NIS2 y las pymes: qué es y si te afecta

Qué es NIS2

Es la Directiva (UE) 2022/2555, que sustituye a la anterior directiva NIS. Amplía los sectores afectados, endurece las obligaciones de gestión de riesgos y de notificación de incidentes y refuerza la responsabilidad de la dirección. Cada Estado miembro debe incorporarla a su legislación; comprueba siempre el estado de la transposición y su calendario antes de tomar decisiones.

A quién afecta

Según INCIBE, se aplica a medianas y grandes empresas de sectores como energía, transporte, banca, sanidad, agua, infraestructuras digitales, gestión de servicios TIC, espacio, servicios postales, gestión de residuos, industria química, alimentación, proveedores de servicios digitales, investigación y fabricación de determinados productos. En algunos casos, la obligación se aplica con independencia del tamaño. La clasificación exacta depende de tu actividad y de la norma nacional: analízala con un asesor.

Qué medidas exige (artículo 21)

Las entidades deben adoptar medidas «adecuadas y proporcionadas» para gestionar los riesgos de sus sistemas. INCIBE recoge, al menos, estos elementos:

• Políticas de seguridad y análisis de riesgos.
• Gestión de incidentes.
• Continuidad del negocio y copias de seguridad.
• Seguridad de la cadena de suministro.
• Seguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas.
• Evaluación de la eficacia de las medidas.
• Ciberhigiene y formación.
• Criptografía.
• Seguridad de los recursos humanos y control de accesos.
• Autenticación multifactor.

Notificación de incidentes (artículo 23)

Hay que notificar los incidentes significativos: los que causan o pueden causar graves perturbaciones operativas o pérdidas económicas, o que afectan de forma considerable a otras personas o entidades. La norma fija plazos de notificación; consulta con tu asesor los que te correspondan.

Por qué puede afectar a tu pyme aunque no esté obligada

La seguridad de la cadena de suministro es uno de los pilares: las organizaciones obligadas deben exigir garantías a sus proveedores. Si trabajas para una de ellas, es probable que te pidan cuestionarios de seguridad, evidencias de buenas prácticas o cláusulas contractuales. Estar preparado se convierte en una ventaja comercial.

Cómo prepararte sin esperar a la norma

• Haz un inventario de sistemas, datos y proveedores críticos.
• Implanta las medidas básicas: doble factor, copias probadas, actualizaciones y formación.
• Documenta tus políticas y un plan de respuesta a incidentes; INCIBE publica plantillas y un autodiagnóstico que sirven de punto de partida.
• Revisa los contratos con proveedores clave en materia de seguridad.
• Consulta con un especialista si perteneces a un sector afectado y qué plazos aplican.

Preguntas frecuentes