Directiva NIS2: qué debe gestionar una empresa antes de una auditoría
NIS2 no es solo papeleo: exige medidas de seguridad demostrables. Sepa qué debe organizar y en qué orden de prioridad.
La Directiva NIS2 se ha transpuesto a las legislaciones nacionales y vincula a un abanico de empresas significativamente más amplio que la NIS anterior. En este artículo explicamos quién es sujeto obligado, qué medidas debe demostrar y cómo abordar su implementación sin duplicar costes.
TL;DR — Puntos clave
- La NIS2 incluye también a medianas empresas en sectores como energía, transporte, salud, industria manufacturera, servicios IT y residuos.
- Se exige una gestión de riesgos demostrable, notificación de incidentes en 24 horas y seguridad en la cadena de suministro.
- La responsabilidad recae en la dirección, no solo en el departamento de IT.
- La mayoría de los requisitos se cubren con MFA, backup, EDR, segmentación y procesos documentados.
Qué exige realmente la NIS2
La NIS2 no prescribe productos concretos, sino resultados: gestión de riesgos, continuidad del negocio, seguridad de la cadena de suministro, control de accesos, criptografía, gestión de incidentes y formación de empleados. Para cada bloque, debe contar con una política escrita, medidas técnicas ejecutadas y pruebas de que dichas medidas funcionan realmente.
La diferencia clave respecto a la normativa anterior es la notificación: una alerta temprana sobre un incidente significativo en 24 horas, una notificación formal en 72 horas y un informe final en un mes. Si no dispone de un proceso preparado de antemano y puntos de contacto establecidos, es prácticamente imposible cumplir estos plazos.
Por qué es importante para las empresas
Incluso si su empresa no es un sujeto obligado directo, es muy probable que reciba estas exigencias a través de clientes que sí lo son, ya que la NIS2 aborda explícitamente la seguridad de la cadena de suministro.
- Las multas alcanzan hasta 10 millones de EUR o el 2 % de la facturación global anual para entidades esenciales.
- La dirección es personalmente responsable de supervisar las medidas de seguridad.
- Los clientes del sector público y de la industria ya exigen cuestionarios de seguridad a sus proveedores.
- Los ciberseguros sin controles básicos se vuelven significativamente más caros o inalcanzables.
Cómo empezar — procedimiento recomendado
- Determine si es sujeto obligado (actividad, tamaño, rol en la cadena de suministro).
- Inventaríe sus activos: servidores, aplicaciones, datos, accesos y proveedores externos.
- Realice una evaluación de riesgos y asigne responsables para cada medida.
- Cierre las brechas técnicas por prioridad: MFA, backup con prueba de restauración, EDR, segmentación, gestión de parches.
- Redacte un proceso de respuesta ante incidentes con plazos claros de 24/72 horas y puntos de contacto.
- Realice un simulacro y una revisión interna una vez al año y documente las conclusiones.
Prioridades de las medidas según impacto y coste
| Medida | Impacto en cumplimiento | Coste típico | Plazo de implementación |
|---|---|---|---|
| MFA para todos los accesos | Muy alto | Bajo (incluido en M365) | Días |
| Backup con prueba de restauración | Muy alto | Medio | Semanas |
| EDR en todos los dispositivos | Alto | Medio | Semanas |
| Segmentación de red | Alto | Medio a alto | Meses |
| Proceso de respuesta a incidentes | Muy alto | Bajo (esfuerzo) | Semanas |
Errores más comunes
El error más frecuente es que la empresa trate la NIS2 como un proyecto documental. Las políticas sin ejecución técnica fallan en la primera auditoría; el inspector pedirá evidencias: logs, informes de pruebas de restauración, lista de excepciones en MFA.
Otro error común es omitir la cadena de suministro. Si un proveedor externo gestiona sus servidores, necesita cláusulas contractuales sobre seguridad, notificación de incidentes y accesos; de lo contrario, la brecha es suya, no de él.
Cómo ayudamos en VitalIT
En VitalIT realizamos un diagnóstico de situación respecto a la NIS2, preparamos un plan de medidas prioritarias y nos encargamos de la ejecución técnica. Nuestros servicios de ciberseguridad y consultoría IT están diseñados para que logre el cumplimiento sin duplicar herramientas.
También recomendamos los artículos Auditoría IT anual: 12 puntos a revisar cada año y SIEM y control centralizado de seguridad.
Preguntas frecuentes (FAQ)
- ¿Se aplica la NIS2 a una empresa con 60 empleados?
- Probablemente sí, si opera en uno de los sectores cubiertos y supera el umbral de mediana empresa. La evaluación debe hacerse por actividad y facturación, no solo por número de empleados.
- ¿Cuánto tiempo lleva implementar las medidas básicas?
- Para una Pyme típica, entre dos y cuatro meses si se aborda por prioridades y no se intenta implementar todo a la vez.
- ¿Necesitamos la certificación ISO 27001?
- No, la NIS2 no exige una certificación. Sin embargo, la ISO 27001 cubre gran parte de los requisitos y facilita la demostración del cumplimiento.
- ¿Quién debe notificar un incidente?
- El propio sujeto obligado, a través de la autoridad nacional competente. Debe tener definidos de antemano el proceso y las personas de contacto.
- ¿Qué pasa si tenemos la IT totalmente externalizada?
- La responsabilidad sigue siendo suya. Necesita un contrato que especifique con precisión las medidas de seguridad, los accesos y los plazos de notificación.
Sorodne objave
Autenticación de dos factores: implementación sin resistencia de los empleados
El MFA detiene la gran mayoría de los ataques por robo de contraseñas. Cómo implementarlo rápidamente y sin quejas.
CiberseguridadGestión de contraseñas en la empresa: el fin de Excel y los post-its
Las contraseñas compartidas en Excel son una bomba de relojería. Cómo organizarlas en una semana.
CiberseguridadVPN o Zero Trust: qué modelo de acceso elegir en 2026
La VPN no ha muerto, pero ya no es suficiente. Cómo elegir el modelo adecuado y cómo realizar una transición gradual.