NIS2: qué es y a quién obliga

La ciberseguridad ha dejado de ser un asunto exclusivamente técnico para convertirse en una obligación legal con responsabilidad directa de los órganos de dirección. La directiva NIS2 es una de las normas que impulsa ese cambio en toda la Unión Europea, y conviene que la dirección la conozca, porque la responsabilidad de cumplirla recae, literalmente, sobre ella.

En este artículo explicamos qué es NIS2, a quién obliga, qué exige, qué relación tiene con la gestión de datos y cómo prepararse sin que el cumplimiento se convierta en un proyecto inabarcable.

Qué es NIS2

NIS2 (Directiva UE 2022/2555) es la actualización de la directiva europea sobre seguridad de las redes y los sistemas de información. Su objetivo es elevar y armonizar el nivel de ciberseguridad de las entidades que prestan servicios esenciales e importantes en la UE, corrigiendo la dispersión y las lagunas de la directiva NIS original.

A quién obliga

NIS2 amplía considerablemente el alcance respecto a su predecesora. Cubre sectores como energía, transporte, banca, sanidad, infraestructura digital, administración pública, gestión de residuos, alimentación o fabricación de productos críticos, distinguiendo entre entidades “esenciales” e “importantes” según su tamaño y criticidad. Muchas empresas que antes quedaban fuera del ámbito de la NIS original ahora entran en el de NIS2, por lo que el primer paso es evaluar formalmente si tu organización está dentro.

Qué exige

• Gestión de riesgos: medidas técnicas y organizativas proporcionales al riesgo.
• Notificación de incidentes: comunicar las incidencias significativas en plazos definidos.
• Responsabilidad de la dirección: los órganos de gobierno responden del cumplimiento.
• Seguridad de la cadena de suministro: también la de proveedores y socios.

El punto de la responsabilidad de la dirección es el más novedoso y el que más debería llamar la atención del comité: NIS2 sitúa la rendición de cuentas en los órganos de gobierno, que deben aprobar y supervisar las medidas. No es algo que se pueda delegar y olvidar.

Qué relación tiene con los datos

Aunque NIS2 es una norma de ciberseguridad y no de protección de datos, su impacto en la gestión del dato es directo. Exige proteger los sistemas que almacenan y procesan información, controlar accesos, cifrar datos sensibles y poder trazar y notificar incidentes. Visto así, una buena arquitectura de datos cubre buena parte de lo que NIS2 pide:

Una arquitectura de datos con cifrado de extremo a extremo, control de accesos por rol y trazabilidad facilita enormemente el cumplimiento, porque convierte requisitos abstractos de la norma en capacidades que ya están operativas.

NIS2 sitúa la responsabilidad de la ciberseguridad en la dirección: no es algo que se pueda delegar y olvidar.

NIS2 y RGPD: complementarios

Es habitual confundir NIS2 con el RGPD, pero son complementarios. El RGPD protege los datos personales; NIS2 exige seguridad de las redes y los sistemas. Una buena gestión de datos con seguridad por diseño ayuda a cumplir ambos a la vez, porque las medidas que protegen los sistemas (cifrado, accesos, trazabilidad) son en gran medida las mismas que protegen los datos personales.

Cómo prepararse

La preparación pasa por cuatro pasos: evaluar si la empresa está dentro del alcance, identificar los activos y datos críticos, implantar medidas de gestión de riesgos y establecer procesos de notificación de incidentes. Apoyarse en infraestructura y servicios que ya incorporen seguridad por diseño —cifrado, accesos, auditoría, procesamiento europeo— reduce notablemente el esfuerzo de adaptación, porque buena parte del trabajo ya viene resuelto de serie.

En resumen

NIS2 eleva el listón de la ciberseguridad en la UE, amplía las empresas obligadas y, sobre todo, sitúa la responsabilidad en la dirección. Aunque es una norma de seguridad y no de datos, su cumplimiento se apoya en gran medida en una buena gestión del dato: cifrado, control de accesos y trazabilidad. Prepararse no tiene por qué ser un proyecto inabarcable si se parte de infraestructura y servicios con seguridad por diseño. La clave para el comité: NIS2 no es un problema solo del CISO, es una responsabilidad de dirección.