NIS2: Obligaciones y Adaptación de Empresas

La Directiva NIS2 (Network and Information Security 2) representa una evolución significativa en el panorama de la ciberseguridad europea, con impactos directos y estrictos en las empresas. Su transposición a través del D.Lgs. 4 de septiembre de 2024, n. 138, ha ampliado el perímetro de aplicación respecto a la anterior NIS1, incluyendo un mayor número de sectores y tipos de organizaciones. Esto significa que muchas más entidades, incluso de tamaño mediano, se encuentran ahora con la necesidad de afrontar nuevas y complejas obligaciones en materia de seguridad informática. Lo que está en juego es alto: no solo la protección de datos y la continuidad operativa, sino también la prevención de sanciones elevadas que pueden alcanzar una parte relevante de la facturación global. Comprender si tu empresa entra en el ámbito de aplicación y cuáles son las acciones prioritarias a emprender es el primer paso para una adaptación efectiva. Cuando seguí la adaptación para una organización con 2.000 endpoints, el primer desafío fue precisamente identificar y mapear todos los servicios críticos que entraban en el perímetro NIS2. Lee también: GDPR Admin. Sistema: Obligación y Rol

Tested on: D.Lgs. 4 de septiembre de 2024, n. 138 · ACN Linee Guida · Octubre 2026

Qué es NIS2 y el D.Lgs. 138/2024

La Directiva NIS2 (UE 2022/2555) es el segundo pilar de la estrategia europea para la ciberseguridad, sucesora de la NIS1 (UE 2016/1148). El objetivo es elevar el nivel de resiliencia cibernética y la capacidad de respuesta a incidentes en toda la Unión, armonizando las normativas nacionales. En España, la transposición de la NIS2, aunque con un decreto específico para Italia (D.Lgs. 138/2024), sigue el mismo espíritu, fortaleciendo las autoridades competentes nacionales. El D.Lgs. 138/2024 introduce un enfoque basado en el riesgo, ampliando significativamente el número de entidades sujetas a la directiva e introduciendo medidas de seguridad más estrictas y mecanismos de notificación de incidentes más rápidos.

Entidades esenciales e importantes: cómo saber si te aplica

La NIS2 clasifica las entidades en dos categorías principales: Entidades Esenciales (EE) y Entidades Importantes (EI). Esta distinción es crucial porque determina el régimen de vigilancia, los controles y las sanciones aplicables. La clasificación depende del sector de pertenencia y del tamaño de la organización. Para saber si tu empresa entra, es necesario realizar un análisis cruzado de los sectores enumerados en el Anexo I (Entidades Esenciales) y en el Anexo II (Entidades Importantes) del D.Lgs. 138/2024 (o su equivalente nacional) y de su tamaño.

Una organización se considera de tamaño mediano si tiene:

• Menos de 250 empleados Y
• Facturación anual no superior a 50 millones de euros O bien, un balance anual total no superior a 43 millones de euros.

Las entidades que superan estos umbrales se consideran de gran tamaño. En general, las entidades de gran tamaño en los sectores del Anexo I son EE, y las de los sectores del Anexo II son EI. Para las de tamaño mediano, la clasificación puede variar según el sector y los criterios específicos definidos por la autoridad competente nacional. Lee también: ACN Cloud QC: Niveles QC1-QC4 Explicados

Sectores y umbrales de tamaño

La directiva NIS2 expande drásticamente los sectores cubiertos respecto a la NIS1. Aquí algunos ejemplos:

Entidades Esenciales (Anexo I D.Lgs. 138/2024):

• Energía (electricidad, gas, calefacción y refrigeración urbana, petróleo, hidrógeno)
• Transportes (aéreo, ferroviario, marítimo, por carretera)
• Bancario e infraestructuras de los mercados financieros
• Sanidad (proveedores de asistencia sanitaria, laboratorios de referencia, investigación y desarrollo farmacéutico)
• Agua potable y aguas residuales
• Infraestructuras digitales (IXP, DNS, TLD, servicios cloud, data centers, CDN)
• Administración pública (central y regional)
• Espacio

Entidades Importantes (Anexo II D.Lgs. 138/2024):

• Servicios postales y de mensajería
• Gestión de residuos
• Fabricación (dispositivos médicos, vehículos de motor, equipos electrónicos, maquinaria, productos químicos, productos alimentarios)
• Proveedores digitales (motores de búsqueda, plataformas de redes sociales, servicios de red de distribución de contenidos)
• Investigación

El tamaño de la organización es un criterio fundamental. Las pequeñas empresas (menos de 50 empleados y facturación/balance < 10 millones de euros) están generalmente excluidas, salvo excepciones específicas (ej. proveedores únicos de servicios críticos o entidades de alto riesgo). Es indispensable consultar el texto del D.Lgs. 138/2024 (o su equivalente nacional) y las guías de la autoridad competente para una evaluación precisa de tu estado. La autoridad nacional tiene además el poder de identificar otras entidades como críticas, independientemente de su tamaño o sector.

Las obligaciones principales: medidas de seguridad, notificación de incidentes, responsabilidad de los órganos de gestión

Las obligaciones impuestas por la NIS2 son amplias y requieren un enfoque holístico de la ciberseguridad. Entre las principales:

1. Medidas de seguridad: Las entidades deben adoptar medidas técnicas, operativas y organizativas adecuadas para gestionar los riesgos para la seguridad de los sistemas informáticos y de red. Estas incluyen:

• Análisis de riesgos y políticas de seguridad de la información.
• Gestión de incidentes (prevención, detección, respuesta).
• Continuidad del negocio y gestión de crisis (backup, disaster recovery).
• Seguridad de la cadena de suministro (evaluación de los riesgos de los proveedores y servicios externos).
• Seguridad en la adquisición, desarrollo y mantenimiento de los sistemas informáticos.
• Políticas y procedimientos para probar y evaluar la eficacia de las medidas de seguridad.
• Uso de cifrado y autenticación multifactor (MFA).
• Formación en ciberseguridad y concienciación higiénica del personal.

Un ejemplo de medida técnica fundamental es la implementación de un SIEM para la correlación de eventos de seguridad, como hice en un entorno empresarial para detectar anomalías. Lee también: Docker Espacio Disco: Prune, Logs y Imágenes

    # Ejemplo de un comando para verificar el estado de un servicio SIEM como Wazuh
    sudo systemctl status wazuh-manager

    # Ejemplo de un comando para visualizar los logs de un SIEM para troubleshooting
    journalctl -u wazuh-manager.service -f

1. Notificación de incidentes: Los incidentes significativos deben ser notificados a la autoridad competente nacional en plazos muy estrictos:

• Alerta Temprana (24 horas): dentro de las 24 horas siguientes al conocimiento del incidente, debe enviarse una notificación preliminar que indique la naturaleza del incidente y el impacto estimado.
• Notificación de Incidente (72 horas): dentro de las 72 horas, una notificación más detallada que incluya una evaluación inicial del incidente, su gravedad y su impacto, y los indicadores de compromiso.
• Informe Final (un mes): dentro de un mes, un informe final que detalle las causas, las medidas adoptadas y el impacto a largo plazo.

Estos plazos requieren planes de respuesta a incidentes bien definidos y probados, con roles y responsabilidades claras.

1. Responsabilidad de los órganos de gestión: La NIS2 introduce un principio de responsabilidad directa para los órganos de gestión (ej. consejo de administración, directores generales). Estos deben aprobar las medidas de ciberseguridad, supervisar su implementación y son susceptibles de sanciones en caso de incumplimiento. Esto eleva la ciberseguridad de una cuestión técnica a una prioridad estratégica empresarial.

Las fechas límite ya pasadas y las próximas

El D.Lgs. 138/2024 (o su equivalente nacional) está en vigor desde el 3 de octubre de 2024. Esto significa que las empresas que entran en el perímetro NIS2 ya están sujetas a sus obligaciones. Sin embargo, algunas fechas límite específicas para la adaptación están escalonadas:

• 3 de abril de 2025: Fecha límite para que las entidades notifiquen a la autoridad competente nacional su clasificación como Entidad Esencial o Importante y los servicios que prestan. Esta es una fecha límite crucial que requiere una acción inmediata de autoevaluación.
• 3 de octubre de 2025: Fecha límite para que todas las entidades hayan implementado las medidas de seguridad técnicas y organizativas requeridas por la directiva.

Es fundamental actuar con urgencia para evitar sanciones. La autoridad competente nacional ya ha comenzado a publicar guías y aclaraciones en su sitio web, que son un recurso indispensable para la adaptación.

Por dónde empezar si la empresa aún no ha hecho nada

Si tu empresa aún no ha iniciado el camino de adaptación a la NIS2, aquí tienes una hoja de ruta operativa:

1. Evaluación preliminar: Determina si tu organización se clasifica como Entidad Esencial o Importante, basándose en los sectores y los umbrales de tamaño del D.Lgs. 138/2024 (o su equivalente nacional). No subestimes este paso: un error aquí puede exponer a riesgos innecesarios.

1. Análisis de brechas (Gap Analysis) y Evaluación de Riesgos (Risk Assessment): Realiza un análisis exhaustivo de las medidas de seguridad actuales en comparación con los requisitos de la NIS2. Identifica las brechas (gaps) y evalúa los riesgos residuales. Esto incluye el análisis de la cadena de suministro y de los proveedores de servicios críticos.

1. Definición del Plan de Adaptación: Basándote en el análisis de brechas, elabora un plan de acción detallado que incluya la implementación de las medidas requeridas, la revisión de las políticas, la formación del personal y la definición de los procedimientos de gestión y notificación de incidentes. Asigna responsabilidades claras y plazos internos.

1. Implementación de las Medidas: Procede con la implementación de las medidas técnicas (ej. MFA, SIEM, hardening de los sistemas Lee también: SSH Linux sin Password: Configura Claves en 5 Minutos), organizativas (ej. políticas de seguridad, gestión de accesos) y procedimentales (ej. plan de Continuidad del Negocio y Recuperación ante Desastres).

1. Formación y Concienciación: Invierte en la formación continua del personal a todos los niveles, incluidos los órganos de gestión, para aumentar la concienciación sobre los riesgos cibernéticos y las obligaciones de la NIS2.

1. Pruebas y Monitoreo: Prueba regularmente la eficacia de las medidas implementadas (ej. penetration tests, simulaciones de ataque) y monitorea constantemente el entorno para detectar y responder a los incidentes. La conformidad con NIS2 es un proceso dinámico, no un evento único.

Errores comunes y resolución de problemas

Uno de los errores más comunes es subestimar la complejidad y la amplitud de la NIS2, pensando que es solo una cuestión de IT. La directiva involucra a toda la gobernanza empresarial. Otro error es concentrarse solo en las medidas técnicas, ignorando los aspectos organizativos y procedimentales, como la gestión de la cadena de suministro o la formación del personal. He visto empresas que, aun teniendo firewalls y EDR de última generación, no tenían un plan de respuesta a incidentes probado o un procedimiento claro de notificación, lo que las hacía vulnerables a las sanciones NIS2. Es fundamental involucrar a todos los departamentos y considerar la ciberseguridad como una inversión estratégica, no un costo.

FAQ — Preguntas Frecuentes

¿Mi PYME es demasiado pequeña para la NIS2?

No necesariamente. Aunque la NIS2 excluye a las micro y pequeñas empresas en general, hay excepciones. Si tu PYME opera en un sector crítico (ej. sanidad, energía) o si es un proveedor único de servicios esenciales, podrías entrar. Es fundamental hacer una evaluación precisa basada en el D.Lgs. 138/2024 (o su equivalente nacional) y en las guías de la autoridad competente.

¿Cuál es la diferencia entre Entidad Esencial y Entidad Importante?

La distinción se refiere al nivel de criticidad del servicio prestado y al tamaño de la empresa. Las Entidades Esenciales (EE) son aquellas que operan en sectores de altísima criticidad (ej. energía, transportes, sanidad) y son generalmente de gran tamaño. Las Entidades Importantes (EI) operan en sectores igualmente relevantes (ej. manufactura, servicios digitales) y a menudo son de tamaño mediano. Las sanciones para las EE son más elevadas y el régimen de vigilancia más estricto.

¿Qué sucede si no me adapto a la NIS2?

Las sanciones son significativas. Para las Entidades Esenciales, las multas pueden llegar hasta 10 millones de euros o una parte relevante de la facturación global anual (el mayor de los dos). Para las Entidades Importantes, hasta 7 millones de euros o una parte relevante de la facturación global anual. Además, los órganos de gestión pueden ser considerados personalmente responsables. Aparte de las sanciones pecuniarias, existen los riesgos reputacionales y de interrupción del servicio.

¿La NIS2 reemplaza al GDPR?

No, la NIS2 no reemplaza al GDPR (Reglamento General de Protección de Datos), sino que lo complementa. El GDPR se centra en la protección de los datos personales, mientras que la NIS2 se centra en la seguridad de los sistemas de red e información que soportan los servicios esenciales e importantes. Ambas normativas son complementarias y tienen como objetivo garantizar un alto nivel de seguridad y protección en el mundo digital.

Conclusiones con puntos clave operativos

La NIS2, transpuesta por el D.Lgs. 138/2024 (o su equivalente nacional), es una normativa compleja pero ineludible para muchas empresas. Ya no es suficiente tener un buen firewall; es necesario un enfoque sistémico de la ciberseguridad que involucre la gobernanza, los procesos y las personas. Los puntos clave operativos son claros: identifica tu estado (Entidad Esencial o Importante), realiza un análisis de brechas, implementa medidas de seguridad robustas (técnicas y organizativas), prepara y prueba los planes de respuesta a incidentes e involucra activamente a los órganos de gestión. El tiempo apremia, con fechas límite importantes ya pasadas o próximas. Una adaptación proactiva no es solo una cuestión de conformidad, sino una inversión en la resiliencia y la continuidad operativa de tu empresa.

Fuentes

• Decreto Legislativo 4 de septiembre de 2024, n. 138 – Normattiva
• NIS2 – Agenzia per la Cybersicurezza Nazionale (ACN)

Actualizado: Octubre 2026