NIS2: a quién afecta, qué exige y qué ocurre si no se cumple

Deciden dos preguntas: en qué sector opera la empresa y qué tamaño tiene. La directiva enumera 18 sectores, entre ellos energía, transporte, sanidad, infraestructura digital, gestión de residuos, química, alimentación, la fabricación de maquinaria, vehículos y equipos electrónicos, y los servicios digitales. Dentro de estos sectores, NIS2 se aplica por lo general a partir de un tamaño mediano, es decir, a partir de 50 empleados o más de 10 millones de euros de volumen de negocio anual y de balance.

Las empresas se clasifican como entidades «esenciales» o «importantes». Algunos proveedores quedan incluidos con independencia de su tamaño, como determinados proveedores de servicios de telecomunicaciones y de DNS. Solo en Alemania, el Gobierno federal estimó unas 29.500 empresas afectadas.

Los proveedores se ven afectados de forma indirecta: NIS2 exige a las empresas incluidas que tengan en cuenta la seguridad de su cadena de suministro, y muchas trasladan requisitos y obligaciones de prueba a sus proveedores de servicios. Si NIS2 se aplica a su empresa lo puede aclarar con la autoridad nacional competente o con su asesoría jurídica.

• Gestión de riesgos: el artículo 21 enumera medidas como el análisis de riesgos, la gestión de incidentes, la continuidad del negocio, la seguridad de la cadena de suministro, la gestión de vulnerabilidades, la formación, la criptografía, el control de acceso y la autenticación multifactor.
• Notificación: los incidentes significativos deben notificarse por etapas, con una alerta temprana en 24 horas, una notificación en 72 horas y un informe final al cabo de un mes.
• Registro: las empresas incluidas deben registrarse ante la autoridad competente.
• Responsabilidad de la dirección: la dirección debe aprobar las medidas, supervisar su aplicación y participar con regularidad en formaciones.

La directiva prevé multas mucho más altas que antes: para las entidades esenciales, hasta 10 millones de euros o el 2 por ciento del volumen de negocio anual mundial; para las importantes, hasta 7 millones de euros o el 1,4 por ciento, en cada caso el importe mayor. A ello se suman medidas de supervisión de la autoridad, como requerimientos y auditorías.

El cambio más importante es la responsabilidad personal: los directivos que incumplen sus obligaciones pueden responder de los daños causados. La seguridad informática pasa a ser una tarea expresa de la dirección de la empresa y ya no puede delegarse solo en el departamento de TI.

Sightadel es nuestra plataforma de cumplimiento y GRC. No empieza con una hoja de cálculo vacía, sino con una estructura ya preparada para NIS2, ISO 27001 y otras normas. Cada requisito tiene un responsable con nombre, una persona y no un departamento. Cada evidencia tiene una fecha de caducidad, y Sightadel avisa antes de que quede desactualizada.

Una misma evidencia puede contar para varias normas, así que las empresas que ya tienen ISO 27001 ven rápidamente qué les falta para NIS2. Los riesgos de proveedores se evalúan en la misma plataforma. Para las auditorías, los auditores externos reciben su propio acceso de solo lectura y ven únicamente el alcance de la auditoría. La dirección puede seguir en todo momento el estado de la aplicación.

Para la parte técnica, la gestión de vulnerabilidades del artículo 21, veyrisk aporta los análisis continuos y un informe de evidencias específico para NIS2. Si quiere saber en qué punto está su empresa respecto a NIS2, póngase en contacto con nosotros.

Este artículo es un resumen general y no constituye asesoramiento jurídico. Son determinantes el texto legal y las indicaciones de la autoridad competente.