NIS2: ¿le afecta y qué debe hacer?
La directiva europea NIS2, adoptada en diciembre de 2022, impone obligaciones de ciberseguridad a un conjunto de empresas mucho más amplio que la normativa anterior. En Francia, su transposición (la «Ley de Resiliencia») se está finalizando en 2026 bajo la supervisión de ANSSI. Unas 15.000 entidades francesas están afectadas y muchas todavía no lo saben.
¿Me afecta? Los dos criterios
NIS2 combina un criterio de sector con un criterio de tamaño :
- Entidades esenciales (EE) : empresas de los sectores más críticos (energía, transporte, salud, agua, infraestructura digital…) con al menos 250 empleados o una facturación superior a 50 M€.
- Entidades importantes (EI) : un ámbito más amplio, desde 50 empleados o 10 M€ de facturación en los sectores cubiertos (alimentación, química, residuos, servicios postales, proveedores digitales…).
El efecto cascada: la trampa para las pequeñas empresas
Incluso por debajo de estos umbrales, NIS2 puede afectarle como proveedor o subcontratista de una entidad regulada: la directiva exige a las entidades afectadas proteger su cadena de suministro. Sus grandes clientes pueden exigir garantías de seguridad: cuestionarios, auditorías y pruebas de supervisión.
Obligaciones principales
- Gestión de riesgos : identificar y tratar sus activos y vulnerabilidades, lo que implica conocer su superficie de ataque.
- Notificación de incidentes : comunicar los incidentes significativos a las autoridades en plazos cortos.
- Gobernanza : la dirección es responsable de la implementación y los directivos pueden incurrir en responsabilidad personal.
- Documentation : poder demostrar su cumplimiento durante una inspección.
Primeras acciones prácticas
- Compruebe si su sector figura en los anexos de NIS2 y evalúe su situación respecto a los umbrales de tamaño.
- Inventaríe sus activos expuestos en Internet: es la base de la gestión de riesgos exigida.
- Establezca una supervisión continua y conserve los informes: constituyen su prueba de cumplimiento.
- Implique a la dirección desde ahora: es una obligación explícita de la directiva.
La supervisión continua de la superficie de ataque y la detección de filtraciones de datos, el núcleo deArtifhack, responden directamente al apartado de «gestión de riesgos» de NIS2, con informes con marca de tiempo que pueden utilizarse como prueba.
Fuentes: Directiva (UE) 2022/2555 · ANSSI, cyber.gouv.fr (transposición de NIS2 en Francia). Este artículo es divulgativo, no asesoramiento jurídico.