Directiva (UE) 2022/2555
NIS2: averigua si te afecta y prepárate sin prisas ni sustos
La directiva europea de ciberseguridad pide a miles de empresas medidas de seguridad, aviso rápido de incidentes y compromiso de la dirección. Te decimos si te toca y qué hacer primero.
- Sabrás si eres entidad esencial, importante o ninguna
- Plan de adecuación priorizado y realista
- Equipo con certificación ISO 27001 y ENS
- Equipo desde 1992
- Lleida y Madrid
- Certificados ISO 27001 y ENS
Compruébalo en 2 minutos
¿Te afecta NIS2?
Si trabajas en alguno de estos ámbitos o eres proveedor de quien lo hace, conviene mirarlo ya.
- ¿Tu actividad está en un sector como energía, transporte, salud, agua, finanzas o infraestructuras digitales?
- ¿Eres mediana o gran empresa, o prestas un servicio crítico aunque seas más pequeña?
- ¿Das servicios TI, nube o ciberseguridad a otras empresas o administraciones?
- ¿Un cliente grande te está pidiendo garantías de ciberseguridad?
Qué es NIS2 y en qué punto está en España
La Directiva (UE) 2022/2555 sustituye a la primera directiva NIS y amplía los sectores y las exigencias.
Una directiva europea necesita una ley nacional que la desarrolle. En España está pendiente de transposición completa, así que el texto definitivo puede cambiar detalles. Aun así, el contenido de fondo ya se conoce, y lo razonable es empezar antes de que sea exigible: adaptar la seguridad lleva meses.
Entidades esenciales e importantes: sectores afectados
NIS2 distingue dos categorías según el sector y el tamaño. En general afecta a medianas y grandes empresas, con algunas excepciones por criticidad.
Sectores de alta criticidad
Energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable y residual, infraestructura digital, gestión de servicios TI para empresas, administración pública y espacio.
Otros sectores críticos
Servicios postales, gestión de residuos, productos químicos, alimentación, fabricación de determinados productos, proveedores digitales e investigación.
Las sanciones previstas llegan a 10 millones de euros o el 2 % de la facturación para esenciales, y a 7 millones o el 1,4 % para importantes (art. 34). Si quieres un resultado personalizado, haz el test NIS2.
Las medidas de seguridad del artículo 21
La directiva no te pide comprar una herramienta concreta: te pide gestionar el riesgo de forma proporcionada. Estas son las áreas que debes cubrir.
Análisis de riesgos
Políticas de análisis de riesgos y de seguridad de los sistemas de información.
Gestión de incidentes
Cómo detectar, contener y resolver un ciberincidente, con responsables definidos.
Continuidad
Copias de seguridad, recuperación ante desastres y gestión de crisis.
Cadena de suministro
Seguridad en la relación con proveedores y en la adquisición de sistemas.
Cifrado y accesos
Criptografía, control de acceso y autenticación multifactor donde proceda.
Formación e higiene
Prácticas básicas de ciberseguridad y formación periódica para la plantilla.
Aviso de incidentes: 24 horas y 72 horas
Si sufres un incidente significativo, NIS2 marca un calendario de avisos a la autoridad competente (art. 23).
- 24 horas: alerta temprana.
- 72 horas: notificación del incidente con una primera evaluación.
- Un mes: informe final.
Para cumplir hace falta tener un procedimiento ensayado y saber a quién se llama a las tres de la madrugada. Si el incidente afecta a datos personales, además entra en juego el aviso a la AEPD del RGPD; lo explicamos en la guía de brechas de seguridad.
La dirección responde
NIS2 hace responsables a los órganos de dirección: deben aprobar las medidas de seguridad, supervisar su aplicación y formarse en ciberseguridad (art. 20). Ya no es «cosa del informático».
Cómo te ayudamos a cumplir NIS2
Equipo legal y técnico que habla el mismo idioma que tu dirección y tu departamento de TI.
Diagnóstico y brechas
Contrastamos tu situación con las exigencias de la directiva y te decimos dónde estás.
Plan de adecuación
Medidas ordenadas por prioridad, con responsables y plazos realistas.
Políticas y procedimientos
Documentación de seguridad, gestión de incidentes y de proveedores.
Camino a certificación
Si quieres demostrar tu nivel, te preparamos para ISO 27001 o el Esquema Nacional de Seguridad.
De qué depende el coste
- Tamaño de la organización y número de sedes.
- Categoría (esencial o importante) y sector.
- Madurez actual de tu seguridad y tu documentación.
- Si quieres además certificarte.
Preguntar no cuesta nada
Cada caso es un mundo. Cuéntanos tu sector y tu tamaño y te damos un presupuesto ajustado, sin compromiso.
Cómo trabajamos
Empezar ya te da margen: así llegas a la norma con la seguridad hecha, no con prisas.
- 1
Test y diagnóstico
Comprobamos si te afecta y en qué categoría estarías.
- 2
Análisis de riesgos
Evaluamos tus sistemas, procesos y proveedores críticos.
- 3
Plan de medidas
Priorizamos qué hacer primero para reducir más riesgo con menos esfuerzo.
- 4
Implantación
Documentamos, configuramos y formamos a la plantilla y a la dirección.
- 5
Simulacro y revisión
Probamos el procedimiento de incidentes y revisamos de forma periódica.
Detrás de cada expediente, un equipo de abogados y técnicos que trabaja desde 1992.
- 34 añosde trayectoria
- ISO 27001seguridad certificada
- ENSEsquema Nacional
- APEPasociación de privacidad
- INCIBEcatálogo de ciberseguridad
Preguntas frecuentes
Las dudas que más nos plantean las empresas antes de empezar.
¿No está tu pregunta? Pregúntanos directamente
¿Ya es obligatoria NIS2 en España?
La directiva europea está en vigor, pero su transposición a la ley española está pendiente de completarse. Mientras tanto, muchas empresas se adelantan porque sus clientes ya se lo piden.
¿Me afecta si soy una pyme?
En general NIS2 se dirige a medianas y grandes empresas de ciertos sectores, aunque también puede alcanzar a entidades más pequeñas por su criticidad y, de forma indirecta, a sus proveedores. El test NIS2 te orienta.
¿Qué diferencia hay entre entidad esencial e importante?
Depende del sector y del tamaño. Las esenciales están en sectores de máxima criticidad y tienen supervisión y sanciones más intensas.
¿Tengo que certificarme en ISO 27001?
NIS2 no obliga a una certificación concreta, pero ISO 27001 es una forma reconocida de acreditar que gestionas la seguridad. Te contamos cómo encaja en la página de ISO 27001.
¿Qué pasa si no aviso de un incidente a tiempo?
Puede suponer una infracción sancionable. Por eso es clave tener definido quién avisa, a quién y cómo, antes de que ocurra.
¿Es responsable el administrador de la empresa?
Sí, la directiva atribuye responsabilidad a los órganos de dirección en la aprobación y supervisión de las medidas.
¿Cuánto cuesta adaptarse a NIS2?
Depende de tu tamaño, categoría y punto de partida. Cuéntanos tu caso y te enviamos un presupuesto sin compromiso.
¿Quieres saber si NIS2 te afecta?
Cuéntanos tu sector y tu tamaño. Te decimos qué te toca y por dónde empezar. Sin compromiso: preguntar no cuesta nada.
- HoyNos cuentas tu caso en un minuto.
- En menos de 24 h laborablesTe llamamos o escribimos, sin compromiso.
- DespuésRecibes qué te afecta, qué hacer y en qué orden.
¿Prefieres email? info@kumplir.es