¿Qué es NIS2? La directiva de ciberseguridad explicada en claro

Qué te obliga a hacer, en tres bloques

• • Gestionar el riesgo: implantar las 10 medidas mínimas del artículo 21 (políticas de riesgos, gestión de incidentes, continuidad, cadena de suministro, cifrado, MFA, formación, etc.).
• • Notificar: comunicar los incidentes significativos de forma escalonada (alerta temprana en 24h, notificación en 72h e informe final en un mes, según el artículo 23).
• • Gobernar: el órgano de dirección aprueba las medidas, supervisa su aplicación y se forma (artículo 20). Y registrarse ante la autoridad como entidad afectada.

Qué cambia respecto a la primera directiva NIS

• • Muchos más sectores: NIS2 amplía el ámbito a sectores que antes quedaban fuera, como servicios TIC gestionados, fabricación, alimentación, residuos o gestión de aguas residuales.
• • Ya no te designa el Estado: antes cada país señalaba operadores uno a uno; ahora entras automáticamente si cumples sector y tamaño, y te toca a ti darte cuenta.
• • Medidas explícitas: la directiva lista diez áreas mínimas en vez de pedir genéricamente medidas adecuadas.
• • Sanciones con tope europeo: hasta 10 M€ o el 2% de la facturación mundial para las esenciales y 7 M€ o el 1,4% para las importantes.
• • La dirección responde: la ciberseguridad deja de ser un asunto del departamento de informática y pasa a la mesa de administradores y directivos.
• • La cadena de suministro entra en la ecuación: quien está obligado tiene que exigir seguridad a sus proveedores, obligados o no.

A quién obliga

La regla general combina dos cosas: operar en un sector de los anexos I o II y superar el umbral de mediana empresa (50 empleados o 10 M€ de facturación o balance). Las grandes empresas de los sectores de alta criticidad del Anexo I son entidades esenciales; el resto de las obligadas, entidades importantes.

Hay excepciones que entran sin umbral de tamaño (DNS, registro de dominios, servicios de confianza, comunicaciones electrónicas y administración pública) y una vía indirecta que alcanza a muchas pymes: ser proveedor de una entidad obligada. En /sectores tienes el detalle sector a sector con ejemplos de empresas.

Qué pasa si no cumples

Además de la multa, la autoridad puede suspender certificaciones y, en los casos más graves, prohibir temporalmente el ejercicio de funciones directivas. La presión real, sin embargo, suele llegar antes por vía comercial: los clientes obligados empiezan a exigir por contrato lo que la ley les exige a ellos.