NIS2: qué es y cómo afecta a tu empresa o pyme
La Directiva NIS2 (Network and Information Security 2) es la legislación europea que establece los requisitos de ciberseguridad para los sectores críticos de la Unión Europea. Aprobada en 2022 y con plazo de transposición a los ordenamientos nacionales en octubre de 2024, representa el salto más ambicioso que ha dado Europa en materia de regulación de ciberseguridad.
La NIS2 amplía significativamente el ámbito de aplicación de su predecesora, la Directiva NIS1 de 2016. Si antes solo afectaba a los operadores de servicios esenciales más grandes, ahora se extiende a más de cien mil entidades en toda la UE, incluyendo sectores como energía, transporte, banca, infraestructuras financieras, sanidad, agua, infraestructuras digitales, administración pública y espacio.
¿Afecta a las pymes?
La NIS2 distingue entre entidades esenciales —sectores de alta criticidad con más de 250 empleados o 50M€ de facturación— y entidades importantes —sectores relevantes con más de 50 empleados o 10M€ de facturación—. Las pymes quedan excluidas en la mayoría de casos, salvo que sean el único proveedor de un servicio crítico en un Estado miembro o que operen en sectores específicamente regulados.
Sin embargo, las pymes que actúan como proveedoras de entidades esenciales o importantes se verán arrastradas indirectamente: sus clientes regulados les exigirán garantías de seguridad contractuales equivalentes a las que la NIS2 les impone a ellos. La cadena de suministro digital queda así bajo el radio de acción de la directiva.
Principales obligaciones
Las entidades bajo el ámbito de la NIS2 deben implementar medidas proporcionales al riesgo en diez áreas: gestión de riesgos, seguridad de la cadena de suministro, seguridad en el desarrollo de sistemas, gestión de incidentes, continuidad del negocio, criptografía, políticas de control de acceso, autenticación multifactor, seguridad de los recursos humanos y monitorización continua.
En materia de notificación de incidentes, la NIS2 establece plazos estrictos: alerta temprana al autoridad en 24 horas, notificación completa en 72 horas e informe final en 30 días. Cumplir estos plazos solo es posible si la organización tiene monitorización activa que detecta y clasifica el incidente en las primeras horas.
La NIS2 exige notificación de incidentes en 24 horas. Ese plazo solo es alcanzable con monitorización activa que detecta y clasifica el incidente en las primeras horas. Blindara mantiene esa vigilancia continua.
