El 8 de julio la Comisión Europea llevó a España, junto con Irlanda, Francia y Países Bajos, ante el Tribunal de Justicia de la UE por no transponer la Directiva NIS2…
¡Incluye sanciones económicas!
Si esto te suena lejano, ahí va el dato que cambia la conversación: NIS2 pone la responsabilidad directamente sobre los órganos de administración. Ya no es «el problema del CISO» o «algo que ve IT»
Es gobierno corporativo, con exposición personal para quien dirige.
1. Tres formas en las que vemos a las empresas quedarse atrás, y ninguna tiene que ver con el tamaño o el sector:
- Esperar a que salga la ley española para empezar. El razonamiento suena lógico: «si todavía no está aprobada, ¿para qué adelantarme?». El problema es que las obligaciones de fondo no dependen de esa ley, nacen de la directiva europea desde 2022. Y cuando el texto español se publique, entrará en vigor casi sin periodo de transición. Quien esperó tendrá semanas para hacer lo que otros llevan meses construyendo…
- Delegar todo en IT y no volver a mirarlo. Hemos visto consejos que tratan esto como un ticket técnico que se resuelve solo con comprar una herramienta. NIS2 exige gestión de riesgos, continuidad de negocio, control de la cadena de suministro. Son decisiones de negocio, no solo de infraestructura. Si el consejo no se involucra, está firmando un cheque en blanco sobre algo de lo que ahora responde directamente.
-
Confundir «estamos protegidos» con «cumplimos». Tener ciberseguros o un firewall decente no es lo mismo que tener los procesos de notificación de incidentes en 24 horas, 72 horas y un mes que exige la norma. Esta es de las trampas más comunes: la empresa se siente segura por invertir en tecnología, pero no tiene el proceso documentado que le van a pedir cuando algo falle.
El plazo original venció en octubre de 2024.
Ya vamos por el segundo requerimiento formal de Bruselas y ahora la remisión al Tribunal de Justicia… La ley española puede tardar en llegar, pero el reloj de las obligaciones reales no se ha detenido nunca.
2. Pasos por los que podrías empezar:
1. Saber si la norma le aplica y a qué nivel
Antes de mover un dedo, hay que confirmar si la empresa cae dentro de alguno de los 18 sectores críticos y si supera los umbrales (50 empleados o 10 millones de facturación). Dentro de NIS2 hay dos categorías, entidades esenciales y entidades importantes, y el nivel de exigencia y supervisión cambia según en cuál caigas. Sin esto claro, cualquier plan posterior se construye sobre arena.
2. Hacer un diagnóstico de brecha real, no uno de escaparate
Comparar lo que la empresa tiene hoy (políticas, herramientas, procesos) contra lo que exige el artículo 21 de la directiva: gestión de riesgos, seguridad de la cadena de suministro, gestión de incidentes, continuidad de negocio, cifrado, autenticación multifactor. La mayoría de empresas descubre aquí que tiene la tecnología pero no el proceso documentado, o al revés.
3. Poner nombre y apellido a quién responde
NIS2 exige que el órgano de administración apruebe las medidas de ciberseguridad y reciba formación sobre los riesgos. Esto significa designar (o confirmar) quién lidera el proyecto puertas adentro, con acceso real al consejo, y no dejarlo enterrado tres niveles por debajo en el organigrama.
4. Revisar la cadena de suministro
Es de los puntos que más se subestima. La directiva no solo mira la seguridad interna, también la de proveedores y terceros con acceso a sistemas críticos. Si nadie ha auditado esos contratos, es el momento de pedir cláusulas de seguridad y evidencias a los proveedores clave.
5. Montar (o pulir) el protocolo de notificación de incidentes
NIS2 exige una alerta temprana en 24 horas, una notificación de incidente en 72 horas y un informe final en un mes. Si la empresa no tiene ensayado quién avisa a quién y con qué plantilla cuenta en esas primeras 24 horas, cuando ocurra el incidente real se va a perder tiempo justo cuando menos se puede permitir.
6. Formación más allá del departamento técnico
La directiva pone el foco en formación para la alta dirección, no solo para los equipos de IT. Un consejo que no entiende los riesgos no puede aprobar medidas con criterio, y tampoco puede responder si algo sale mal.
7. Documentar todo, aunque la ley española siga sin publicarse
Actas de aprobación de medidas, políticas firmadas, registros de formación, evidencias de auditoría a proveedores. El día que llegue una inspección o un incidente, lo que salva a la empresa no es haber hecho las cosas bien de palabra, es poder demostrarlo por escrito.
8. Fijar un calendario propio, sin esperar al BOE
Con la Comisión Europea presionando y el caso ya en el Tribunal de Justicia, lo razonable es asumir que la ley española llegará con poco margen de adaptación. Las empresas que se preparan ahora tratan la fecha de publicación como un cierre administrativo, no como el punto de partida.
Si tu empresa está en alguno de los 18 sectores que cubre NIS2 (50 empleados o más, o 10 millones de facturación), la pregunta inminente para el próximo consejo es «¿qué tenemos ya y qué nos falta?»
Solicita la primera consultoría gratis👇
Contacto