La Directiva NIS2[1] (Network and Information Security 2), aprobada en diciembre de 2022 con plazo de transposición hasta octubre de 2024, amplía el alcance del marco europeo de ciberseguridad. Sustituye a NIS1 de 2016 y representa el mayor cambio regulatorio en ciberseguridad para organizaciones europeas desde la entrada en vigor del RGPD[2]. Para equipos técnicos, entender sus implicaciones prácticas es tarea que no admite demora.

Puntos clave

  • NIS2 amplía el ámbito de 7 a 18 sectores, incluyendo salud, administración pública digital, espacio e investigación.

  • Define 10 categorías de medidas técnicas mínimas exigibles por nombre.

  • Las sanciones se alinean con el RGPD: hasta 10 millones de euros o el 2 % de la facturación global.

  • Los órganos directivos responden personalmente por incumplimientos graves.

  • El plazo de transposición de los Estados miembro es octubre de 2024.

Qué cambia respecto a NIS1

NIS1 cubría un conjunto reducido de sectores y dejaba mucha discrecionalidad a cada Estado miembro en cómo interpretarla. El resultado fue una aplicación desigual y un alcance limitado. NIS2 corrige las tres carencias principales:

  • Alcance ampliado. Pasa de 7 sectores a 18, cubriendo salud, administración pública digital, servicios postales, gestión de residuos, espacio e investigación, entre otros. Las medianas y grandes empresas de esos sectores caen dentro del ámbito automáticamente.

  • Medidas mínimas más concretas. NIS1 exigía "medidas técnicas y organizativas apropiadas"; NIS2 lista 10 categorías específicas: gestión de riesgos, respuesta a incidentes, continuidad de negocio, seguridad de la cadena de suministro, cifrado, formación, control de accesos, MFA, políticas de vulnerabilidades y auditorías.

  • Sanciones alineadas con el RGPD. Hasta 10 millones de euros o el 2 % de la facturación anual global, lo que sea mayor. Además, la responsabilidad de los órganos directivos es explícita: un CEO o CTO puede responder personalmente por incumplimientos graves.

Bandera de la Unión Europea, marco regulatorio al que pertenece la Directiva NIS2 de ciberseguridad

Obligaciones que se vuelven críticas

Para equipos de operaciones y desarrollo, tres áreas concentran la mayor carga de trabajo.

Notificación de incidentes

NIS2 introduce una escalada temporal de notificación obligatoria:

  • 24 horas desde la detección: alerta temprana a la autoridad competente.

  • 72 horas: notificación con evaluación inicial.

  • 30 días: informe final con detalle de causas, impacto y medidas correctivas.

Esto convierte el incident response en un procedimiento con runbook y cronómetro. Para equipos que actualmente gestionan incidentes con prácticas informales, es la mayor inversión que pide la directiva. Un sistema de alertas sólido, como el descrito en la cobertura sobre observabilidad Kubernetes con Pixie, es la base técnica sobre la que se apoya ese runbook.

Seguridad de la cadena de suministro

Por primera vez la regulación europea aborda explícitamente la cadena de suministro. Si usas proveedores SaaS, servicios cloud, librerías open-source con riesgo crítico o contratistas con acceso a sistemas, debes evaluar y documentar su seguridad. No basta con que tu propio sistema sea seguro: el conjunto de la cadena también debe serlo.

Esto enlaza con tecnologías como Sigstore[3] y SLSA[4] que hacen trazable la procedencia del software. Cada capa adoptada antes de la fecha límite es esfuerzo de cumplimiento que no tendrás que hacer después.

Autenticación multifactor obligatoria

MFA deja de ser una recomendación y pasa a ser obligatorio para todos los accesos privilegiados:

  • Infraestructuras con SSH tradicional.

  • Paneles de administración web.

  • Cuentas de servicio cloud con capacidad de causar impacto operativo significativo.

La forma concreta (TOTP, WebAuthn, llaves hardware) queda a discreción del operador, pero la ausencia de MFA es una no-conformidad directa.

Quién está incluido

NIS2 distingue dos niveles:

  • Entidades esenciales (energía, transporte, banca, agua, salud, infraestructura digital): medidas más estrictas y supervisión ex ante.

  • Entidades importantes (administración digital, postal, química, investigación, manufactura digital, SaaS, redes sociales medianas): mismas obligaciones técnicas, supervisión ex post.

El umbral: medianas (50+ empleados o 10+ M€ de facturación) y grandes empresas de esos sectores. Para saber si tu organización entra, la European Union Agency for Cybersecurity (ENISA)[5] mantiene una guía de sectores actualizada.

Plan de preparación

Un roadmap típico para organizaciones que empiezan a prepararse se estructura en cuatro fases:

  • Q3: Assessment de brecha. Auditoría contra las 10 medidas. ¿Qué existe documentado, qué existe de facto sin documentación, qué falta?

  • Q4: Plan de remediación priorizado. MFA, inventario de proveedores críticos, runbooks de incidentes. Estos tres elementos son los que más tiempo consumen.

  • H1 siguiente: Ejecución. Implementación de los controles faltantes y pruebas de incidente simulado (tabletop exercises[6]).

  • H2 siguiente: Validación. Auditoría final antes de la fecha límite de transposición de cada Estado miembro.

Organizaciones que ya cumplen ISO 27001 o que adoptan un marco como CIS Controls[7] parten con mucha ventaja. Un equipo que ya aplica prácticas SRE maduras (véase Aplicar el libro de SRE de Google sin ser Google) tiene la disciplina operativa que NIS2 exige documentada.

Conclusión

NIS2 no es una regulación optativa ni fácil de postergar. Su impacto en el día a día del equipo técnico va desde política de accesos hasta diseño de sistemas de detección. La preparación temprana es la única forma realista de llegar en forma a la fecha límite.

Disponible también en inglés: NIS2: What Europe’s New Directive Changes for Cybersecurity.

Preguntas frecuentes

¿Cómo sé si mi empresa entra en el ámbito de NIS2?

Entran automáticamente las medianas y grandes empresas (50+ empleados o 10+ M€ de facturación) de los 18 sectores cubiertos, frente a los 7 de NIS1. Se distinguen entidades esenciales (energía, transporte, banca, agua, salud, infraestructura digital), con supervisión ex ante. Las entidades importantes (administración digital, postal, química, investigación, manufactura digital, SaaS, redes sociales medianas) tienen las mismas obligaciones técnicas pero supervisión ex post. ENISA mantiene una guía de sectores actualizada.

¿En qué plazos hay que notificar un incidente bajo NIS2?

Son tres escalones desde la detección: alerta temprana a la autoridad competente en 24 horas, notificación con evaluación inicial a las 72 horas. El informe final, con causas, impacto y medidas correctivas, va a los 30 días. Eso convierte la respuesta a incidentes en un procedimiento con runbook y cronómetro; para equipos que hoy gestionan incidentes con prácticas informales, es la mayor inversión que exige la directiva.

¿Es obligatorio el MFA con NIS2 y en qué accesos?

Sí, deja de ser una recomendación y pasa a ser obligatorio para todos los accesos privilegiados. Eso incluye infraestructuras con SSH tradicional, paneles de administración web y cuentas de servicio cloud capaces de causar impacto operativo significativo. La forma concreta (TOTP, WebAuthn o llaves hardware) queda a discreción del operador. La ausencia de MFA es una no-conformidad directa, con sanciones de hasta 10 millones de euros o el 2 % de la facturación global.

Fuentes

  1. Directiva NIS2
  2. RGPD
  3. Sigstore
  4. SLSA
  5. European Union Agency for Cybersecurity (ENISA)
  6. tabletop exercises
  7. marco como CIS Controls