Directiva NIS2: Régimen sancionador y obligaciones críticas para consejos de administración
La transposición de la Directiva (UE) 2022/2555 impone responsabilidad directa e ineludible a la alta dirección en la supervisión de riesgos cibernéticos, con auditorías obligatorias y reporte en 24 horas.
Criterio Crítico: Efecto Cascada en la Cadena de Suministro
Incluso las pequeñas y microempresas que queden formalmente excluidas por volumen están obligadas de facto a alinearse con NIS2 si forman parte de la cadena de suministro de una entidad esencial. Las empresas sujetas a NIS2 están obligadas a auditar la seguridad de sus proveedores.
1. Ámbito de aplicación: Entidades esenciales vs. Entidades importantes
A diferencia de su predecesora (la Directiva NIS de 2016), NIS2 elimina la potestad de los Estados miembros para identificar de forma discrecional a los operadores de servicios esenciales. En su lugar, establece una regla general basada en el tamaño empresarial combinada con la criticidad del sector de actividad.
Se consideran dentro del alcance aquellas medianas y grandes empresas (más de 50 empleados o un volumen de negocio anual superior a 10 millones de euros) que operen en 18 sectores clave clasificados en dos grandes categorías:
- Sectores de alta criticidad (Entidades esenciales): Energía (electricidad, gas, petróleo), transporte (aéreo, ferroviario, marítimo, por carretera), banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital y servicios TIC gestionados (MSP/MSSP), administraciones públicas y espacio.
- Otros sectores críticos (Entidades importantes): Servicios postales y de mensajería, gestión de residuos, fabricación y distribución de sustancias químicas, producción y distribución de alimentos, fabricación de productos sanitarios e informáticos, proveedores de servicios digitales (motores de búsqueda, plataformas de comercio electrónico y redes sociales) e investigación.
2. Responsabilidad legal e indelegable del Consejo de Administración
El artículo 20 de NIS2 introduce el cambio más sustancial en la gobernanza de las organizaciones europeas: los órganos de dirección y los miembros de los consejos de administración deben aprobar formalmente las medidas de gestión de riesgos de ciberseguridad adoptadas por la entidad y supervisar activamente su puesta en práctica.
«Los miembros de los órganos de dirección podrán ser considerados personalmente responsables en caso de incumplimiento de sus obligaciones de garantizar la gestión del riesgo cibernético.»
— Artículo 20, Directiva (UE) 2022/2555
Asimismo, la directiva impone a los miembros de los órganos de dirección la obligación de seguir programas de formación periódica en ciberseguridad para adquirir competencias suficientes que les permitan evaluar los riesgos y evaluar el impacto de las decisiones sobre la seguridad operacional del negocio.
3. Notificación obligatoria de incidentes: El cronograma de 24h y 72h
NIS2 endurece significativamente las obligaciones y plazos temporales para la comunicación de incidentes de seguridad significativos al Centro Criptológico Nacional (CCN-CERT), al INCIBE-CERT o a la autoridad nacional competente en cada caso.
| Fase del Reporte | Plazo Límite | Contenido Requerido |
|---|---|---|
| 1. Alerta Temprana | Máximo 24 horas tras tener constancia | Indicar si el incidente se debe a un acto ilícito o malintencionado y si puede tener repercusión transfronteriza. |
| 2. Notificación del Incidente | Máximo 72 horas | Evaluación inicial del incidente, su gravedad, repercusiones e indicadores de compromiso (IoC). |
| 3. Informe Intermedio | A petición de la autoridad | Actualizaciones relevantes del estado del incidente y avances en la contención. |
| 4. Informe Final | Máximo 1 mes tras el reporte | Descripción detallada, causa raíz identificada, medidas de mitigación y estimación de costes/impacto. |
4. Seguridad en la cadena de suministro y proveedores externos
El artículo 21 exige que las organizaciones adopten un enfoque de gestión de riesgos de tipo "multirriesgo", que abarque explícitamente las vulnerabilidades específicas de cada proveedor directo y prestatario de servicios.
Para cumplir con esta exigencia, las empresas deben verificar que sus proveedores estratégicos cuenten con certificaciones de seguridad contrastadas, tales como la ISO/IEC 27001 o el Esquema Nacional de Seguridad (ENS) en sus niveles Medio o Alto.
5. Régimen sancionador y consecuencias administrativas
Las cuantías de las multas administrativas se han equiparado en severidad al Reglamento General de Protección de Datos (RGPD):
- Entidades Esenciales: Sanciones de hasta 10.000.000 € o el 2% del volumen de negocio total anual a nivel mundial del ejercicio anterior, aplicándose la cuantía que sea mayor.
- Entidades Importantes: Sanciones de hasta 7.000.000 € o el 1,4% del volumen de negocio total anual a nivel mundial.
- Inhabilitación temporal de directivos: Las autoridades competentes tienen la facultad de suspender temporalmente a las personas que ejerzan funciones directivas en entidades esenciales hasta que se subsanen las deficiencias detectadas.
Equipo Técnico
Ramírez & Cobos ConsultoresEspecialistas en auditorías de sistemas de información, implantación de ISO 27001, adecuación al Esquema Nacional de Seguridad (ENS) y asesoramiento de gobierno corporativo para comités de dirección ante la Directiva NIS2.
