresa, y la primera auditoría, que muestra lo que realmente falta. Aquí el hardware es a menudo el coste más pequeño.

El segundo bloque de costes son sus proveedores. Todos los contratos con quienes le suministran sistemas, alojamiento y software necesitarán anexos. La mayoría de los servicios en la nube estándar ya tienen esos anexos en su catálogo. Un proveedor local que le construyó una aplicación hace diez años, probablemente no. Precisamente aquí es donde muchos clientes están revisando hoy su cartera de proveedores.

Cómo construyo pensando en NIS2

Tres decisiones de arquitectura que tomo desde el inicio de cada proyecto, porque de todos modos conducen al cumplimiento de la directiva.

Primero - todo lo que construyo funciona en la infraestructura del propio cliente. Sus datos permanecen siempre en los servidores que usted mismo controla. Eso resuelve el problema de la cadena de suministro de NIS2 en el plano técnico, antes incluso de que se plantee.

Segundo - el servidor guarda automáticamente registros de auditoría: quién, cuándo, qué. A ello añado cualquier registro de actividad que usted necesite o que exija la normativa. Lo mismo vale para el control de acceso, que actúa tanto en pantalla como a nivel de cada registro de datos.

Tercero - la documentación se genera automáticamente, a la vez que se construye el sistema. El cliente recibe un paquete listo - que, en esencia, puede generar él mismo desde el sistema en cualquier momento. Esa misma documentación puede reutilizarse al preparar otros documentos exigidos.

He reunido los detalles técnicos en una página aparte sobre NIS2. Si se está preparando para NIS2 o su cliente empieza a preguntar - hablemos. Veremos con precisión dónde se encuentra hoy y por dónde puede empezar.