Guía técnica sobre la Directiva (UE) 2022/2555 para organizaciones con activos TI, OT e infraestructura física. Explica el ámbito de aplicación, la responsabilidad de la dirección, la correspondencia entre el artículo 21 y las normas ISO/IEC 27001 e IEC 62443, los plazos de notificación de incidentes y cómo estructurar una hoja de ruta de cumplimiento realista.
La Directiva (UE) 2022/2555, conocida como NIS2, establece el marco europeo de ciberseguridad para redes y sistemas de información. Según la Directiva (UE) 2022/2555, los Estados miembros debían adoptar y publicar sus medidas nacionales de transposición antes del 17 de octubre de 2024, y la norma se aplica desde el 18 de octubre de 2024. El perímetro es amplio: alcanza a entidades de 18 sectores que sean medianas o mayores, es decir, con al menos 50 empleados y un volumen de negocio o balance superior a 10 millones de euros. Este artículo se centra en un ángulo concreto, que es cómo traducir los requisitos del artículo 21 a controles verificables, apoyándose en ISO/IEC 27001 para el sistema de gestión de seguridad de la información e IEC 62443 para entornos de automatización y control industrial. Es un enfoque especialmente útil para organizaciones con activos físicos, instalaciones y tecnología operacional, donde la ciberseguridad no es únicamente un asunto del departamento de TI. | Según la Directiva (UE) 2022/2555, NIS2 cubre 18 sectores, entre ellos energía, transporte, banca, salud, infraestructura digital, gestión de servicios TIC, administración pública, espacio, fabricación, alimentación, productos químicos, servicios postales y de mensajería, e investigación. Respecto al tamaño, según la Directiva (UE) 2022/2555, artículos 2 y 3, la mayoría de las entidades privadas incluidas lo están por ser medianas o mayores, generalmente con al menos 50 empleados y un volumen de negocio anual o balance general superior a 10 millones de euros. Las entidades más pequeñas pueden quedar incluidas si son designadas de forma específica o si prestan servicios críticos. En la práctica, conviene no limitarse a comprobar el sector y el tamaño de la sociedad, sino revisar qué actividades concretas del grupo empresarial caen dentro de los anexos de la Directiva, si la entidad presta servicios a clientes que a su vez son entidades reguladas (lo que traslada exigencias contractuales por la cadena de suministro) y si existen designaciones específicas por parte de la autoridad nacional competente. | Una directiva europea no es directamente exigible a las empresas como lo sería un reglamento: necesita una ley nacional que la transponga. ENISA, la Agencia de la Unión Europea para la Ciberseguridad, indica que la cobertura española más amplia sigue dependiendo de la legislación nacional de transposición, lo que constituye la principal incertidumbre para una organización en muchos Estados miembros en 2026. Sin embargo, esto no significa que convenga esperar. Los controles que exige el artículo 21 son técnicamente exigentes y su implantación requiere meses de trabajo, sobre todo cuando incluye inventario de activos, segmentación de redes, gestión de proveedores y formación del personal. Una organización que parte de una base sólida (por ejemplo, un sistema de gestión certificable conforme a ISO/IEC 27001 o el cumplimiento del Esquema Nacional de Seguridad en el ámbito público) puede reducir de forma considerable el esfuerzo posterior. Para seguir el texto nacional definitivo, la fuente de referencia es el boletín oficial del Estado miembro correspondiente y, para orientación técnica, las publicaciones de ENISA sobre implantación técnica de NIS2. | Según la Directiva (UE) 2022/2555, artículos 3 y 32 a 33, NIS2 distingue entre entidades esenciales y entidades importantes. Las esenciales están sujetas a facultades de supervisión proactiva, mientras que las importantes se someten, por regla general, a una supervisión ex post, es decir, tras indicios o evidencias de incumplimiento. Esta distinción no cambia el listado de medidas del artículo 21, pero sí la intensidad probable del escrutinio. Una entidad esencial debe estar preparada para auditorías, inspecciones y solicitudes de información sin previo aviso. Una entidad importante debe, igualmente, poder demostrar que cumple, porque la carga de la prueba se activa en cuanto la autoridad sospeche un incumplimiento o se produzca un incidente relevante. | Según la Directiva (UE) 2022/2555, artículo 20, los órganos de dirección deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su aplicación y pueden ser considerados responsables de las infracciones. Es uno de los cambios más relevantes de NIS2, porque eleva la ciberseguridad desde un asunto técnico a una obligación de gobierno corporativo. Para un consejo de administración o un comité de dirección, esto implica disponer de evidencias concretas: actas que reflejen la aprobación de la política de seguridad y del análisis de riesgos, informes periódicos de estado de los controles con indicadores y planes de acción, formación específica para los directivos de modo que puedan evaluar los riesgos con criterio, y asignación clara de recursos y responsables (incluida la figura que coordina las notificaciones de incidentes). ISO/IEC 27001 resulta especialmente útil en este punto, porque exige el compromiso de la alta dirección, una política aprobada, objetivos medibles y revisión por la dirección; esos requisitos generan, casi como subproducto, la documentación que NIS2 espera ver. | Según la Directiva (UE) 2022/2555, artículo 21, se exigen expresamente medidas de análisis de riesgos, gestión de incidentes, continuidad de negocio, gestión de crisis, seguridad de la cadena de suministro, seguridad en el desarrollo y mantenimiento, gestión de vulnerabilidades, criptografía, control de acceso, gestión de activos, autenticación multifactor y formación del personal. El artículo adopta un enfoque basado en riesgos y no prescribe una norma concreta, de modo que la forma más eficiente de trabajar es construir una matriz de correspondencia entre cada medida y los controles de una norma reconocida. En el dominio TI, ISO/IEC 27001 ofrece el marco del sistema de gestión y, mediante su Anexo A, un catálogo de controles que cubre la mayoría de las medidas del artículo 21. Un enfoque ordenado incluiría: evaluación y tratamiento de riesgos con declaración de aplicabilidad; inventario de activos con propietarios, clasificación de la información, privilegios mínimos y autenticación multifactor para accesos administrativos y remotos; política de uso de cifrado, gestión de claves y revisión de protocolos obsoletos; cláusulas contractuales con proveedores, evaluación previa y seguimiento de terceros con acceso a sistemas o datos; ciclo de vida de desarrollo seguro, parcheo y gestión de vulnerabilidades con plazos definidos; y procedimientos de incidentes, continuidad y crisis con pruebas periódicas coherentes con los plazos de notificación. | En entornos industriales, energéticos o sanitarios, los activos críticos no son únicamente servidores, sino también controladores, sistemas SCADA, sistemas de gestión de edificios y equipos conectados cuya disponibilidad depende de la red. La serie IEC 62443 aborda esta realidad con conceptos como zonas y conductos, niveles de seguridad objetivo y requisitos para integradores y fabricantes de componentes. Su aplicación práctica incluye segmentar la red OT respecto a la red corporativa, definir qué comunicaciones están permitidas entre zonas, controlar el acceso remoto de mantenedores y exigir requisitos de seguridad a los proveedores de equipos. Todo ello se alinea directamente con las medidas de control de acceso, seguridad de la cadena de suministro y gestión de vulnerabilidades del artículo 21. La dificultad habitual en entornos OT es que no siempre se puede aplicar parches con rapidez, por lo que los controles compensatorios (como la segmentación y la monitorización) adquieren más peso. Este solapamiento entre TI y OT es especialmente visible en la ingeniería para instalaciones de fabricación e Industria 4.0, donde la conectividad de las líneas de producción amplía la superficie de ataque, y en la generación y distribución de energía, un sector incluido de forma expresa en el ámbito de la Directiva. Los hospitales, por su parte, combinan sistemas de información clínica con equipos electromédicos, climatización crítica y suministro eléctrico de respaldo, por lo que una evaluación de riesgos NIS2 en ese contexto debe incluir esos sistemas de edificio y no solo la red administrativa. | Según la Directiva (UE) 2022/2555, artículo 23, ante un incidente significativo hay que enviar una alerta temprana en un máximo de 24 horas, una notificación del incidente en 72 horas y un informe final en el plazo de un mes. Estos plazos son un parámetro de diseño para los procesos internos, no un trámite posterior. Cumplirlos exige haber resuelto antes varias cuestiones: criterios internos para decidir cuándo un incidente es significativo (con un responsable que pueda tomar esa decisión fuera del horario laboral), registro de eventos y capacidad de detección suficientes tanto en TI como en OT, canales y contactos preparados con el equipo de respuesta a incidentes nacional competente, y plantillas de comunicación junto con ensayos periódicos mediante simulacros de la secuencia completa. Una dificultad frecuente es la cadena de suministro: si un proveedor gestionado sufre un incidente que afecta al servicio de la entidad, el reloj corre igualmente para esta. Por eso los contratos con proveedores deberían fijar plazos de aviso considerablemente más cortos que los que la entidad tiene frente a la autoridad. | Según la Directiva (UE) 2022/2555, artículo 34, el importe máximo de las multas administrativas es, para las entidades esenciales, de al menos 10 millones de euros o el 2 % del volumen de negocio anual mundial, lo que sea mayor. Para las entidades importantes, es de al menos 7 millones de euros o el 1,4 % del volumen de negocio anual mundial, de nuevo lo que sea mayor. Son importes máximos mínimos que los Estados miembros deben prever, de modo que la ley nacional concreta el régimen final. Conviene recordar que el riesgo no es únicamente económico: junto a las multas, la responsabilidad de los órganos de dirección y las facultades de supervisión forman parte del conjunto de consecuencias posibles. El Reglamento de Ejecución (UE) 2024/2690 es un acto de la Comisión Europea que fija requisitos técnicos y metodológicos detallados para determinadas categorías de infraestructura digital, gestión de servicios TIC y proveedores digitales; si la organización pertenece a alguna de esas categorías, no basta con leer la Directiva, ya que este reglamento concreta cómo deben aplicarse las medidas y cuándo un incidente se considera significativo. Para el resto de sectores, sirve como referencia útil del nivel de detalle esperable por parte de los supervisores. | Un programa eficaz de cumplimiento suele avanzar en fases con entregables que sirvan tanto para el cumplimiento normativo como para la reducción real del riesgo. La secuencia recomendada comprende, en primer lugar, la determinación del ámbito (confirmar si la entidad es esencial, importante o está fuera del perímetro, y qué servicios y sistemas quedan afectados). A continuación, un análisis de brechas que contraste la situación actual con cada medida del artículo 21, apoyándose en la matriz con ISO/IEC 27001 e IEC 62443. El tercer paso es el inventario y modelo de activos, unificando TI, OT y sistemas de edificio, ya que un modelo de información bien estructurado ayuda a mantener la relación entre activos, dependencias y criticidad. Después, el plan de tratamiento de riesgos debe priorizar con criterios de impacto operativo y contar con el respaldo formal de la dirección según el artículo 20. Los procesos de incidentes deben diseñarse y ensayarse para garantizar la secuencia de notificación de 24 horas, 72 horas y un mes. La revisión de proveedores y contratos debe cubrir cláusulas de seguridad, notificación y acceso remoto. Por último, la formación y la mejora continua requieren sesiones para el personal y la dirección, auditorías internas y revisión periódica. Un error habitual es tratar NIS2 como un proyecto documental puntual: los supervisores buscarán evidencias de funcionamiento (registros, pruebas de recuperación, resultados de simulacros y decisiones de la dirección) y no únicamente políticas redactadas.