¿Qué es la directiva NIS-2 y qué cambios exige a 30.000 empresas europeas?
La Unión Europea (UE) obligará a 30.000 empresas —incluyendo sectores críticos como energía, transporte y salud— a reforzar sus medidas de cybersicherheit bajo la nueva Directiva NIS-2, aprobada este año y que entrará en vigor en octubre de 2024. Según el texto oficial de la Comisión Europea, las normas amplían el alcance de la primera versión (NIS-1, de 2016) para cubrir todos los mercados digitales, no solo infraestructuras esenciales. «Es un salto cualitativo: ahora se exigen estándares uniformes incluso a pymes que operen en cadenas de suministro vulnerables», explicó un portavoz de la Agencia Europea de Ciberseguridad (ENISA).
Entre los cambios clave destacan:
- Obligatoriedad de informes de incidentes: Las empresas deberán notificar brechas de seguridad en 24 horas a las autoridades nacionales, con detalles técnicos sobre el impacto. Según ENISA, esto busca reducir el tiempo medio de respuesta, que en 2022 superó los 7 días en el 40% de los casos reportados bajo NIS-1.
- Multas escalonadas: Los Estados miembros podrán imponer sanciones de hasta el 2% del volumen de negocios anual o 10 millones de euros (lo que sea mayor), frente al límite del 1% en la normativa anterior.
- Evaluaciones independientes: Se exigirá a las empresas realizar auditorías externas cada 3 años, con énfasis en la protección de datos de clientes y proveedores.
¿Por qué importa? La directiva responde a un aumento del 55% en ciberataques a infraestructuras críticas en la UE entre 2020 y 2023, según datos de Europol. Sectores como el energético (ej. ataques a redes eléctricas en Ucrania en 2022) y el sanitario (ransomware en hospitales alemanes en 2021) fueron los más afectados. «NIS-2 cierra lagunas que permitieron que actores estatales y criminales explotaran vulnerabilidades en proveedores de segundo nivel», advirtió el informe de la Oficina Federal de Protección de la Constitución de Alemania (BfV).
¿Cómo afecta a las pymes y qué sectores están excluidos?
Aunque la directiva se centra en 30.000 entidades —desde gigantes tecnológicos hasta operadores de puertos—, las microempresas (menos de 10 empleados) quedan fuera del alcance directo. Sin embargo, el 60% de los incidentes cibernéticos en la UE involucran a pymes como eslabones débiles en cadenas de suministro, según un estudio citado por la Comisaría de Mercado Digital. «Las normas obligarán a las grandes empresas a exigir contratos con cláusulas de ciberseguridad a sus proveedores, incluso si estos no están regulados», detalló un documento de la Federación de Industrias Alemanas (BDI).
Los sectores excluidos son:
- Empresas financieras reguladas por ESMA (bajo la Directiva DORA).
- Organismos públicos cubiertos por la Ley de Ciberseguridad de la UE.
- Empresas con menos de 50 empleados y facturación inferior a 10 millones de euros anuales.
¿Qué pasa con la contratación de talento? La demanda de perfiles en ciberseguridad en la UE crecerá un 35% anual hasta 2025 para cumplir NIS-2, según proyecciones de la Instituto Superior de Estudios de Formación (ISEF). Sectores como el de energías renovables y logística —prioritarios en la directiva— ya compiten por ingenieros con certificaciones ISO 27001 o experiencia en NIST SP 800-53, con salarios que superan los 80.000 euros brutos anuales en roles senior.
¿Cuándo entran en vigor las nuevas reglas y qué pasa si no se cumplen?
El plazo para transponer la directiva a las leyes nacionales de cada Estado miembro finaliza el 17 de octubre de 2024. Las empresas tendrán hasta octubre de 2026 para implementar las medidas técnicas, aunque las autoridades podrán exigir ajustes previos en casos de alto riesgo. «Los primeros informes de cumplimiento se esperan en 2025, y las multas podrían aplicarse desde 2026 si hay incumplimientos graves», confirmó la Comisión Europea.
En caso de sanciones, los Estados miembros deberán justificar las decisiones ante la Comisión. Ejemplos recientes de aplicación de NIS-1 incluyen:
- Multa de 1,2 millones de euros a un proveedor de servicios de nube alemán por no notificar un ataque de ransomware en 2021.
- Sanción de 500.000 euros a un operador de transporte ferroviario en Italia por vulnerabilidades en su sistema de reservas.
¿Qué alternativas tienen las empresas? La ENISA recomienda:
- Adoptar marcos como ISO 27001 o CIS Controls para demostrar cumplimiento.
- Invertir en SOAR (Security Orchestration, Automation and Response) para agilizar la respuesta a incidentes.
- Formar a empleados en phishing y ingeniería social, causa del 90% de las brechas en pymes, según ENISA.
La directiva NIS-2 se aplica en paralelo a la Ley de Inteligencia Artificial de la UE, que regula sistemas de alto riesgo como los usados en ciberseguridad. «Es la primera vez que la UE vincula explícitamente la protección de infraestructuras con el desarrollo de tecnologías emergentes», destacó la Unión Internacional de Telecomunicaciones (UIT).
