Después de leerlo, podrá averiguar si NIS2 le afecta y qué obligaciones se derivan.
Definición
Sustituye a la primera directiva NIS y se aplica mediante leyes nacionales, que debían estar listas el 17 de octubre de 2024. Como cada Estado miembro redacta la suya, los detalles varían de un país a otro.
Los anexos I y II enumeran los sectores, entre ellos energía, transporte, sanidad, infraestructura digital, alimentación y fabricación de determinados productos. Las entidades se clasifican como esenciales o importantes, una distinción que afecta sobre todo a la supervisión y a las multas máximas.
Por qué importa
El artículo 20 lleva el tema al consejo. El órgano de dirección debe aprobar las medidas, supervisar su aplicación y recibir formación, y se le pueden exigir responsabilidades por los incumplimientos.
El artículo 34 fija el tope de las multas en al menos 10 millones de euros o el 2 % del volumen de negocios mundial para las entidades esenciales, y 7 millones de euros o el 1,4 % para las importantes.
Cómo funciona
Empiece por el ámbito: su sector, su tamaño y su ley nacional. En general la directiva cubre a las empresas medianas y grandes, mientras que algunas entidades entran sea cual sea su tamaño. Regístrese ante la autoridad nacional cuando la ley lo exija.
Después aplique las medidas del artículo 21, que siguen un enfoque de todos los peligros y deben ser proporcionadas al riesgo.
Por último, organice las notificaciones del artículo 23: una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en el plazo de un mes.
Un caso práctico
Un fabricante de alimentos con 300 empleados encuentra la producción y distribución de alimentos en el anexo II y concluye que es una entidad importante. Su consejo aprueba las medidas y asiste a la formación.
Su proceso de incidentes gana dos cosas: una persona designada que decide si un incidente es significativo y los datos de contacto del CSIRT nacional.
Buenas prácticas
- Lea la ley nacional además de la directiva, porque los plazos y el registro difieren.
- Ensaye la alerta de 24 horas. Es más corta de lo que parece cuando las primeras horas se dedican a entender qué ha pasado.
- Si ya aplica la ISO/IEC 27001, apóyese en ella y compruebe lo que falta.
Errores frecuentes
- Suponer que quedar fuera de la primera directiva NIS significa quedar fuera de NIS2. El ámbito creció considerablemente.
- Dejarlo en manos de informática, cuando la responsabilidad recae en la dirección.
- Ignorarla porque uno mismo está fuera del ámbito. Los clientes afectados trasladarán sus requisitos por contrato.
- Esperar a un incidente para saber quién lo notifica.
Preguntas
- ¿Se aplica NIS2 a las pequeñas empresas?
- En general no, pero el artículo 2 incluye ciertas entidades sea cual sea su tamaño, como algunos proveedores de infraestructura digital o el único proveedor de un servicio crítico.
- ¿Qué diferencia hay entre entidades esenciales e importantes?
- Las esenciales están sometidas a una supervisión proactiva y a multas máximas más altas. Las importantes se supervisan sobre todo a posteriori. Las medidas son las mismas.
- ¿Basta la ISO 27001 para NIS2?
- Cubre gran parte del artículo 21. Los plazos de notificación de incidentes, el registro y las normas nacionales requieren aun así una atención aparte.
- ¿Existe un certificado NIS2 oficial?
- La directiva no crea ningún certificado general. Los Estados miembros pueden exigir determinados esquemas europeos de certificación.
- ¿Qué se considera un incidente significativo según NIS2?
- Según el artículo 23, el que ha causado o puede causar una perturbación operativa grave o pérdidas económicas, o daños considerables a terceros.