Question 1

¿Quién está sujeto a NIS2 en España?

Accepted Answer

La directiva NIS2 se aplica a las entidades que operan en 18 sectores definidos (energía, transporte, salud, banca, infraestructuras digitales, agua, alimentación, industria, etc.) que superan determinados umbrales de tamaño. Las entidades esenciales son las grandes empresas (más de 250 empleados o más de 50 millones de euros de facturación) en los sectores altamente críticos del Anexo I. Las entidades importantes abarcan las medianas empresas (más de 50 empleados o más de 10 millones de euros de facturación) en todos los sectores afectados. España transpone NIS2 a través del Real Decreto-ley 7/2022 y la futura Ley de Coordinación y Gobernanza de la Ciberseguridad. El CCN-CERT, dependiente del Centro Criptológico Nacional, es la autoridad competente para el sector público, mientras que el INCIBE-CERT atiende al sector privado y ciudadanos.

Question 2

¿Cuándo entró en vigor NIS2?

Accepted Answer

La Directiva (UE) 2022/2555, conocida como NIS2, fue publicada en el Diario Oficial de la Unión Europea el 27 de diciembre de 2022. Los Estados miembros tenían hasta el 17 de octubre de 2024 para transponerla al derecho nacional. España está en proceso de finalizar su transposición legislativa. Aunque la ley de transposición completa está pendiente, las obligaciones de la directiva son exigibles desde el 17 de octubre de 2024. Se recomienda encarecidamente a las organizaciones afectadas iniciar sus planes de adecuación sin esperar a la notificación oficial de las autoridades competentes.

Question 3

¿Cuáles son las sanciones de NIS2?

Accepted Answer

NIS2 establece dos niveles de sanciones administrativas según la categoría de la entidad. Para las entidades esenciales, la multa máxima es de 10.000.000 € o el 2 % del volumen de negocio anual mundial total del ejercicio anterior, aplicándose el importe más elevado. Para las entidades importantes, el límite es de 7.000.000 € o el 1,4 % del volumen de negocio anual mundial. Además de las sanciones económicas, las autoridades competentes pueden emitir requerimientos de cumplimiento, suspender temporalmente certificaciones o autorizaciones y hacer públicos los incumplimientos detectados. Los directivos también pueden ser declarados personalmente responsables en caso de negligencia grave.

Question 4

¿NIS2 se aplica a los subcontratistas?

Accepted Answer

Sí, NIS2 tiene un alcance ampliado sobre la cadena de suministro. Las entidades sujetas (esenciales e importantes) están obligadas a garantizar que sus proveedores y prestadores de servicios que acceden a sus sistemas de información o tratan datos críticos mantengan un nivel de seguridad adecuado. En la práctica, esto significa que los subcontratistas y proveedores IT de las entidades NIS2 recibirán requisitos de seguridad a través de cláusulas contractuales, cuestionarios de evaluación y posiblemente auditorías. Aunque una empresa no esté directamente sujeta a NIS2, puede verse obligada a cumplir con ciertos requisitos de seguridad para mantener a sus clientes regulados.

Question 5

¿Cómo notificar un incidente al CCN-CERT?

Accepted Answer

NIS2 impone un proceso de notificación en varias etapas. En las 24 horas siguientes a la detección de un incidente significativo, la entidad debe transmitir una alerta temprana a la autoridad competente indicando si el incidente parece ser resultado de un acto malicioso y si tiene impacto transfronterizo. En las 72 horas, debe seguir una notificación completa con una evaluación inicial del incidente, su gravedad y sus probables impactos. En el mes siguiente a la resolución, debe enviarse un informe final con el análisis de causas raíz y las medidas correctoras adoptadas. En España, las entidades del sector público notifican al CCN-CERT (ccncert@cni.es) y las del sector privado al INCIBE-CERT (incidencias@incibe-cert.es).

Question 6

¿Cuál es la diferencia entre entidades esenciales e importantes?

Accepted Answer

La distinción entre entidades esenciales (EE) y entidades importantes (EI) se basa principalmente en dos criterios: el sector de actividad y el tamaño de la empresa. Las entidades esenciales operan en los sectores altamente críticos listados en el Anexo I de la directiva (energía, transporte, salud, agua, infraestructuras digitales, etc.) y superan los umbrales de una gran empresa. Las entidades importantes abarcan tanto las organizaciones de tamaño medio en los sectores del Anexo I como las empresas en los sectores adicionales del Anexo II (alimentación, química, industria, etc.). La principal diferencia práctica radica en el régimen de supervisión: las EE están sujetas a controles proactivos regulares, mientras que las EI están sujetas a una supervisión reactiva activada por un incidente o una reclamación.

Question 7

¿NIS2 reemplaza al RGPD?

Accepted Answer

No, NIS2 no reemplaza al RGPD. Ambas normativas son complementarias y coexisten. El RGPD (Reglamento General de Protección de Datos) trata sobre la protección de datos personales y se aplica a cualquier organización que trate datos de residentes europeos, independientemente de su tamaño o sector. NIS2 trata sobre la seguridad de las redes y sistemas de información de las entidades que operan en sectores críticos. Ambos textos se refuerzan mutuamente: las buenas prácticas de ciberseguridad NIS2 contribuyen a la seguridad de los datos personales exigida por el RGPD. En caso de un incidente cibernético que provoque una violación de datos, una empresa puede estar simultáneamente sujeta a las obligaciones de notificación NIS2 (al CCN-CERT o INCIBE-CERT) y RGPD (a la Agencia Española de Protección de Datos, AEPD).

Question 8

¿Mi proveedor de hosting es responsable de mi cumplimiento NIS2?

Accepted Answer

No, su proveedor de hosting no puede ser responsabilizado de su cumplimiento NIS2. La responsabilidad del cumplimiento recae en la propia entidad sujeta, es decir, en su organización. Se trata de una responsabilidad compartida: si utiliza servicios en la nube o de alojamiento, debe asegurarse de que sus proveedores mantengan niveles de seguridad adecuados (esta es la obligación de seguridad en la cadena de suministro), pero el cumplimiento global sigue siendo su responsabilidad. Esto incluye la gobernanza, la gestión de riesgos, la notificación de incidentes y la continuidad de negocio. En la práctica, deberá estructurar sus relaciones contractuales con los proveedores IT para incorporar cláusulas de seguridad conformes con los requisitos de NIS2.

Question 9

¿NIS2 se aplica a las microempresas?

Accepted Answer

Como regla general, NIS2 no se aplica a las microempresas y pequeñas empresas (menos de 50 empleados y menos de 10 millones de euros de facturación). La directiva fue diseñada para dirigirse a entidades cuyo fallo tendría un impacto significativo en la sociedad o la economía. Sin embargo, existen excepciones importantes: ciertos tipos de entidades están sujetos a NIS2 independientemente de su tamaño, incluidos los operadores de redes públicas de comunicaciones electrónicas, los proveedores de servicios DNS, los registros de nombres de dominio de nivel superior (TLD) y los prestadores de servicios de confianza cualificados. Además, incluso una microempresa puede verse indirectamente afectada si es subcontratista de una entidad sujeta.

Question 10

¿Cuál es el plazo para cumplir con NIS2?

Accepted Answer

La fecha de entrada en vigor de NIS2 fue el 17 de octubre de 2024; las obligaciones son por tanto teóricamente aplicables desde esa fecha. En España, mientras se finaliza la transposición completa, las autoridades competentes procederán a la identificación progresiva de las entidades afectadas. Se recomienda encarecidamente anticiparse sin esperar a la notificación oficial, ya que el cumplimiento completo requiere varios meses de trabajo: inventario de activos, análisis de riesgos, implementación de medidas técnicas y organizativas y formación del personal. Las entidades que tarden en actuar se exponen a sanciones en cuanto las autoridades comiencen sus actividades de supervisión.

Question 11

¿Cómo demostrar el cumplimiento de NIS2?

Accepted Answer

NIS2 no prevé una única certificación obligatoria, pero la prueba del cumplimiento se basa en una documentación exhaustiva y auditorías regulares. Una entidad conforme debe disponer de una política de seguridad documentada y aprobada por la dirección, un análisis de riesgos actualizado, un registro de incidentes, un plan de continuidad de negocio probado, evidencias de formación, contratos con proveedores que incluyan cláusulas de seguridad e informes de auditorías internas o externas. Las autoridades competentes pueden solicitar estos documentos en el marco de sus actividades de supervisión. El uso de marcos reconocidos como ISO 27001 o el Esquema Nacional de Seguridad (ENS) puede facilitar la demostración del cumplimiento.

Question 12

¿NIS2 afecta a las asociaciones y organizaciones sin ánimo de lucro?

Accepted Answer

Las asociaciones y organizaciones sin ánimo de lucro pueden estar sujetas a NIS2 si desarrollan actividades en uno de los 18 sectores cubiertos y superan los umbrales de tamaño (50 empleados o 10 millones de euros de presupuesto). Por ejemplo, una asociación que gestiona una red de distribución de agua, un centro sanitario en forma asociativa o una fundación de investigación científica podría estar sujeta a la directiva. La forma jurídica (asociación, fundación, etc.) no es el criterio determinante: lo que cuenta es la naturaleza de la actividad y los umbrales de tamaño. Las asociaciones de pequeño tamaño que operen fuera de los sectores críticos generalmente no están afectadas. En caso de duda, se recomienda consultar al CCN-CERT, al INCIBE o a un abogado especializado.

Question 13

¿Qué es la cadena de suministro NIS2?

Accepted Answer

La seguridad de la cadena de suministro es una de las obligaciones fundamentales de NIS2. Exige a las entidades sujetas evaluar y gestionar los riesgos de ciberseguridad derivados de sus relaciones con proveedores y prestadores de servicios, en particular aquellos que acceden a sus sistemas de información, tratan datos críticos o suministran componentes software integrados en sus productos. En la práctica, esto se traduce en un mapeo de proveedores críticos, cuestionarios de seguridad, cláusulas contractuales que imponen niveles mínimos de seguridad y derechos de auditoría. Esta obligación responde a la proliferación de ataques a la cadena de suministro (como SolarWinds) que eluden las defensas de una organización atacando a sus proveedores.

Question 14

¿El CCN-CERT ya controla a las empresas?

Accepted Answer

Sí, el CCN-CERT y el INCIBE-CERT ya ejercen funciones de supervisión y respuesta ante incidentes en el marco del Real Decreto-ley 7/2022 que transpuso NIS1, para los operadores de servicios esenciales y los proveedores de servicios digitales. Con NIS2, estas competencias se amplían significativamente. Las autoridades competentes podrán realizar inspecciones documentales e in situ, exigir auditorías de seguridad realizadas por entidades cualificadas, emitir requerimientos de cumplimiento con plazos e imponer sanciones administrativas. Para las entidades esenciales, los controles pueden iniciarse de forma proactiva, sin necesidad de que se haya producido un incidente. El despliegue completo de estos controles será progresivo a medida que se identifiquen las entidades afectadas en España.

Question 15

¿NIS2 se aplica en toda Europa?

Accepted Answer

Sí, NIS2 es una directiva europea que se impone a los 27 Estados miembros de la Unión Europea. Sin embargo, al ser una directiva (y no un reglamento), requiere transposición al derecho nacional de cada Estado miembro. Esto significa que las modalidades prácticas de aplicación (identificación de entidades, procesos de notificación, sanciones efectivas) pueden variar de un país a otro, aunque los requisitos sustantivos estén armonizados. Para los grupos internacionales, esto implica seguir la transposición en cada país afectado. El mecanismo de supervisión se organiza en torno al principio del establecimiento principal: una entidad que opera en varios Estados miembros es generalmente supervisada por la autoridad del país donde se encuentra su establecimiento principal para los servicios transfronterizos.

Preguntas frecuentes sobre NIS2

Preguntas frecuentes sobre NIS2