¿Qué es la directiva NIS2?
La NIS2 es la directiva de ciberseguridad actualizada de la UE que busca elevar la base de referencia para la seguridad de las redes y de la información en toda la Unión Europea. Esta directiva amplía el ámbito de quién debe cumplir con la normativa, refuerza los requisitos de notificación ante incidentes y establece expectativas más claras sobre cómo las organizaciones deben gestionar los riesgos cibernéticos en la práctica.
A nivel empresarial, la NIS2 no se trata simplemente de «más controles de seguridad».
De hecho, representa un cambio hacia una gobernanza cibernética demostrable, donde se espera que las organizaciones puedan demostrar que el riesgo se gestiona de modo activo, que los incidentes se administran de manera consistente y que la rendición de cuentas se sitúa en los niveles de responsabilidad adecuados.
OneTrust apoya este cambio al aportar a las organizaciones una plataforma única y estructurada para gestionar los riesgos cibernéticos, los flujos de trabajo de incidentes, la supervisión de terceros y las evidencias de gobernanza, para que los requisitos de la directiva NIS2 puedan cumplirse a partir de procesos repetibles en lugar de tener que coordinar diferentes equipos cada vez que surge la necesidad.
¿A quién se aplica la directiva NIS2?
La NIS2 amplía su alcance a entidades de más sectores; generalmente, al agruparlas en esenciales e importantes, lo que conlleva ciertas diferencias en la supervisión y la aplicación de la ley.
Esta es una forma práctica de comprender el alcance:
- Si tu organización respalda servicios críticos, infraestructura nacional, servicios digitales clave o fabricación y logística a gran escala, debes asumir que la directiva NIS2 se te aplica a menos que puedas confirmar lo contrario.
- Si vendes en sectores regulados o críticos, la NIS2 podría afectarte a raíz de las expectativas de la cadena de suministros, incluso si no cualificaras de manera directa.
Los Estados miembros también tienen que crear y mantener listas de entidades esenciales e importantes, con revisiones periódicas.
Entidades esenciales y entidades importantes
Por lo general, el término «esencial» se asigna a sectores vinculados con la infraestructura crítica y los servicios de alto impacto, mientras que el término «importante» engloba a industrias adicionales que se utilizan de modo amplio en la economía. Dicho esto, la categorización exacta y los umbrales dependen de cada transposición nacional.
Entre los sectores que suelen incluirse en el ámbito de la NIS2, se encuentran la energía, el transporte, la salud, las infraestructuras digitales y otras categorías de servicios críticos (por citar algunos ejemplos).
Si operas en varios países de la UE, no des por sentado que la interpretación de un país concreto coincide con la del resto. La directiva NIS2 está diseñada para armonizar las expectativas, pero su aplicación se efectúa a nivel nacional.
Requisitos principales de la directiva NIS2
La directiva NIS2 refuerza las expectativas sobre algunos temas recurrentes: gestión de riesgos, notificación de incidentes, supervisión de terceros y rendición de cuentas sobre gobernanza. Estos requisitos son amplios de manera intencionada, puesto que la directiva no se preocupa realmente por las herramientas que utilizas pero sí que se centra en cómo funciona la gobernanza en la práctica.
En lo que respecta a un programa bien preparado para la NIS2, los aspectos que se enumeran abajo son fundamentales.
1) Medidas de gestión de riesgos de ciberseguridad
La NIS2 espera que las organizaciones adopten las medidas adecuadas para gestionar los riesgos cibernéticos en todos los sistemas, servicios y operaciones. En la práctica, esto significa que tus controles deben:
- Estar documentados, para que las expectativas sean claras.
- Implementarse de manera consistente y no de forma selectiva o informal.
- Revisarse a lo largo del tiempo, a medida que vayan cambiando las amenazas, los sistemas y los modelos de negocio.
Este requisito va más allá de redactar políticas o ajustarse a un marco. Los reguladores buscan evidencias de que la gestión de riesgos está bien integrada en las operaciones diarias; es decir, que los controles cuentan con sus responsables, se prueban y se actualizan, y que las deficiencias se identifican y abordan a lo largo del tiempo.
En otras palabras, no enfatiza sobremanera en la política «correcta», sino que lo más importante es demostrar que la gestión de riesgos está activa y es efectiva.
2) Obligaciones para la notificación de incidentes con plazos ajustados
La directiva NIS2 introduce un modelo estructurado de notificación de incidentes que incluye:
- Una alerta temprana en las primeras 24 horas
- Una notificación de incidentes más detallada en un plazo de 72 horas
- Un informe final en el plazo de un mes
Cumplir con estos plazos no es únicamente un desafío para las operaciones de seguridad. Requiere coordinación dentro de toda la organización mientras se está desarrollando el incidente.
Para informar de manera eficaz, las organizaciones necesitan:
- Umbrales claros para saber qué se considera un incidente que se debe notificar
- Responsables y rutas para escalamiento bien definidas
- Una forma de capturar hechos, decisiones y evidencias en tiempo real
- Coordinación en seguridad, asuntos jurídicos, privacidad, comunicaciones y liderazgo
Sin esta estructura, la generación de informes se vuelve reactiva e inconsistente, lo que incrementa los riesgos normativos y de reputación.
3) Gestión de terceros y de la cadena de suministros
La NIS2 pone un mayor énfasis en los riesgos de la cadena de suministros y de terceros, lo que refleja el elevado grado de dependencia de la mayoría de las organizaciones con respecto a sus proveedores externos.
Esto incluye a los proveedores que:
- Hospedan o gestionan sistemas críticos
- Proporcionan servicios gestionados o en la nube
- Tratan datos sensibles u operativos
- Respaldan los servicios principales de la empresa u orientados al cliente
Para las organizaciones que dependen en gran medida de servicios en la nube o de TI subcontratados, la directiva NIS2 cambia las expectativas de las evaluaciones periódicas a la monitorización continua. La gestión de terceros ya no puede tratarse como un cuestionario anual o una casilla de verificación con respecto a las adquisiciones, sino que debe vincularse a las dependencias operativas reales, las evaluaciones de riesgos y la preparación ante incidentes.
4) Rendición de cuentas por parte de los líderes de la organización
La NIS2 refuerza la gobernanza y la rendición de cuentas de modo explícito a nivel de gestión. Es decir, la resiliencia cibernética ya no se enmarca únicamente como una responsabilidad de TI, sino como una obligación por parte de los líderes de la organización.
Esto incluye la expectativa de que los líderes:
- Aprueben medidas de gestión de riesgos
- Comprendan los riesgos cibernéticos más significativos
- Supervisen la respuesta ante incidentes y la generación de informes
- Puedan demostrar una toma de decisiones informada
Para la mayoría de las organizaciones, este es el requisito más difícil de poner en práctica. Y esto no se debe a que los líderes no estén lo suficientemente comprometidos, sino, más bien, porque la supervisión suele estar fragmentada entre diferentes equipos y herramientas. Sin un modelo operativo claro, la visibilidad de los líderes depende de informes manuales, métricas inconsistentes y resúmenes a posteriori. Opciones que se quedan bastante cortas frente al escrutinio regulatorio.
Aquí es donde OneTrust desempeña una función extremadamente práctica, puesto que proporciona a los líderes una visión consistente de los riesgos cibernéticos, los incidentes y la responsabilidad proactiva en toda la organización sin tener que depender de informes individuales sobre cada aspecto.
Cómo se aplica la directiva NIS2
La NIS2 es una directiva, lo que significa que cada Estado miembro de la UE debe transponerla a su legislación nacional y garantizar su cumplimiento a través de sus autoridades nacionales. Aunque la UE fijó el 17 de octubre de 2024 como fecha límite para dicha transposición, su aplicación ha sido desigual y los enfoques a la hora de aplicarla siguen variando en la práctica.
Esto es importante tenerlo en cuenta porque las organizaciones no se evalúan en función de un único reglamento centralizado. En cambio, las expectativas podrían diferir según dónde operes, dónde se presten los servicios críticos y qué autoridad nacional tenga la responsabilidad de monitorizar. Con el tiempo, se espera que la aplicación de la ley sea más consistente, aunque es más que probable que se produzcan variaciones a corto plazo.
Para las organizaciones, esto significa que hay que:
- Efectuar un seguimiento e interpretar los requisitos de la NIS2 en los países donde operas o donde tienen lugar las operaciones críticas.
- Ser consciente de posibles diferencias en los procesos de registro, el enfoque de supervisión y la aplicación de la ley entre los Estados miembros.
- Las organizaciones transfronterizas necesitan una capa de gobernanza que pueda absorber las diferencias nacionales sin forzar programas de cumplimiento normativo por separado ni duplicar los controles país por país.
Por qué la directiva NIS2 es un desafío para la gobernanza
Un error muy común es tratar la NIS2 como una lista de verificación técnica o una iniciativa que solo se centre en la seguridad. Aunque las funciones de ciberseguridad son esenciales, la NIS2 se centra en última instancia en cómo las organizaciones gobiernan sus riesgos cibernéticos y no en únicamente sobre cómo se detectan las amenazas.
En la práctica, la directiva NIS2 obliga a la coordinación de múltiples funciones que rara vez operan dentro de un único modelo operativo:
- Operaciones de seguridad: a cargo de la detección, respuesta y monitorización.
- Riesgo y cumplimiento normativo: a cargo de los controles, la generación de informes y el cumplimiento de la normativa.
- Adquisiciones: a cargo de gestionar la selección de proveedores y la supervisión de terceros.
- Asuntos jurídicos y de privacidad: a cargo de evaluar las implicaciones de los incidentes y las obligaciones de notificación.
- Puestos de liderazgo: a cargo de la supervisión, la rendición de cuentas y las pruebas de gobernanza.
Cuando estos equipos trabajan de manera aislada, las carencias se vuelven bastante evidentes. Incluso las organizaciones con programas de seguridad bien consolidados a menudo tienen dificultades para transformar su actividad en el tipo de resultados de gobernanza que los reguladores esperan ver.
En este caso, los resultados son predecibles:
- Los informes sobre incidentes se vuelven lentos, inconsistentes o incompletos.
- Las evidencias acaban dispersas entre diferentes herramientas, bandejas de entrada y hojas de cálculo.
- Los riesgos de los proveedores se evalúan de forma aislada con respecto a su exposición operativa real.
- Los líderes no pueden responder con confianza si la organización está lista y cómo saberlo.
Por ello, el nivel de preparación frente a la NIS2 se trata mucho mejor como un programa de gobernanza operativa y no como una tarea de cumplimiento normativo de carácter puntual. El objetivo no es únicamente responder a los incidentes, sino demostrar cómo se gestionan, escalan y revisan los riesgos cibernéticos de manera consistente en toda la organización.
Cómo deben actuar las organizaciones en la actualidad
Actuar ahora no significa intentar completar el cumplimiento normativo de la NIS2 ya. Significa desarrollar las capacidades que hagan que el cumplimiento normativo se pueda alcanzar bajo presión y de manera sostenible a lo largo del tiempo.
1) Confirma el ámbito y la rendición de cuentas
Determinar si es probable que seas una entidad esencial o importante en cada país donde operas y donde se prestan servicios críticos. Asigna un responsable para coordinar los aspectos de la NIS2. Sería idóneo que esta persona ostente un puesto interfuncional que pueda aunar la seguridad, los riesgos, las operaciones y los aspectos jurídicos.
2) Crea un flujo de trabajo para incidentes que esté listo para la generación de informes
Cumplir con las expectativas de notificación de 24 horas, 72 horas y 30 días requiere preparación antes de que tenga lugar un incidente.
Esto incluye:
- Desencadenantes internos claros sobre qué constituye un incidente que debe notificarse
- Rutas de escalamiento y autoridad para tomar decisiones bien definidas
- Roles, plantillas y comunicaciones preaprobados
- Un método para capturar hechos, decisiones y evidencias a medida que se van desarrollando los acontecimientos
3) Trata la gestión de terceros como un proceso continuo
Identifica a tus proveedores más críticos y vincula los riesgos de terceros con dependencias operativas reales (como sistemas, accesos, datos y servicios). Las revisiones deben ser repetibles, basarse en riesgos y estar vinculadas al nivel de preparación frente a incidentes, y nunca limitarse a cuestionarios anuales.
4) Crea una única fuente de información fiable para las evidencias de gobernanza
Aquí es donde flaquean muchos programas. La directiva NIS2 no requiere solamente que las organizaciones gestionen los riesgos, sino que demuestren que lo están haciendo.
Un enfoque de gobernanza unificado te ayuda a conectar:
- Controles
- Incidentes
- Supervisión de proveedores
- Rendición de cuentas y aprobaciones
- Evidencias y generación de informes
En este respecto, OneTrust encaja de forma natural, ya que ofrece a las organizaciones una forma estructurada de gestionar el riesgo, los flujos de trabajo de cumplimiento normativo, la supervisión de terceros y las evidencias de gobernanza en un único lugar. Esto permite que el nivel de preparación frente a la NIS2 vaya evolucionando a medida que van cambiando las normas y las expectativas de aplicación a nivel nacional, y todo ello sin tener que reelaborar tus programas desde cero.
La consistencia operativa es lo que de verdad añade valor en lugar de otra herramienta más.
De una obligación a una ventaja
La directiva NIS2 forma parte de un cambio más amplio en la regulación de la UE: la resiliencia cibernética es ahora una expectativa de gobernanza para la junta directiva en vez de una iniciativa de seguridad a nivel administrativo. Los reguladores ya no se centran únicamente en si existen controles, sino en si las organizaciones pueden demostrar de manera consistente cómo se gobiernan, escalan y revisan los riesgos cibernéticos a lo largo del tiempo.
Las organizaciones que abordan la NIS2 como una única carrera hacia el cumplimiento normativo suelen tropezar con los mismos problemas:
- Trabajo duplicado en diferentes países y equipos
- Generación de informes y supervisión de incidentes inconsistente
- Registros de evidencias poco claros o incompletos
- Mayor disrupción cuando los incidentes tienen lugar bajo escrutinio regulatorio
Por el contrario, las organizaciones que invierten en una gobernanza repetible —con responsabilidades claras, flujos de trabajo compartidos y evidencias interconectadas— están mejor posicionadas para adaptarse a las expectativas de cumplimiento que van surgiendo y evolucionando. De hecho, estas dedican menos tiempo a reelaborar los procesos, responden con más confianza durante los incidentes y reducen el coste y la fricción a largo plazo del cumplimiento normativo.
Aquí es donde OneTrust respalda un enfoque mucho más duradero a la hora de estar preparado frente a la directiva NIS2.
Al ofrecer a las organizaciones una forma consistente de gestionar los riesgos cibernéticos, los incidentes, la supervisión de terceros y las evidencias de gobernanza, OneTrust ayuda a transformar la presión normativa en estabilidad operativa, por lo que la resiliencia va aumentando a medida que la organización va creciendo.
Descubre cómo un enfoque basado en la gobernanza puede ayudar a tu organización a prepararse para la NIS2 y estar lista a medida que las expectativas sigan evolucionando.
P+F
