Resiliencia digital bajo el estándar europeo NIS2.

El anexo I de la Directiva incluye sectores vitales como energía (electricidad, gas, petróleo, hidrógeno), transporte (aéreo, ferroviario, marítimo, carretera), banca e infraestructuras de los mercados financieros, sanidad, agua potable y aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública y espacio.

NIS2 exige una alerta temprana en un plazo de 24 horas desde que se tiene conocimiento del incidente significativo, una notificación completa en 72 horas y un informe final en el plazo de un mes. La autoridad puede pedir además informes intermedios.

Sí. Los órganos de dirección deben aprobar y supervisar las medidas de gestión de riesgos y pueden ser considerados responsables de su incumplimiento. En entidades esenciales la autoridad puede llegar a prohibir temporalmente el ejercicio de funciones directivas.

La directiva obliga a asegurar la seguridad de la cadena de suministro. Debes evaluar de forma proactiva la ciberhigiene de tus proveedores externos y trasladar requisitos contractuales, especialmente a los proveedores de servicios TIC.

Es una excelente base, pero NIS2 añade exigencias específicas sobre notificación a las autoridades, responsabilidad directiva, cadena de suministro y protocolos de gestión de incidentes que la norma ISO no incluye por defecto.

Las entidades esenciales (grandes empresas de los sectores del anexo I y algunos casos especiales) están sujetas a supervisión previa y posterior y a multas de hasta 10 millones de euros o el 2 % de la facturación mundial. Las importantes solo se supervisan a posteriori y sus multas máximas son de 7 millones o el 1,4 %. Las obligaciones de seguridad son las mismas.

Con el diagnóstico gratuito de esta web obtienes en tres minutos una clasificación orientativa y tu nivel de cumplimiento estimado. Después, un análisis de brechas (GAP) confirma el alcance exacto y prioriza el plan de acción.

Con carácter general no, salvo que preste servicios de confianza, DNS, comunicaciones electrónicas o sea proveedor único o crítico. Sin embargo, le afecta de forma indirecta: sus clientes obligados deben gestionar el riesgo de su cadena de suministro y le trasladarán requisitos y evidencias por contrato.

La Directiva no es directamente exigible a las empresas hasta que se transpone, pero ya marca el estándar de clientes, aseguradoras y licitaciones, y la ley incorporará sus obligaciones sin periodos largos de adaptación. Prepararse ahora con un análisis de brechas y un plan director evita hacerlo contra reloj.

DORA es lex specialis: en todo lo que regula (gestión del riesgo TIC, notificación, pruebas, terceros TIC) prevalece sobre NIS2. Las obligaciones de NIS2 solo se aplican en lo que DORA no cubre.

Sí. La Directiva exige que los Estados mantengan una lista de entidades esenciales e importantes y que estas comuniquen sus datos (denominación, contacto, sector, Estados en los que operan). La ley española concretará el procedimiento; los proveedores digitales se inscriben además en el registro de ENISA.

Un análisis de brechas se completa en tres o cuatro semanas. El plan director suele abarcar entre dos y cuatro trimestres según el punto de partida: gobierno y medidas de impacto primero, después cadena de suministro, continuidad, simulacros y evidencias.