¿Preparado para NIS2? Te ayudamos a cumplir la normativa
La Directiva (UE) 2022/2555, conocida como NIS2, amplía el ámbito de la anterior Directiva NIS y refuerza los requisitos de ciberseguridad. El plazo para su transposición venció el 17 de octubre de 2024. Para determinar las obligaciones exigibles a cada organización, es necesario analizar su actividad y la legislación nacional aplicable.
Con NIS2, las empresas se enfrentan a la urgente necesidad de elevar su nivel de seguridad de la información. Las organizaciones deben analizar su exposición a NIS2 y planificar las medidas necesarias. El incumplimiento de las obligaciones exigibles conforme a la legislación nacional aplicable puede conllevar sanciones y responsabilidades para los órganos de dirección. Prepararse con antelación también ayuda a reducir los riesgos operativos y reputacionales asociados a un incidente.
Te ayudamos a implantar NIS2 con seguridad jurídica y de forma eficiente y sostenible. El catálogo de medidas de gestión de riesgos de ciberseguridad del artículo 21 de la Directiva es extenso y su aplicación resulta compleja. NIS2 no es un proyecto que pueda abordarse de manera secundaria. Te apoyamos para cumplir las obligaciones legales de forma eficiente y sin sobrecargar a sus equipos.
¿Quién está afectado?
Hasta ahora, las obligaciones de ciberseguridad se aplicaban principalmente a los operadores de servicios esenciales y a determinados proveedores de servicios digitales (primera Directiva NIS). NIS2 amplía el ámbito a las «entidades esenciales» y las «entidades importantes» y multiplica el número de organizaciones obligadas: en Alemania, por ejemplo, pasan de unas 1.200 a casi 30.000. La ciberseguridad pasa a ser así una obligación legal también para muchas empresas que no gestionan infraestructuras críticas.
La clasificación depende del sector de actividad y del tamaño de la empresa. En los sectores incluidos, se ven afectadas las organizaciones con 50 o más empleados o con una facturación anual y un balance anual superiores a 10 millones de euros. Algunas entidades, como los proveedores de redes y servicios públicos de comunicaciones electrónicas, los prestadores de servicios de confianza o los proveedores de servicios DNS, quedan sujetas a NIS2 con independencia de su tamaño.
Sectores afectados
|
|
¿Qué se debe hacer?Obligación de registro
Implantación de medidas de seguridad de la información
Obligación de notificación
Obligación de aprobación, supervisión y formación para la dirección de la empresa |
Operadores de infraestructuras críticas
Las entidades identificadas como críticas conforme a la Directiva (UE) 2022/2557 (Directiva CER) se consideran «entidades esenciales» a efectos de NIS2, independientemente de su tamaño. Su relevancia para la sociedad se debe a que prestan servicios esenciales a gran escala para la población. Qué servicios se consideran críticos y qué umbrales deben alcanzarse lo determina cada Estado miembro en su legislación nacional.
¿Qué se aplica a los operadores de infraestructuras críticas?
A los operadores de infraestructuras críticas se les aplica el catálogo completo de medidas del artículo 21 de NIS2, la norma central del nuevo marco de ciberseguridad. Además, como entidades esenciales, están sujetos a una supervisión proactiva por parte de la autoridad competente, que puede incluir inspecciones in situ, auditorías de seguridad periódicas y requerimientos de información. La legislación nacional puede imponerles, asimismo, obligaciones adicionales de notificación, registro, acreditación del cumplimiento y subsanación de deficiencias.
La necesidad de actuar ya existe. Nuestro Quick Check
Las entidades esenciales y las entidades importantes deben registrarse ante la autoridad competente en el plazo que fije la legislación nacional (en Alemania, por ejemplo, el plazo venció el 6 de marzo de 2026). Estaremos encantados de realizar un Quick Check previo para determinar si tu organización está obligada a cumplir estos requisitos bajo el nuevo marco normativo. La falta de registro, el registro tardío o la aportación de información incorrecta pueden ser sancionados con multas.
Una vez confirmada la condición de entidad esencial o importante, las obligaciones derivadas de dicha clasificación deberán trasladarse a la dirección de la empresa, preferiblemente de forma temprana.
NIS2 en Europa: ya estamos actuando
En Forvis Mazars ya estamos acompañando a nuestros clientes en la adecuación y evaluación de NIS2 en los países europeos en los que la Directiva ya se ha transpuesto a la legislación nacional.
La transposición pendiente en un país no significa que una organización pueda posponer toda actuación. Sus actividades en otros Estados miembros pueden estar sujetas a las leyes nacionales que incorporan NIS2. Además, los clientes afectados pueden trasladar requisitos de ciberseguridad a sus proveedores mediante los contratos. Analizar estas circunstancias permite identificar qué obligaciones y compromisos debe atender ya la organización y preparar las medidas necesarias con margen.
La transposición pendiente en un país no significa que una organización pueda posponer toda actuación. Sus actividades en otros Estados miembros pueden estar sujetas a las leyes nacionales que incorporan NIS2. Además, los clientes afectados pueden trasladar requisitos de ciberseguridad a sus proveedores mediante los contratos. Analizar estas circunstancias permite identificar qué obligaciones y compromisos debe atender ya la organización y preparar las medidas necesarias con margen.
Nuestros servicios
La implementación de la Directiva NIS2 plantea a las empresas requisitos complejos en materia de ciberseguridad y cumplimiento normativo. Nuestra cartera de servicios ayuda a las organizaciones a analizar su grado de afectación por NIS2, evaluar su nivel actual de preparación y desarrollar una hoja de ruta clara para alcanzar el cumplimiento. Este enfoque combina asesoramiento jurídico y experiencia técnica en ciberseguridad dentro de un marco multidisciplinar.
Desde el análisis inicial de aplicabilidad y las evaluaciones integrales hasta el acompañamiento en la implantación de medidas técnicas y organizativas, ofrecemos asesoramiento y soluciones orientadas a la práctica. Además, mediante programas de formación, iniciativas de concienciación y pruebas de seguridad específicas, ayudamos a garantizar el cumplimiento sostenible de los requisitos legales, la mejora continua y la reducción eficaz de riesgos. De este modo, sentamos las bases para una gestión sólida de la seguridad de la información y reforzamos la resiliencia de su empresa frente a las amenazas cibernéticas.
Cómo te acompañamos
Análisis de afectados
- ¿Cómo se clasifica a la empresa según la Directiva NIS2?
- ¿Qué requisitos deben cumplirse?
Evaluación NIS2
- Cobertura de los requisitos NIS2 (10 áreas del art. 21 de NIS2).
- Evaluación de las medidas existentes en relación con su integridad, adecuación, idoneidad y eficacia, así como con el estado de la técnica.
- Documentación del grado de cumplimiento y madurez, y análisis GAP (de desviaciones) para determinar las necesidades de actuación.
Acompañamiento en la implantación
- Elaboración y coordinación de una «Hoja de ruta de cumplimiento NIS2».
- Elaboración de recomendaciones de actuación y presentación de opciones.
- Asesoramiento en la selección e implantación de medidas individuales técnicas y organizativas.
- Mejora del sistema de gestión de la seguridad de la información (SGSI), incluidos la gestión de la continuidad del negocio (BCM) y el análisis de riesgos.
- Monitorización de la legislación y de la normativa complementaria.
Mejora continua
- Formaciones y talleres explicativos sobre los requisitos legales.
- Formaciones de concienciación (awareness) o formación directiva según el art. 20 de NIS2 o sobre ciberhigiene.
- Campañas de phishing, pruebas de penetración (pen tests) y ejercicios de Red Teaming.
- Soporte continuo Plan-Do-Check-Act (PDCA / ciclo PHVA) para que las empresas se mantengan siempre al día en ciberseguridad, incluso ante requisitos regulatorios en constante cambio y un entorno dinámico de amenazas.
Hablemos para ayudarte a cumplir la normativa