Cumplimiento Normativo NIS2 para empresas

La Directiva NIS2 (Network and Information Security) es la normativa europea de ciberseguridad que establece requisitos mínimos de seguridad para las redes y sistemas de información de las organizaciones. Amplía significativamente el ámbito de la anterior NIS1, afectando ahora a sectores esenciales (energía, transporte, banca, salud, infraestructuras digitales, agua, espacio) e importantes (servicios postales, gestión de residuos, fabricación de productos críticos, alimentación, proveedores digitales), con umbrales de aplicación desde medianas empresas con 50 o más trabajadores o 10M€ de facturación.

Las principales obligaciones de NIS2 son: implementar medidas de gestión de riesgos de ciberseguridad (autenticación, cifrado, gestión de accesos, continuidad del negocio), establecer un proceso de notificación de incidentes significativos a las autoridades competentes en plazos muy estrictos (alerta temprana en 24h, notificación inicial en 72h), mantener la seguridad en la cadena de suministro digital, y garantizar la responsabilidad de los órganos de dirección, que deben aprobar y supervisar las medidas de ciberseguridad.

NIS2 establece dos niveles de sanciones. Para entidades esenciales, las multas pueden alcanzar los 10 millones de euros o el 2% de la facturación global anual. Para entidades importantes, el máximo es de 7 millones de euros o el 1,4% de la facturación. Además, NIS2 establece expresamente la responsabilidad personal de los directivos, que pueden ser inhabilitados temporalmente para ejercer funciones de dirección si el incumplimiento se debe a negligencia grave.

Para determinar si tu empresa está afectada por NIS2 debes analizar dos variables: el sector de actividad (si pertenece a los sectores esenciales o importantes listados en los anexos de la directiva) y el tamaño (medianas empresas con al menos 50 empleados o 10M€ de facturación, aunque algunas categorías aplican sin umbral de tamaño). Haz la auditoría gratuita de Cumpleo y te lo decimos en minutos.

NIS2 y el RGPD son complementarios: el RGPD protege los datos personales y establece requisitos de seguridad para su tratamiento, mientras NIS2 protege las redes y sistemas de información con independencia de si procesan datos personales. Una brecha de seguridad puede generar incumplimientos simultáneos de ambas normativas. Además, NIS2 se relaciona con el Esquema Nacional de Seguridad (ENS) para entidades del sector público y con la Directiva CER para infraestructuras críticas.

Cumpleo te ayuda con el análisis de aplicabilidad, la evaluación de riesgos, la definición de medidas técnicas y organizativas, el protocolo de notificación de incidentes y la documentación para auditorías. Haz la auditoría gratuita para saber si tu empresa está en el ámbito de NIS2 y qué pasos necesitas dar.