Inicio/Protección de datos/Ciberseguridad y NIS2
Ciberseguridad legal y NIS2
La ciberseguridad ha dejado de ser un asunto exclusivamente técnico. La directiva NIS2 traslada la responsabilidad de la gestión del riesgo a los órganos de dirección, exige medidas concretas, impone plazos de notificación de incidentes y extiende sus efectos a la cadena de suministro.
A quién alcanza
NIS2 amplía considerablemente el ámbito respecto de la normativa anterior: incluye sectores de alta criticidad —energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública— y otros sectores críticos como servicios postales, gestión de residuos, fabricación de determinados productos, producción y distribución de alimentos, o proveedores de servicios digitales. Se aplica con criterios de tamaño, con excepciones que pueden incluir a entidades menores por su criticidad. Conviene comprobar el encaje concreto y la norma nacional de transposición aplicable.
Aunque su empresa no esté en el ámbito, sus clientes sujetos a NIS2 le trasladarán exigencias contractuales de seguridad, notificación de incidentes y derecho de auditoría. La cadena de suministro es una de las áreas expresamente cubiertas.
Medidas exigidas
- Análisis de riesgos y políticas de seguridad de los sistemas de información.
- Gestión de incidentes, con detección, respuesta y recuperación.
- Continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
- Seguridad de la cadena de suministro, incluida la relación con proveedores directos.
- Seguridad en adquisición, desarrollo y mantenimiento de sistemas, con gestión de vulnerabilidades.
- Evaluación de la eficacia de las medidas y políticas de criptografía.
- Higiene y formación en ciberseguridad, incluida la de los órganos de dirección.
- Control de accesos, autenticación reforzada y seguridad de las comunicaciones.
Notificación de incidentes
NIS2 establece un régimen escalonado de notificación al equipo de respuesta o a la autoridad competente, con un primer aviso muy rápido, una notificación con más detalle en un plazo corto y un informe final posterior. Ese régimen convive con la notificación de brechas del RGPD, que tiene sus propios plazos y destinatarios: un mismo incidente puede exigir dos notificaciones distintas, y conviene tener el protocolo escrito para no confundirlas.
| Marco | Qué se notifica | A quién |
|---|---|---|
| RGPD | Brechas de datos personales con riesgo | Autoridad de protección de datos y, en su caso, afectados |
| NIS2 | Incidentes significativos en los servicios | Autoridad competente o CSIRT |
| Contractual | Según lo pactado con clientes y proveedores | La contraparte, en el plazo acordado |
| Penal | Denuncia por delitos informáticos | Fuerzas y cuerpos de seguridad |
La responsabilidad de la dirección
NIS2 exige que los órganos de dirección aprueben las medidas de gestión de riesgos, supervisen su aplicación y reciban formación específica, y prevé que puedan ser considerados responsables del incumplimiento. Es un cambio de fondo: la ciberseguridad deja de ser una partida delegada en sistemas y pasa a ser una materia de gobierno corporativo, con la documentación que eso exige.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre ciberseguridad y NIS2
¿Cómo sé si nos aplica NIS2?
Hay que contrastar el sector de actividad con los anexos de la directiva y con la norma nacional de transposición, y comprobar los criterios de tamaño y las excepciones por criticidad. El análisis debe documentarse aunque el resultado sea negativo, porque acredita diligencia y porque los clientes lo preguntarán. Y conviene rehacerlo si la empresa cambia de actividad o crece.
¿Basta con lo que ya hacemos por el RGPD?
No. El RGPD exige medidas de seguridad respecto de los datos personales; NIS2 se ocupa de la seguridad de los sistemas y servicios en su conjunto, con obligaciones de gobierno, continuidad, cadena de suministro y notificación propias. Se solapan en parte y conviene integrarlas en un único sistema de gestión, pero ninguno de los dos marcos cubre al otro.
¿Esto es trabajo de abogados o de informáticos?
De ambos, y ahí está el problema habitual: las medidas técnicas las implanta el equipo de sistemas o un proveedor especializado, pero el marco de obligaciones, los contratos con proveedores, los protocolos de notificación y la documentación de gobierno son trabajo jurídico. Lo que hacemos es articular esa coordinación y garantizar que el resultado sea acreditable, no solo eficaz.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.