Preservando la transparencia en el ámbito financiero
1. Análisis de aplicabilidad
2. Diagnóstico de ciberseguridad
3. Diseño del plan de cumplimiento
4. Implementación y soporte
Utiliza nuestro formulario para escribirnos o elige el momento que mejor te convenga para conocer nuestros expertos y resolver tus dudas en una llamada.
Resolvemos las dudas más habituales sobre la Directiva NIS2 de ciberseguridad, qué empresas afecta y qué obligaciones impone.
La Directiva NIS2 (Network and Information Security 2) es la normativa europea de ciberseguridad que sustituye y amplía a la anterior Directiva NIS, con el objetivo de elevar el nivel común de ciberseguridad en la Unión Europea. Amplía significativamente el número de sectores y empresas afectadas e impone obligaciones más estrictas en materia de gestión de riesgos, notificación de incidentes y supervisión por parte de las autoridades.
La NIS2 distingue entre entidades esenciales (energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua, infraestructura digital, administración pública) y entidades importantes (servicios postales, gestión de residuos, fabricación, producción de alimentos, proveedores digitales). En general, afecta a empresas medianas y grandes de estos sectores, aunque algunas empresas más pequeñas pueden quedar incluidas si su actividad es crítica.
Las empresas afectadas deben implantar medidas técnicas y organizativas de gestión de riesgos de ciberseguridad, notificar incidentes significativos de seguridad a la autoridad competente en plazos muy ajustados (alerta temprana en 24 horas, notificación completa en 72 horas), garantizar la seguridad de la cadena de suministro, formar a su personal y dirección en ciberseguridad, y someterse a la supervisión de la autoridad nacional competente.
España debe transponer la Directiva NIS2 mediante una Ley de Coordinación y Gobernanza de la Ciberseguridad, que designa al Centro Criptológico Nacional (CCN) y al INCIBE como autoridades competentes en la materia. El plazo de transposición fijado por la Unión Europea venció en octubre de 2024, por lo que las empresas afectadas deben prepararse para su aplicación inminente en el ordenamiento español.
La Directiva NIS2 establece sanciones de hasta 10 millones de euros o el 2% de la facturación anual global para las entidades esenciales, y hasta 7 millones de euros o el 1,4% de la facturación para las entidades importantes. Además, prevé la posibilidad de responsabilizar personalmente a los directivos de la empresa por incumplimientos graves en materia de gestión de riesgos de ciberseguridad.
La ISO 27001 proporciona un marco de gestión de seguridad de la información que facilita significativamente el cumplimiento de las medidas técnicas y organizativas exigidas por la NIS2. Las empresas certificadas en ISO 27001 parten con una base sólida de controles y procesos que pueden adaptarse a los requisitos específicos de la nueva directiva europea de ciberseguridad.
La adaptación implica: determinar si la empresa está dentro del ámbito de aplicación de la NIS2, realizar un análisis de riesgos de ciberseguridad, implantar las medidas técnicas y organizativas requeridas, establecer un protocolo de notificación de incidentes en los plazos exigidos, formar a la dirección y al personal, y designar un responsable de ciberseguridad. 4DLegal acompaña a las empresas en todo este proceso de adaptación.
