Directiva NIS2 (UE) 2022/2555: ciberseguridad de la organización

La Directiva (UE) 2022/2555, conocida como NIS2 (Network and Information Systems 2), es el marco europeo que establece un nivel común de ciberseguridad para las organizaciones de sectores críticos. Sustituye a la antigua Directiva NIS de 2016 y amplía enormemente su alcance: pasa de un número reducido de operadores de servicios esenciales a miles de empresas medianas y grandes de 18 sectores, entre ellos la fabricación de maquinaria y la industria alimentaria. Junto al Cyber Resilience Act y al Reglamento (UE) 2023/1230, forma el marco europeo de ciberseguridad en sus tres niveles: organización, producto y máquina.

Objetivo y finalidad de la Directiva NIS2

La directiva europea de ciberseguridad busca que las organizaciones que prestan servicios relevantes para la economía y la sociedad sean capaces de prevenir, detectar y responder a ciberincidentes. A diferencia del Reglamento General de Protección de Datos, NIS2 no protege datos personales: protege la resiliencia de las redes y sistemas de información de los que depende la actividad de la empresa.

Para una empresa industrial, esto significa tratar la ciberseguridad como un riesgo de negocio. Ya no es un tema solo del departamento de informática: la continuidad de una línea de producción depende tanto de sus sistemas IT como de sus redes OT.

Estado de la NIS2: de Europa a España

La Directiva NIS2 se adoptó el 14 de diciembre de 2022 y entró en vigor a nivel europeo el 16 de enero de 2023. Como toda directiva, no se aplica directamente: cada Estado miembro debe transponerla a su derecho nacional. El plazo para hacerlo terminó el 17 de octubre de 2024.

España no cumplió ese plazo. El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, el texto que incorporará NIS2 al ordenamiento español. Esta ley creará el Centro Nacional de Ciberseguridad como autoridad nacional. A fecha de esta publicación sigue en tramitación parlamentaria, y mientras tanto continúa vigente el Real Decreto-ley 12/2018, que transpuso la primera Directiva NIS.

Aun así, esperar a la ley española es un error habitual. Las obligaciones de fondo están definidas en la propia directiva desde 2022, y la transposición fijará sobre todo plazos, autoridades y procedimientos.

¿A qué empresas afecta la NIS2?

La NIS2 aplica, como regla general, a empresas medianas y grandes (a partir de 50 empleados o más de 10 millones de euros de facturación) que operen en alguno de sus 18 sectores. Los sectores se dividen en dos anexos:

• Sectores de alta criticidad (Anexo I): energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública y espacio.
• Otros sectores críticos (Anexo II): servicios postales, gestión de residuos, industria química, producción y distribución de alimentos, fabricación (productos sanitarios, productos informáticos y electrónicos, equipos eléctricos, maquinaria y equipos, vehículos y otro material de transporte), proveedores digitales e investigación.

Para el sector industrial, el punto clave es que la fabricación de maquinaria y equipos y la producción de alimentos están dentro del ámbito de NIS2. Un fabricante de máquinas o una planta alimentaria de tamaño mediano pueden estar obligados aunque nunca se hayan considerado infraestructura crítica.

Entidades esenciales y entidades importantes

NIS2 clasifica a las organizaciones obligadas en dos categorías, con las mismas obligaciones de fondo pero distinta supervisión y sanciones:

Qué exige la NIS2: las medidas del artículo 21

El artículo 21 obliga a adoptar medidas técnicas, operativas y organizativas proporcionadas al riesgo, con un enfoque de "todos los peligros". Es decir, hay que proteger tanto los sistemas como su entorno físico. La directiva fija diez medidas mínimas:

En un entorno industrial estas medidas afectan de lleno a la parte OT: inventario de activos de la planta, segmentación entre redes IT y OT, control del acceso remoto de proveedores y mantenimiento, copias de seguridad de las configuraciones de PLC y gestión de vulnerabilidades de los sistemas de control.

Responsabilidad de la dirección (artículo 20)

Una de las novedades más relevantes de la NIS2 es que la ciberseguridad pasa a ser responsabilidad de la alta dirección. Los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y recibir formación en ciberseguridad. En caso de incumplimiento, pueden responder de ello. La ciberseguridad deja así de ser un tema técnico delegable y entra en la agenda del comité de dirección.

Notificación de incidentes: 24 horas, 72 horas y 1 mes

Cuando se produce un incidente significativo, la NIS2 establece un procedimiento de notificación escalonado ante el CSIRT o la autoridad competente:

Sanciones de la Directiva NIS2

El régimen sancionador armoniza unos importes máximos mínimos en toda la Unión:

• Entidades esenciales: hasta 10 millones de euros o el 2 % de la facturación mundial anual, la cifra que sea mayor.
• Entidades importantes: hasta 7 millones de euros o el 1,4 % de la facturación mundial anual, la cifra que sea mayor.

A las multas se suman medidas administrativas como requerimientos de cumplimiento, auditorías de seguridad o, en los casos más graves para entidades esenciales, la suspensión temporal de responsabilidades directivas.

Referencia técnica: ISO/IEC 27001

La NIS2 no exige una norma concreta, pero la referencia natural para implantar sus medidas es la familia ISO/IEC 27000, en especial la ISO/IEC 27001 sobre sistemas de gestión de la seguridad de la información (SGSI). Una organización con un SGSI basado en ISO/IEC 27001 tiene cubierta buena parte de la estructura que exige el artículo 21. En entornos industriales se complementa habitualmente con la serie IEC 62443 para la parte OT.

NIS2, Cyber Resilience Act y Reglamento de Máquinas: tres niveles complementarios

La NIS2 no está sola. El marco europeo de ciberseguridad trabaja en tres niveles que se complementan:

En una planta alimentaria con una línea de paletizado, las tres regulaciones conviven:

• la empresa está sujeta a NIS2 como organización del sector alimentario;
• la máquina, como producto con elementos digitales, al Cyber Resilience Act;
• sus funciones de seguridad, al requisito 1.1.9 del Reglamento (UE) 2023/1230, que desarrollará la futura EN 50742.

Importancia para la práctica

Para las empresas industriales, la NIS2 cambia la conversación con sus proveedores de maquinaria. Una organización obligada debe garantizar la seguridad de su cadena de suministro. Por eso exigirá cada vez más a los fabricantes que sus máquinas lleguen con arquitecturas seguras, accesos protegidos y documentación de ciberseguridad.

Aquí es donde se cruzan la seguridad de la organización y la seguridad de la máquina. Proteger las funciones de seguridad frente a manipulaciones ya no es solo una buena práctica: es un requisito del Reglamento de Máquinas. tec.nicum aborda esta parte, la protección de las funciones de seguridad según el requisito 1.1.9 y la metodología de la EN 50742, incluida la determinación del Safety-Related Security Level (SRSL). Lo hace dentro de sus proyectos de expediente técnico marcado CE (MCE) y de evaluación de parques de maquinaria (PARQ).

Preguntas frecuentes sobre la Directiva NIS2