NIS 2

La directiva NIS 2 exige que las organizaciones de sectores críticos implementen medidas sólidas de ciberseguridad. Esta página explica qué exige la directiva, cómo comprobar si se aplica a su caso y cómo completar la evaluación en Stoïk Protect.

Entender NIS 2

Qué es la directiva

NIS 2 (Directiva (UE) 2022/2555) sustituye a la primera directiva NIS de 2016. Fue adoptada en diciembre de 2022, y los Estados miembros debían transponerla al derecho nacional antes del 17 de octubre de 2024.

Dos cosas cambiaron significativamente en comparación con NIS 1:

• El ámbito se amplió. Aproximadamente 18 sectores están ahora cubiertos: 11 sectores de alta criticidad en el Anexo I y 7 otros sectores críticos en el Anexo II. Miles de organizaciones medianas y grandes entran por primera vez en el ámbito de aplicación, junto con las administraciones públicas.

• La dirección pasó a ser responsable. En Artículo 20la dirección debe aprobar las medidas de ciberseguridad, supervisar su aplicación y puede ser considerada personalmente responsable. Además, los directivos deben seguir formación en ciberseguridad.

NIS 2 es una directivay no un reglamento. Establece los objetivos; cada Estado miembro redacta su propia ley. Sus plazos exactos, su procedimiento de registro y cualquier requisito nacional más estricto provienen de su país, no del texto europeo.

Las tres obligaciones principales

Obligación	Qué significa
Registrarse ante su autoridad nacional	Una vez que haya establecido que entra en el ámbito de aplicación, debe declarar su entidad ante la autoridad competente de su país
Gestionar su riesgo cibernético	Implantar las medidas técnicas, operativas y organizativas del artículo 21
Notificar incidentes significativos	Notifique a su autoridad en 24 horas (alerta temprana), 72 horas (notificación del incidente) y un mes (informe final)

El incumplimiento lo expone a multas administrativas de hasta 10 millones de euros o el 2 % de la facturación anual mundial para las entidades esenciales, y 7 millones de euros o el 1,4 % para las entidades importantes, lo que sea mayor en cada caso.

Artículo 21(2): las diez medidas

El artículo 21 es el corazón de la directiva y la base de la evaluación en Stoïk Protect.

Artículo 21(1) establece el principio: las medidas deben ser adecuadas y proporcionadas, seguir un enfoque integral frente a todo tipo de riesgosy ajustarse a su tamaño, a su exposición y a la gravedad de los incidentes que podría sufrir. No se espera que un fabricante de 60 personas construya el mismo programa que un operador nacional de energía.

Artículo 21(2) enumera después diez medidas mínimas. Las diez áreas de la evaluación:

	Medida	Qué exige la directiva
(a)	Análisis de riesgos y políticas de seguridad de los sistemas de información	Una visión documentada de sus riesgos y políticas de seguridad por escrito aprobadas al nivel adecuado
(b)	Gestión de incidentes	La capacidad de detectar, clasificar, responder y notificar incidentes
(c)	Continuidad del negocio	Gestión de copias de seguridad, recuperación ante desastres y gestión de crisis
(d)	Seguridad de la cadena de suministro	Seguridad en sus relaciones con proveedores directos y prestadores de servicios
(e)	Seguridad en la adquisición, el desarrollo y el mantenimiento	Incluida la gestión y divulgación de vulnerabilidades
(f)	Evaluación de la eficacia de sus medidas	Políticas y procedimientos para verificar que lo que ha implementado realmente funciona
(g)	Prácticas básicas de higiene cibernética y formación en ciberseguridad	Para todo el personal, no solo el equipo de TI
(h)	Criptografía y cifrado	Una política sobre dónde y cómo se utiliza el cifrado
(i)	Seguridad en RR. HH., control de acceso y gestión de activos	Incorporación y desvinculación, mínimo privilegio, inventario de activos
(j)	MFA y comunicaciones seguras	Autenticación multifactor o continua, voz, vídeo y texto seguros, comunicaciones de emergencia

La directiva nombra deliberadamente temas, no controles. No le dice qué EDR comprar, con qué frecuencia aplicar parches ni qué debe contener una política de contraseñas. Por eso una evaluación como la de Stoïk Protect funciona al nivel de acciones concretas: traduce cada uno de los diez temas en cosas que realmente puede confirmar o implementar.

Donde existe más detalle

Dos fuentes van más allá de la directiva:

• Reglamento de Ejecución (UE) 2024/2690 de la Comisión establece requisitos técnicos y metodológicos detallados para las medidas del artículo 21 y los criterios para determinar qué cuenta como incidente significativo. Se aplica a entidades digitales transfronterizas concretas: proveedores de DNS, registros de TLD, proveedores de nube y de centros de datos, CDN, proveedores de servicios gestionados y de servicios de seguridad gestionados, mercados en línea y motores de búsqueda, redes sociales y proveedores de servicios de confianza. Si usted es uno de ellos, este reglamento es su referencia en lugar de su base nacional.

• Referenciales nacionales. Los Estados miembros publican su propio conjunto de medidas. En Francia, ANSSI publica el Référentiel Cyber France (ReCyF), que desglosa la directiva en 20 objetivos de seguridad con requisitos separados para entidades importantes y esenciales. Estos referenciales son más granulares que las diez áreas, y son la base de una auditoría.

Paso 1: comprobación de elegibilidad

Abre el Pestaña Cumplimiento NIS 2 y vaya a la tarjeta. Tres campos determinan el resultado:

Campo	Opciones
Sector de actividad	Los sectores enumerados en el Anexo I y el Anexo II de la directiva, más Ninguna de las anteriores
Número de empleados	Menos de 50 · Entre 50 y 250 · Más de 250
Facturación agregada	Menos de 10 millones de euros · Entre 10 millones y 50 millones de euros · Más de 50 millones de euros

Los campos ya conocidos de su contrato de seguro se rellenan automáticamente. Puede modificarlos en cualquier momento con Editar botón.

Si su sector es Infraestructura digital o Servicios TIC gestionados, también se le pide su actividad específica (proveedor de DNS, registro de TLD, registrador de nombres de dominio, proveedor de servicios de confianza, comunicaciones electrónicas públicas, computación en la nube, centro de datos, CDN, MSP/MSSP). Algunas de estas actividades lo sitúan dentro del ámbito de aplicación independientemente de su tamaño.

Solo se solicita su facturación, no el total de su balance. La directiva aplica los umbrales de tamaño de Recomendación 2003/361/CE de la Comisión, que considera cualquiera de las dos, por lo que pedimos la más simple de ambas.

Entender su resultado

	Entidad esencial	Entidad importante	No afectado
Supervisión	Auditoría proactiva por parte de la autoridad	Auditoría activada por un incidente	Sin supervisión NIS 2
Dirección	Responsabilidad personal (suspensión del cargo)	Responsabilidad personal	Sin responsabilidad de dirección NIS 2
Sanciones máximas	10 millones de euros o el 2 % de los ingresos mundiales: lo que sea mayor	7 millones de euros o el 1,4 % de los ingresos mundiales: lo que sea mayor	Sin sanciones administrativas NIS 2
Notificación de incidentes	24 h / 72 h / 1 mes	24 h / 72 h / 1 mes	Sin obligación de notificación NIS 2
Plazos	Establecidos por la transposición de su país	Establecidos por la transposición de su país	Sin plazo de registro NIS 2

Las entidades esenciales e importantes pueden entonces abrir la evaluación completa con Completar la evaluación completa.

El resultado es indicativo. Se basa en su sector, su tamaño y su actividad digital. No tiene en cuenta particularidades nacionales como una designación en virtud de la directiva CER, un estado anterior como operador de servicios esenciales o sectores adicionales añadidos por su Estado miembro. Confirme su estado final con su autoridad nacional o con su asesor jurídico.

Paso 2: la evaluación

La evaluación convierte las diez medidas del artículo 21(2) en 40 acciones concretas, cuatro por área. Marque lo que ya tiene implementado.

Área	Artículo
Análisis de riesgos y políticas de seguridad	21(2)(a)
Gestión de incidentes y notificación	21(2)(b)
Continuidad del negocio y gestión de crisis	21(2)(c)
Seguridad de la cadena de suministro	21(2)(d)
Seguridad del ciclo de vida y gestión de vulnerabilidades	21(2)(e)
Evaluación de la eficacia	21(2)(f)
Higiene cibernética y formación	21(2)(g)
Criptografía y cifrado	21(2)(h)
Seguridad de RR. HH., control de acceso y activos	21(2)(i)
MFA y comunicaciones seguras	21(2)(j)

Acciones cubiertas por sus herramientas Stoïk

Estas cinco acciones se marcan automáticamente cuando la herramienta correspondiente está activa:

Acción	Cubierto por
Ejecute análisis de vulnerabilidades periódicos en sistemas internos y externos	External Scan · AD Scan · Cloud Scan
Supervise credenciales filtradas vinculadas a cuentas de la empresa	Credenciales
Realice campañas de simulación de phishing	Simulación
Implemente formación periódica de concienciación en ciberseguridad para todo el personal	Aprendizaje
Configure herramientas de detección para detectar incidentes de forma temprana	Stoïk MDR

Aviso legal

Esta herramienta NIS2 se proporciona únicamente con fines informativos y orientativos generales. Su objetivo es ofrecer a corredores y clientes una indicación preliminar de si una empresa puede entrar en el ámbito de aplicación de la Directiva NIS2 y sus obligaciones relacionadas.

Los resultados generados por esta herramienta se basan en la información proporcionada por el usuario y en la comprensión actual de Stoïk de la legislación aplicable, que puede estar sujeta a cambios o a interpretaciones diferentes a nivel nacional. La herramienta no constituye asesoramiento jurídico y no debe utilizarse como sustituto de una evaluación jurídica cualificada.

Stoïk no hace ninguna manifestación ni garantía, expresa o implícita, sobre la exactitud, integridad o actualidad de la información o de los resultados proporcionados, y no acepta responsabilidad alguna por las decisiones tomadas o las acciones emprendidas basadas en el uso de esta herramienta.

Recursos oficiales

Textos europeos

Origen	Qué cubre
Directiva (UE) 2022/2555	La propia directiva: criterios de ámbito de aplicación (art. 2, 3), responsabilidad de la dirección (art. 20), medidas de gestión de riesgos (art. 21), obligaciones de notificación (art. 23), sanciones (art. 34) y las listas sectoriales (anexos I y II)
Reglamento de Ejecución (UE) 2024/2690 de la Comisión	Requisitos técnicos detallados del artículo 21, y criterios para un incidente significativo, para entidades digitales transfronterizas
Recomendación 2003/361/CE de la Comisión	La definición de microempresas, pequeñas y medianas empresas utilizada para determinar su categoría de tamaño
Directiva NIS 2 — Comisión Europea	Resumen, preguntas frecuentes y estado de las transposiciones nacionales
ENISA — Directiva NIS	Orientaciones y material de implementación técnica de la agencia de ciberseguridad de la UE

Autoridades nacionales

País	Autoridad
Francia	ANSSI
Alemania	BSI
Bélgica	Centro para la Ciberseguridad de Bélgica
Países Bajos	Digital Trust Center
España	INCIBE

El registro ante su autoridad nacional, y los plazos que se le aplican, vienen determinados por la transposición en su país. Consulte la página de su autoridad nacional para conocer el estado actual.