Network and Information Security Directive (NIS2)

NIS2 cubre a las organizaciones medianas y grandes de 18 sectores repartidos en dos anexos. Las entidades esenciales son, en general, organizaciones de sectores del Anexo I, incluidos energía, transporte, sanidad, banca e infraestructura digital, con al menos 250 empleados o una facturación anual superior a 50 millones de euros combinada con un balance superior a 43 millones de euros. Las entidades importantes son, en general, organizaciones de sectores del Anexo I o del Anexo II, incluidos manufactura, química, producción de alimentos, servicios postales e investigación, con al menos 50 empleados o una facturación anual superior a 10 millones de euros combinada con un balance superior a 10 millones de euros. Ciertas organizaciones se clasifican siempre como entidades esenciales con independencia de su tamaño, incluidos los proveedores cualificados de servicios de confianza, los proveedores de servicios DNS y las entidades identificadas como infraestructura crítica bajo la Critical Entities Resilience Directive (Directiva (UE) 2022/2557). Las empresas no europeas que prestan servicios dentro de la UE también pueden quedar dentro del alcance según sus actividades y la ley nacional de transposición aplicable.

NIS2 fija niveles máximos de multa que los Estados miembros deben aplicar. Las entidades esenciales afrontan multas de hasta 10 millones de euros o el 2 % de la facturación global anual, lo que sea mayor. Las entidades importantes afrontan multas de hasta 7 millones de euros o el 1,4 % de la facturación global anual, lo que sea mayor. Más allá de las multas, las autoridades competentes pueden emitir instrucciones vinculantes, ordenar auditorías de seguridad a costa de la entidad, suspender certificaciones o autorizaciones y prohibir temporalmente a los directivos el ejercicio de funciones de dirección. Los órganos de dirección son personalmente responsables de las infracciones bajo el Artículo 20. La directiva exige que las sanciones sean efectivas, proporcionadas y disuasorias; la intensidad y prioridad del enforcement difieren por Estado miembro.

El Artículo 21 exige a las organizaciones dentro del alcance implementar medidas técnicas, operativas y organizativas apropiadas y proporcionadas, basadas en un enfoque all-hazards que cubra ciberataques, amenazas físicas, error humano y riesgos medioambientales. En la práctica, esto significa un ISMS documentado con evaluaciones de riesgo periódicas; seguridad de red, controles de acceso y gestión de activos; procesos de identificación y remediación de vulnerabilidades; procedimientos de copia de seguridad y recuperación; planificación de continuidad de negocio alineada con la gestión de incidentes de seguridad; formación obligatoria en ciberseguridad para la dirección y la plantilla; y políticas de criptografía y autenticación multifactor. Las medidas deben derivarse de una evaluación de riesgos documentada. El Artículo 23 exige reportar los incidentes significativos en tres fases: alerta temprana dentro de las 24 horas desde que se tiene conocimiento del incidente, notificación dentro de las 72 horas con una evaluación inicial de severidad e impacto, e informe final dentro de un mes con la causa raíz y la remediación.

NIS2 exige explícitamente a las organizaciones incorporar requisitos de ciberseguridad en las relaciones con proveedores cuando estos tengan potencial de afectar a la seguridad de la información. Esto aplica a proveedores con acceso a sistemas, roles de alojamiento o mantenimiento, derechos de acceso remoto o funciones críticas de prestación de servicios. Las organizaciones deben identificar los proveedores relevantes, ejecutar evaluaciones de seguridad estructuradas, incorporar cláusulas de ciberseguridad en los contratos y monitorizar a los proveedores de forma continua. Los ataques a la cadena de suministro se identifican específicamente en el preámbulo de NIS2 como de alto riesgo porque las vulnerabilidades en partners externos pueden propagarse rápidamente por sistemas interconectados. La obligación se extiende tanto a los proveedores contratados directamente como a los subcontratistas clave donde exista exposición de seguridad.

NIS2 es una directiva: las obligaciones principales son consistentes, pero la ley nacional de cada Estado miembro gobierna el portal de registro, la autoridad de supervisión y los procedimientos de auditoría aplicables en ese país. Para los grupos internacionales, cada entidad jurídica requiere una evaluación de alcance separada. El Estado del establecimiento principal de una entidad determina normalmente qué autoridad nacional tiene jurisdicción, aunque las operaciones secundarias en otros Estados miembros pueden conllevar requisitos locales adicionales. Los procedimientos y plazos de registro ya difieren significativamente: el plazo de Alemania fue el 6 de marzo de 2026; los requisitos de Bélgica están activos desde octubre de 2024; y a junio de 2026, algunos Estados miembros aún están completando la transposición. Las organizaciones que operan en toda la UE necesitan un proceso estructurado para seguir qué obligaciones y plazos aplican en cada jurisdicción.

Las herramientas ISMS aisladas gestionan los procesos de seguridad de la información pero están desconectadas de los datos de proveedores, los workflows de diligencia debida y el reporting regulatorio. El osapiens HUB for NIS2 forma parte de la solution suite Supplier Intelligence: los datos de proveedores y entidades construidos para la CSDDD u otra diligencia debida de cadena de suministro se reutilizan directamente para las evaluaciones de riesgo de terceros de NIS2, y el estado de cumplimiento NIS2 sale a la superficie en el Reporting Cockpit junto al resto de obligaciones regulatorias. No se requiere un cuestionario de proveedores separado para las organizaciones que ya recopilan datos de proveedores en el osapiens HUB. Para las empresas que gestionan NIS2 junto a la CSDDD, el mismo perfil de proveedor cubre ambas obligaciones regulatorias sin ejecutar procesos paralelos de recopilación de datos.