NIS2 entró en vigor el 17 de octubre de 2024 y este abril llevamos poco más de seis meses en aplicación real. En ese tiempo, obligaciones que parecían papel se han vuelto práctica operativa y algunas previsiones se han quedado cortas. También ha aparecido una capa de inconsistencia entre estados miembros que la directiva no previno bien. Este post recoge lo que he visto en compañías españolas con las que trabajo y contrasta con informes públicos de ENISA y de las autoridades nacionales.

El contexto de la transposición a estados miembros está cubierto en el análisis de NIS2: transposición al estado español. Para el marco más amplio de cumplimiento europeo que conecta con NIS2, el post sobre gobernanza de IA en empresa ofrece el patrón organizativo que aplica igualmente aquí.

Puntos clave

  • Las notificaciones de incidente en 24 horas son el cambio operativo más disruptivo; los equipos que no tenían un proceso previo han tenido que improvisar.

  • La extensión de NIS2 a la cadena de suministro es donde más presión reciben las pymes: los grandes les piden cuestionarios que no saben responder.

  • La responsabilidad personal de los directivos (art. 20) ha cambiado el tono de las conversaciones en comité, pero aún no ha generado consecuencias reales en España.

  • La inconsistencia de transposición entre países de la UE complica el cumplimiento de grupos multinacionales.

  • Lo que más ha movido la aguja en práctica real: inventario de activos, gestión de vulnerabilidades y pruebas de continuidad.

Notificaciones en 24 horas: el cambio más disruptivo

El artículo 23 de NIS2 establece una obligación de notificación en cascada. El aviso inicial a la autoridad competente va en 24 horas desde que se tiene conocimiento de un incidente significativo. Después llegan el informe completo en 72 horas y el reporte final en un mes. Este plazo de 24 horas para el aviso inicial ha sido el cambio operativo más difícil de absorber.

Los equipos que no tenían un proceso documentado de gestión de incidentes han tenido que construirlo bajo presión. Los problemas recurrentes que he visto:

Falta de definición de «incidente significativo». NIS2 da criterios (impacto en disponibilidad, integridad de datos de personas, consecuencias transfronterizas), pero la aplicación práctica requiere un umbral de decisión interna. Sin ese umbral documentado, cada incidente potencial genera una conversación larga sobre si reportar o no, consumiendo tiempo en la situación menos adecuada para ello.

Ausencia de un responsable claro de la notificación. ¿Quién toma la decisión de notificar: el CISO, el CEO o el responsable legal?

He visto empresas en las que, en el momento del incidente real, nadie sabía quién tenía autoridad para hacer la notificación, y se perdían horas críticas.

Falta de plantillas de notificación preparadas. El aviso inicial de 24 horas no requiere el análisis completo del incidente: ese es el informe de 72 horas. Sí requiere información mínima sobre el tipo de incidente, los sistemas afectados y el impacto estimado. Tener una plantilla básica lista reduce el tiempo de preparación en el momento de mayor estrés.

Lo que ha funcionado en las empresas mejor preparadas es un playbook de incidentes que incluye explícitamente el proceso de notificación NIS2. En él quedan documentados el umbral de decisión, el responsable de notificar, la plantilla de notificación y el contacto de la autoridad competente.

La cadena de suministro: presión que llega a las pymes

NIS2 extiende la responsabilidad de ciberseguridad a la cadena de suministro. Una entidad esencial o importante no puede cumplir NIS2 ignorando la postura de seguridad de sus proveedores críticos. Esto ha creado una ola de cuestionarios de seguridad que fluye de grandes compañías hacia sus proveedores. Los proveedores que son pymes no tienen ni recursos ni conocimiento para responderlos.

El patrón que veo repetidamente:

  • El gran cliente envía un cuestionario de 150 preguntas de seguridad derivado de su programa de gestión de riesgo de terceros.

  • La pyme proveedora se queda sin respuesta en las preguntas cuyos controles no ha implementado.

  • La pyme tiene dos opciones: rechazar el cuestionario (y perder el cliente), o responder de forma inexacta para parecer más madura de lo que es.

Ninguna de las dos es satisfactoria, pero la segunda es la más frecuente. Esto crea un ecosistema de cumplimiento de papel que NIS2 pretendía evitar.

La solución que empieza a adoptarse en algunos sectores es estandarizar el cuestionario de terceros usando marcos como ENS (Esquema Nacional de Seguridad) o ISO 27001 como certificación sustitutiva. Un proveedor certificado ISO 27001 puede remitir al cliente al certificado en lugar de responder 150 preguntas individuales. Pero la adopción de esta práctica es desigual.

La responsabilidad personal: cambio de tono sin consecuencias todavía

El artículo 20 de NIS2 hace a los órganos de dirección responsables de supervisar las medidas de gestión de riesgos de ciberseguridad. Además, pueden ser considerados personalmente responsables en caso de incumplimiento grave. Esta disposición ha tenido un efecto inmediato en las conversaciones de comité: los CEO y directores han empezado a preguntar por ciberseguridad de una manera que antes no lo hacían.

Sin embargo, España todavía no ha hecho públicas resoluciones sancionadoras derivadas de NIS2, y en el resto de la UE apenas hay precedentes. El régimen está en aplicación temprana, las autoridades nacionales están en proceso de establecer sus procedimientos de supervisión, y los plazos de transposición incompleta en algunos estados complican la aplicación práctica. El efecto de la responsabilidad personal es de cambio de actitud más que de consecuencias tangibles en este primer semestre.

Lo que sí ha cambiado son los presupuestos de ciberseguridad: han aumentado en las empresas que antes no tenían un programa estructurado. Y el argumento «NIS2 lo requiere» ha desbloqueado conversaciones que el equipo de seguridad llevaba años intentando tener.

Diferencias entre países: el problema de la fragmentación

NIS2 es una directiva de la UE, pero la transposición la realizan los estados miembros individualmente, y hay diferencias significativas en cómo se ha implementado:

  • Ámbito de aplicación: algunos estados han ampliado el ámbito más allá del mínimo de la directiva; otros han transpuesto de forma más restrictiva.

  • Umbrales de tamaño: la directiva establece umbrales de empleados y facturación para determinar si una empresa entra en el ámbito, pero los estados tienen margen de interpretación para algunos sectores.

  • Plazos de notificación: aunque los plazos de 24/72 horas están en la directiva, la interpretación de qué constituye «conocimiento» del incidente varía.

  • Autoridades competentes: en algunos estados hay una autoridad única; en otros, una por sector.

Para un grupo multinacional con operaciones en más de un país de la UE, esto significa que el cumplimiento NIS2 no puede ser una política única: requiere adaptación por país. Algunos grupos están optando por aplicar el estándar más exigente de los países donde operan como baseline corporativo, lo cual simplifica la gestión a costa de un sobrecoste en países con requisitos menores.

Lo que ha movido más la aguja en práctica real

Más allá de los procesos de notificación y la gobernanza, los controles donde NIS2 ha generado más trabajo y más valor real en las empresas que he acompañado:

Inventario de activos. El anexo X de NIS2 enumera medidas de gestión de riesgos que incluyen explícitamente el inventario de activos. Las empresas que no tenían un inventario actualizado de sistemas, aplicaciones y datos han tenido que construirlo. El efecto secundario positivo: en el inventario han aparecido sistemas olvidados con versiones obsoletas que nadie sabía que seguían activos.

Gestión de vulnerabilidades. El ciclo de gestión de vulnerabilidades (escaneo, priorización, remediación, verificación) ha pasado de práctica informal a proceso documentado en las empresas que he acompañado. Las empresas que ya tenían Trivy, Grype o herramientas equivalentes integradas en CI lo tienen más fácil; las que no han tenido que construirlo desde cero.

Pruebas de continuidad y recuperación. Las medidas de NIS2 incluyen la continuidad de negocio y la recuperación ante desastres, con pruebas regulares documentadas. El patrón se repetía: planes de continuidad en papel que nunca se habían probado. El proceso de cumplimiento ha forzado pruebas reales, con resultados instructivos: un porcentaje significativo de los planes probados no funcionaron como se esperaba.

Mi lectura

NIS2 está generando cambios reales en la postura de seguridad de las empresas sujetas a ella, aunque de forma desigual. Las empresas que ya tenían un programa de seguridad estructurado han tenido principalmente un trabajo de documentación y ajuste de procesos. Las que no lo tenían han tenido que construir desde cero bajo presión regulatoria, con resultados variables.

Los cambios más duraderos no son los que genera el miedo a la sanción, sino los que genera el cambio de conversación en el comité. La responsabilidad personal del artículo 20 ha puesto la ciberseguridad en la agenda de dirección de una manera que los equipos de seguridad llevaban años intentando conseguir. Ese cambio de atención, si se sostiene, tiene más valor que cualquier control técnico específico.

El segundo año de NIS2 será el de las primeras resoluciones sancionadoras. Cuando aparezcan, el efecto en el mercado será más rápido que toda la comunicación previa. Nada concentra la atención de los comités como ver a un sector equivalente recibir una sanción significativa con nombres y apellidos.

Este artículo también está disponible en inglés: NIS2: what we learned from the first year of applying it.

Fuentes:

  1. EUR-Lex: Directiva (UE) 2022/2555 (NIS2), texto consolidado[1]
  2. ENISA: NIS Directive 2, tareas y calendario de transposición[2]
  3. Comisión Europea: NIS2 Directive, securing network and information systems[3]
  4. INCIBE-CERT: NIS2, lo que necesitas saber[4]

Preguntas frecuentes

¿Cuánto tiempo tengo para notificar un incidente bajo NIS2?

El artículo 23 fija una notificación en cascada: el aviso inicial a la autoridad competente va en 24 horas desde que se tiene conocimiento de un incidente significativo. El informe completo llega en 72 horas y el reporte final en un mes. El aviso de 24 horas no exige el análisis completo, pero sí información mínima sobre el tipo de incidente, los sistemas afectados y el impacto estimado. Lo que funciona es un playbook con el umbral de incidente significativo documentado, el responsable de notificar identificado, una plantilla preparada y el contacto de la autoridad.

¿Qué hago si un gran cliente me envía un cuestionario de seguridad NIS2 de 150 preguntas que mi pyme no puede responder?

Ni rechazarlo (pierdes al cliente) ni responder de forma inexacta, que es lo más frecuente y crea el cumplimiento de papel que NIS2 quería evitar. La vía que empieza a adoptarse en algunos sectores es remitir a una certificación sustitutiva. Un proveedor certificado ISO 27001, o alineado con el ENS (Esquema Nacional de Seguridad), puede enviar el certificado en lugar de contestar 150 preguntas individuales. La adopción de esta práctica todavía es desigual entre sectores.

¿Ya se han impuesto sanciones a directivos por incumplir NIS2 en España?

No: el artículo 20 hace a los órganos de dirección responsables de supervisar las medidas de gestión de riesgos, y personalmente responsables en caso de incumplimiento grave. Aun así, España todavía no ha hecho públicas resoluciones sancionadoras derivadas de NIS2, y en el resto de la UE apenas hay precedentes. El régimen está en aplicación temprana y las autoridades siguen estableciendo sus procedimientos. El efecto ha sido de cambio de actitud, con presupuestos de ciberseguridad al alza; las primeras sanciones se esperan en el segundo año.

Fuentes

  1. EUR-Lex: Directiva (UE) 2022/2555 (NIS2), texto consolidado
  2. ENISA: NIS Directive 2, tareas y calendario de transposición
  3. Comisión Europea: NIS2 Directive, securing network and information systems
  4. INCIBE-CERT: NIS2, lo que necesitas saber