¿Qué es la directiva NIS2?

NIS2: definición y contexto

NIS2 (Network and Information Security Directive 2) es la segunda directiva de la UE sobre seguridad de las redes y de la información y sustituye a la Directiva NIS de 2016. Pretende crear un nivel de seguridad uniformemente alto en la UE y abarca bastantes más empresas que antes. Como directiva, debía ser transpuesta al derecho nacional por los Estados miembros.

En Alemania, la transposición se realiza mediante la Ley de transposición de NIS-2 y de refuerzo de la ciberseguridad (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz), que amplía sobre todo la Ley de la BSI. La autoridad competente es la Oficina Federal de Seguridad de la Información (BSI). Para sus obligaciones concretas es determinante siempre el texto legal vigente.

¿Quién está afectado?

La directiva abarca entidades «esenciales» e «importantes» de determinados sectores, entre ellos energía, transporte, salud, agua, infraestructura digital y servicios de TI, pero también servicios postales, gestión de residuos, química, alimentación, servicios digitales e industria manufacturera, como la construcción de maquinaria o la fabricación de electrónica. Como regla general, entran en consideración empresas de tamaño al menos mediano, es decir, a partir de unos 50 empleados o de más de 10 millones de euros de volumen de negocio anual y balance general.

Lo que cuenta son el sector, la actividad y el tamaño, no la forma jurídica. Las empresas no afectadas directamente también suelen notar las normas de forma indirecta, porque los clientes afectados trasladan requisitos de seguridad a sus proveedores y prestadores de servicios. La BSI y las asociaciones sectoriales ofrecen orientación sobre la propia situación; en caso de duda, compensa una revisión temprana, porque la implantación lleva tiempo.

Obligaciones de un vistazo

Las entidades afectadas deben aplicar medidas técnicas y organizativas adecuadas. La dirección debe aprobarlas, supervisarlas y recibir formación, y responde de los incumplimientos. Los incidentes de seguridad significativos deben notificarse a la BSI por etapas: una alerta temprana en 24 horas, una notificación en 72 horas y un informe final como máximo al cabo de un mes. Además, se prevé un registro ante la BSI.

Las infracciones pueden dar lugar a multas. Para las entidades esenciales, la directiva exige importes máximos de al menos 10 millones de euros o el 2 % del volumen de negocio anual mundial, con límites inferiores para las entidades importantes. Además de las multas, se prevén otras medidas de supervisión, como inspecciones, requerimientos de pruebas y órdenes de la autoridad que pueden lastrar de forma notable la actividad.

• Análisis de riesgos y políticas de seguridad para los sistemas de información
• Gestión de incidentes y continuidad de la actividad, incluidas las copias de seguridad
• Seguridad de la cadena de suministro y de los proveedores de servicios
• Gestión de vulnerabilidades y seguridad en la adquisición y el desarrollo
• Criptografía, control de acceso y autenticación multifactor
• Formación e higiene cibernética básica

Ejemplo práctico: un fabricante de maquinaria con 120 empleados

Un fabricante de maquinaria con 120 empleados y unos 25 millones de euros de facturación comprueba su situación y concluye que, como fabricante de maquinaria, puede pertenecer a los sectores incluidos. Hasta ahora dispone de antivirus, una copia de seguridad y un firewall, pero no de un plan de emergencia, ni de gestión de proveedores, ni de una responsabilidad clara en seguridad de la información.

La empresa designa responsables, realiza un análisis de riesgos, añade inicio de sesión multifactor y copias de seguridad probadas, define las vías de notificación de incidentes e implica a la dirección. Los proveedores de servicios clave quedan obligados por contrato a cumplir requisitos de seguridad, como el centro de datos, los socios de mantenimiento y los proveedores de TI. La documentación de todos los pasos sirve después como prueba ante autoridades y clientes.

Preparación y puesta en práctica

El punto de partida es una comprobación de la afectación, seguida de un análisis de brechas frente a las medidas exigidas. Los errores típicos son esperar, delegar todo solo en TI y la falta de documentación. En el plano técnico, el inicio de sesión multifactor, la gestión de parches, las copias de seguridad y la planificación de contingencias son las primeras palancas; normas como ISO 27001 aportan estructura. Nano Concepts apoya con el refuerzo (hardening), las actualizaciones, las copias de seguridad, la protección de accesos y la monitorización.

La revisión jurídica de la afectación y de las obligaciones corresponde a abogados especializados o a asesores que conozcan el texto legal vigente y su sector. Ellos determinan también de forma vinculante qué obligaciones se aplican realmente a su empresa en su caso concreto. Este artículo no sustituye el asesoramiento jurídico.