Directiva NIS2
La directiva europea que amplía la ciberseguridad obligatoria a miles de empresas y hace responsable a la dirección. Le decimos si le aplica y le preparamos.
Directiva (UE) 2022/2555
- Qué se juega
- Hasta 10 M€ o el 2% de la facturación global
A quién aplica
- Entidades esenciales e importantes de 18 sectores
- Empresas medianas y grandes en sectores críticos
- Proveedores clave de estas entidades
Plazo habitual
3 a 6 meses
Directiva (UE) 2022/2555
En detalle
La directiva que amplía la ciberseguridad obligatoria a miles de empresas.
La Directiva (UE) 2022/2555, conocida como NIS2, sustituye a la NIS original y multiplica el número de organizaciones obligadas. Afecta a empresas medianas y grandes de 18 sectores, desde energía, transporte y sanidad hasta fabricación, alimentación, gestión de residuos, servicios digitales y proveedores de IT gestionada.
Distingue entre entidades esenciales e importantes. Ambas deben aplicar medidas de gestión de riesgos (artículo 21), notificar incidentes significativos en plazos muy cortos y garantizar la seguridad de su cadena de suministro. Las esenciales tienen supervisión proactiva; las importantes, reactiva.
La gran novedad es la responsabilidad de la dirección: los órganos de administración deben aprobar las medidas, supervisarlas y formarse, y pueden responder personalmente por los incumplimientos.
Casos reales
Lo que más preguntan nuestros clientes.
¿Me afecta?
Analizamos su sector, tamaño y actividad para determinar si es entidad esencial, importante o está fuera del ámbito, y lo dejamos documentado.
Mis clientes me lo exigen
Aunque no esté obligado directamente, si su cliente lo está, le exigirá medidas de seguridad por contrato a través de la cadena de suministro.
La dirección no sabe qué firmar
Formamos al consejo para que entienda los riesgos, las medidas y su responsabilidad, tal como exige la directiva.
Qué recibe
Lo que tendrá al terminar.
- Análisis de aplicabilidad y clasificación
- Evaluación frente a las 10 medidas del artículo 21
- Procedimiento de notificación de incidentes
- Gestión de riesgos de proveedores
- Formación certificada para la dirección
- Plan de continuidad y gestión de crisis
Cómo trabajamos
Tres formas de abordarlo.
Análisis de brecha
Sepa exactamente qué le falta.
- 2 a 3 semanas
- Informe priorizado
- Presupuesto cerrado
- Más elegido
Implantación completa
Le llevamos hasta la auditoría.
- Políticas y controles
- Evidencias preparadas
- Acompañamiento en auditoría
Mantenimiento
Para que siga cumpliendo cada año.
- Auditoría interna anual
- Seguimiento de cambios
- Soporte ante el auditor
NIS2
En qué nos centramos
- 01
Gestión de riesgos y medidas técnicas
- 02
Notificación en 24 h, 72 h y 1 mes
- 03
Seguridad de la cadena de suministro
- 04
Formación y responsabilidad de la dirección
Directiva NIS2
Cómo trabajamos
- 1
Diagnóstico
Gap analysis frente al marco y priorización por riesgo.
- 2
Plan
Hoja de ruta con responsables, presupuesto y calendario.
- 3
Implantación
Políticas, controles técnicos y evidencias, con su equipo.
- 4
Auditoría
Preauditoría interna y acompañamiento ante el auditor.
FAQ
Preguntas frecuentes
¿Cuánto cuesta prepararse para Directiva NIS2?
Depende del alcance y de su punto de partida. Tras la primera llamada le damos un presupuesto cerrado, sin sorpresas.
¿Puedo combinarlo con otros marcos?
Sí. Reutilizamos los controles comunes para que cada certificación adicional cueste mucho menos.
¿Una empresa pequeña está afectada?
Por regla general, no: el umbral es de 50 empleados o 10 millones de facturación. Hay excepciones, como proveedores de DNS, servicios de confianza o entidades únicas en su país.
¿Qué hay que notificar exactamente?
Los incidentes significativos: una alerta temprana en 24 horas, una notificación con evaluación inicial en 72 horas y un informe final en un mes.
Servicios
Siguiente paso
¿Hablamos de su caso?
30 minutos con un socio, no con un comercial. Sin compromiso.