Ingeniería técnica y consultoría estratégica para el cumplimiento vinculante de la Directiva NIS2 (Directiva UE 2022/2555). Clasificación formal como Entidad Esencial o Entidad Importante, implantación técnica de las 10 medidas mínimas del Artículo 21, ciberseguridad en la cadena de suministro, protocolos de notificación de incidentes ante el CSIRT en 24h y blindaje de responsabilidad para la Alta Dirección y Consejos de Administración.
Supervisión reforzada, régimen sancionador de hasta 10M€ y convergencia directa con las Guías CCN-STIC y la Directiva CER.
Determinamos su categorización sectorial y elaboramos su plan de cumplimiento.
La Directiva NIS2 (Directiva UE 2022/2555) es la legislación europea que eleva el nivel común de ciberseguridad en toda la Unión Europea, sustituyendo y ampliando de forma masiva el alcance de la antigua directiva NIS1. Afecta a medianas y grandes empresas de 18 sectores estratégicos clasificados como Entidades Esenciales y Entidades Importantes, así como a sus proveedores directos de la cadena de suministro.
A diferencia de marcos anteriores, NIS2 introduce un régimen de responsabilidad personal e indelegable para los miembros del Consejo de Administración y la Alta Dirección (Artículo 20), quienes deben aprobar formalmente las medidas de gestión de riesgos de ciberseguridad, supervisar su efectividad y afrontar posibles sanciones e inhabilitaciones temporales en caso de negligencia.
La adecuación a NIS2 no requiere reinventar su infraestructura: en Ramírez & Cobos integramos sus exigencias con los marcos ya existentes como el Esquema Nacional de Seguridad (ENS · RD 311/2022) y el SGSI bajo ISO/IEC 27001:2023, auditando únicamente los gaps normativos específicos y optimizando sus costes operativos.
Protección legal frente al régimen sancionador, blindaje de responsabilidades para el Consejo de Administración y garantía de continuidad operativa frente a ciberincidentes graves.
Cumplimiento del Artículo 20: aprobación documental de medidas, impartición de formación directiva obligatoria y exención de responsabilidad personal o inhabilitación ante las autoridades.
Evaluación técnica y homologación de proveedores TIC y socios críticos, garantizando que su ecosistema digital cumpla los estándares exigidos para no perder contratos corporativos.
Protocolo automatizado y formal para la alerta temprana en 24h y reporte oficial en 72h ante el CCN-CERT o INCIBE-CERT, evitando sanciones por retrasos en la comunicación de brechas.
Conozca los requerimientos de gobernanza, salvaguardas operativas y exigencias de notificación que su organización debe cumplir para satisfacer los requerimientos del marco europeo.
ART. 20 [GOB]
Obligación legal de los órganos de administración de aprobar y supervisar las medidas de ciberseguridad, respondiendo personalmente de los incumplimientos.
ART. 21 [MED]
Catálogo técnico imperativo para la gestión de riesgos y la protección operacional de redes y sistemas de información.
ART. 21.2.D [PROV]
Evaluación y control de vulnerabilidades específicas en proveedores directos de servicios de desarrollo, soporte, nube y mantenimiento TIC.
ART. 23 & 34 [SAN]
Protocolo de comunicación de incidentes significativos ante la autoridad competente y baremo de multas administrativas.
Metodología secuencial de ingeniería técnica estructurada en 6 etapas: Diagnóstico de aplicabilidad, gobernanza del Consejo de Administración, análisis multirriesgo, auditoría de la cadena de suministro, protocolo de notificación CSIRT en 24h y auditoría de conformidad para blindar a su empresa ante la Directiva UE 2022/2555 con la mínima carga operativa interna.
Revisión sectorial y de umbrales económicos (plantilla y facturación) para determinar con total seguridad jurídica si la entidad califica como Esencial o Importante, delimitando los perímetros y servicios críticos afectados.
Estructuración del marco de responsabilidad del Consejo de Administración y la Alta Dirección. Redacción de políticas de ciberseguridad, asignación de roles ejecutivos y programa de formación directiva obligatoria.
Modelado formal de riesgos operacionales y tecnológicos bajo metodología MAGERIT/PILAR o ISO 27005, diseñando el plan de tratamiento técnico para el despliegue de las salvaguardas mínimas exigidas.
Diseño e implantación del marco de evaluación y homologación continua para proveedores de servicios TIC, cloud, mantenimiento y desarrollo software que interactúan con sus activos críticos.
Implantación del protocolo operativo y técnico para la detección, triaje y comunicación escalonada de incidentes significativos ante el CCN-CERT o INCIBE-CERT dentro de los plazos perentorios de 24h y 72h.
Verificación técnica integral de la eficacia de todas las medidas implantadas, emisión del informe de conformidad y acompañamiento técnico continuado ante requerimientos de las autoridades supervisoras.
Resolvemos las dudas habituales de comités de dirección, responsables de sistemas y directores de calidad sobre nuestro modelo de consultoría, plazos y metodología.
Consulte directamente con nuestro equipo técnico el alcance o viabilidad de su proyecto sin compromiso.
La Directiva NIS2 (UE 2022/2555) amplía de forma sustancial el alcance normativo de la ciberseguridad europea, dividiendo a las organizaciones obligadas en dos categorías con distintos niveles de supervisión: Entidades Esenciales y Entidades Importantes a lo largo de 18 sectores estratégicos:
Criterio de tamaño: Como regla general, quedan sujetas a NIS2 todas las entidades de los sectores mencionados que califiquen como medianas empresas (más de 50 empleados o más de 10 millones de euros de facturación anual). No obstante, ciertas entidades quedan obligadas independientemente de su tamaño si son proveedores únicos de servicios esenciales, proveedores críticos de telecomunicaciones o suministradores de infraestructuras críticas.
El Artículo 21 de la Directiva NIS2 impone a las entidades la obligación jurídica de adoptar un enfoque multirriesgo ("All-Hazards") para proteger sus redes y sistemas de información frente a incidentes. Las 10 medidas técnicas y organizativas mínimas exigidas son:
El Artículo 23 de la Directiva NIS2 establece un procedimiento estricto y escalonado de comunicación para cualquier incidente que tenga un impacto significativo en la prestación de los servicios. En España, las comunicaciones se canalizan ante el CSIRT competente (CCN-CERT para sector público/estratégico o INCIBE-CERT para sector privado):
El Artículo 20 de la Directiva NIS2 constituye el mayor cambio de paradigma regulatorio en materia de gobierno corporativo de la última década:
Deber de supervisión y aprobación: La ciberseguridad deja de considerarse un asunto técnico delegado exclusivamente en el departamento de TI. Los órganos de dirección (Consejo de Administración, Consejeros Delegados y Administradores Únicos/Solidarios) están jurídicamente obligados a aprobar formalmente las políticas de ciberseguridad y a supervisar activamente su implantación y efectividad.
Formación periódica obligatoria: Los administradores deben adquirir conocimientos y competencias específicas mediante cursos y capacitaciones periódicas para poder evaluar adecuadamente los riesgos tecnológicos.
Régimen de responsabilidad personal: En caso de incumplimiento de las medidas de gestión de riesgos o de omisión grave en el deber de supervisión tras un ciberataque, las autoridades supervisoras están facultadas para declarar la responsabilidad directa de los miembros del órgano de dirección y solicitar a los tribunales la inhabilitación temporal para ejercer cargos ejecutivos de alta dirección.
El Artículo 34 de NIS2 homologa las sanciones de ciberseguridad a los niveles más exigentes del Reglamento General de Protección de Datos (RGPD):
Adicionalmente a las multas dinerarias, las autoridades supervisoras pueden imponer órdenes de cumplimiento vinculantes, apercibimientos públicos con mención del nombre de la compañía infractora y auditorías externas obligatorias sufragadas íntegramente por la entidad sancionada.
Existe una sinergia metodológica de más del 80% entre la Directiva NIS2, el Esquema Nacional de Seguridad (RD 311/2022) y el estándar internacional ISO/IEC 27001:2023:
Este enfoque integrado ahorra hasta un 50% en tiempo y presupuesto respecto a proyectos aislados, unificando toda la ciberseguridad corporativa en un sistema robusto y escalable.
