NIS2: lo que la nueva directiva europea cambia en ciberseguridad
Actualizado: 2026-05-03
La Directiva NIS2[1] (Network and Information Security 2), aprobada en diciembre de 2022 con plazo de transposición hasta octubre de 2024, amplía sustancialmente el marco europeo de ciberseguridad. Sustituye a NIS1 de 2016 y representa el mayor cambio regulatorio en ciberseguridad para organizaciones europeas desde la entrada en vigor del RGPD[2]. Para equipos técnicos, entender sus implicaciones prácticas es tarea que no admite demora.
Puntos clave
- NIS2 amplía el ámbito de 7 a 18 sectores, incluyendo salud, administración pública digital, espacio e investigación.
- Define 10 categorías de medidas técnicas mínimas exigibles por nombre.
- Las sanciones se alinean con el RGPD: hasta 10 millones de euros o el 2 % de la facturación global.
- Los órganos directivos responden personalmente por incumplimientos graves.
- El plazo de transposición de los Estados miembro es octubre de 2024.
Qué cambia respecto a NIS1
NIS1 cubría un conjunto reducido de sectores y dejaba mucha discrecionalidad a cada Estado miembro en cómo interpretarla. El resultado fue una aplicación desigual y un alcance limitado. NIS2 corrige las tres carencias principales:
- Alcance ampliado. Pasa de 7 sectores a 18, cubriendo salud, administración pública digital, servicios postales, gestión de residuos, espacio e investigación, entre otros. Las medianas y grandes empresas de esos sectores caen dentro del ámbito automáticamente.
- Medidas mínimas más concretas. NIS1 exigía “medidas técnicas y organizativas apropiadas”; NIS2 lista 10 categorías específicas: gestión de riesgos, respuesta a incidentes, continuidad de negocio, seguridad de la cadena de suministro, cifrado, formación, control de accesos, MFA, políticas de vulnerabilidades y auditorías.
- Sanciones alineadas con el RGPD. Hasta 10 millones de euros o el 2 % de la facturación anual global, lo que sea mayor. Además, la responsabilidad de los órganos directivos es explícita: un CEO o CTO puede responder personalmente por incumplimientos graves.
Obligaciones que se vuelven críticas
Para equipos de operaciones y desarrollo, tres áreas concentran la mayor carga de trabajo.
Notificación de incidentes
NIS2 introduce una escalada temporal de notificación obligatoria:
- 24 horas desde la detección: alerta temprana a la autoridad competente.
- 72 horas: notificación con evaluación inicial.
- 30 días: informe final con detalle de causas, impacto y medidas correctivas.
Esto convierte el incident response en un procedimiento con runbook y cronómetro. Para equipos que actualmente gestionan incidentes con prácticas informales, es la mayor inversión que pide la directiva. Un sistema de alertas sólido —como el descrito en la cobertura sobre observabilidad Kubernetes con Pixie— es la base técnica sobre la que se apoya ese runbook.
Seguridad de la cadena de suministro
Por primera vez la regulación europea aborda explícitamente la cadena de suministro. Si usas proveedores SaaS, servicios cloud, librerías open-source con riesgo crítico o contratistas con acceso a sistemas, debes evaluar y documentar su seguridad. No basta con que tu propio sistema sea seguro: el conjunto de la cadena también debe serlo.
Esto enlaza con tecnologías como Sigstore[3] y SLSA[4] que hacen trazable la procedencia del software. Adoptar estas capas antes de la fecha límite reduce significativamente el esfuerzo de cumplimiento futuro.
Autenticación multifactor obligatoria
MFA deja de ser una recomendación y pasa a ser obligatorio para todos los accesos privilegiados:
- Infraestructuras con SSH tradicional.
- Paneles de administración web.
- Cuentas de servicio cloud con capacidad de causar impacto operativo significativo.
La forma concreta (TOTP, WebAuthn, llaves hardware) queda a discreción del operador, pero la ausencia de MFA es una no-conformidad directa.
Quién está incluido
NIS2 distingue dos niveles:
- Entidades esenciales (energía, transporte, banca, agua, salud, infraestructura digital): medidas más estrictas y supervisión ex ante.
- Entidades importantes (administración digital, postal, química, investigación, manufactura digital, SaaS, redes sociales medianas): mismas obligaciones técnicas, supervisión ex post.
El umbral: medianas (50+ empleados o 10+ M€ de facturación) y grandes empresas de esos sectores. Para saber si tu organización entra, la European Union Agency for Cybersecurity (ENISA)[5] mantiene una guía de sectores actualizada.
Plan de preparación
Un roadmap típico para organizaciones que empiezan a prepararse se estructura en cuatro fases:
- Q3: Assessment de brecha. Auditoría contra las 10 medidas. ¿Qué existe documentado, qué existe de facto sin documentación, qué falta?
- Q4: Plan de remediación priorizado. MFA, inventario de proveedores críticos, runbooks de incidentes. Estos tres elementos son los que más tiempo consumen.
- H1 siguiente: Ejecución. Implementación de los controles faltantes y pruebas de incidente simulado (tabletop exercises[6]).
- H2 siguiente: Validación. Auditoría final antes de la fecha límite de transposición de cada Estado miembro.
Organizaciones que ya cumplen ISO 27001 o que adoptan un marco como CIS Controls[7] parten con mucha ventaja. Un equipo que ya aplica prácticas SRE maduras —véase Aplicar el libro de SRE de Google sin ser Google— tiene la disciplina operativa que NIS2 exige documentada.
Conclusión
NIS2 no es una regulación optativa ni fácil de postergar. Su impacto en el día a día del equipo técnico va desde política de accesos hasta diseño de sistemas de detección. La preparación temprana es la única forma realista de llegar en forma a la fecha límite.
