Directiva (UE) 2022/2555
Sabe si NIS2 te afecta y prepárate antes de que te lo pidan
Tu sector aparece en la directiva y no sabes si entras. Primero, si te afecta y como qué tipo de entidad; después, las medidas, la formación de la dirección y los avisos de incidentes en 24 y 72 horas.
A quién afecta
NIS2 amplía mucho el alcance de la primera directiva NIS: se aplica a entidades medianas y grandes de sectores de alta criticidad y de otros sectores críticos, que se clasifican como esenciales o importantes. La directiva está en vigor desde enero de 2023 y el plazo para transponerla terminó en octubre de 2024; en España, la ley de transposición sigue en tramitación.
- Sectores de alta criticidad: energía, transporte, banca, salud, agua, infraestructura digital, administración pública…
- Otros sectores críticos: servicios postales, gestión de residuos, química, alimentación, fabricación, proveedores digitales…
- Por regla general, entidades de esos sectores a partir de 50 empleados o 10 millones de euros de volumen de negocio
Si te suena esto
No sabes si NIS2 te afecta.
Las medidas del art. 21 en Cumplimiento y los plazos de 24 y 72 horas en Incidentes.
Qué exige NIS2
La directiva pone el foco en la responsabilidad de la dirección y en la notificación rápida:
- Art. 20Gobernanza y formación de la dirección
- Los órganos de dirección aprueban las medidas de ciberseguridad, supervisan su aplicación, pueden responder por su incumplimiento y deben seguir formación.
- Art. 21Medidas de gestión de riesgos
- Análisis de riesgos, gestión de incidentes, continuidad, seguridad de la cadena de suministro, cifrado, control de acceso y formación, entre otras.
- Art. 21.2.dCadena de suministro
- La seguridad en las relaciones con proveedores y prestadores de servicios directos.
- Art. 23Notificación de incidentes
- Alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en el plazo de un mes.
Plataforma · módulos
Cómo te ayuda Almenara con NIS2
Los módulos que más trabajo te quitan, por orden.
- CumplimientoAnálisis de riesgos, medidas del art. 21 y evidencias para la dirección.
- IncidentesPlazos de 24 horas, 72 horas y un mes del art. 23, con los informes preparados.
- ProveedoresSeguridad de la cadena de suministro del art. 21.2.d.
- ContinuidadContinuidad de las operaciones, copias de seguridad y gestión de crisis.
Catálogo de marcos
Lo que demuestras para NIS2 cuenta para el siguiente marco
Cada requisito de NIS2 está cruzado con los controles comunes de Almenara, igual que el resto del catálogo. Cuando te pidan otro marco o el cuestionario de un cliente, empiezas por lo que ya tienes demostrado.
Servicio · por dónde empezar
Diagnóstico de aplicabilidad y formación de la dirección
Analizamos si tu organización entra en el ámbito de NIS2 y como qué tipo de entidad, medimos tu situación frente al art. 21 y formamos a la dirección en sus obligaciones.
Pedir el diagnóstico NIS2Servicios recomendados
- Servicio · Una vez
Análisis de diferencias frente a una norma
Medimos dónde estás frente a ISO 27001, el ENS o DORA y qué te falta para cumplir.
- Servicio · Cada año
Formación de la dirección en NIS2 y DORA
Una sesión para que la dirección entienda qué le toca decidir y supervisar en seguridad, adaptada a tu sector.
- Servicio · Una vez
Cinco procedimientos de respuesta para los incidentes más probables en tu organización.
Nuestro límite: Almenara no emite certificaciones (las emiten entidades de certificación acreditadas) ni hace la auditoría interna de un sistema que haya implantado o gestione.
Preguntas frecuentes sobre NIS2
- ¿Me afecta NIS2 si la ley española aún no está aprobada?
- La directiva está en vigor desde enero de 2023 y el plazo de transposición venció en octubre de 2024; la ley española está en tramitación. Conviene prepararse ya, porque la dirección responde de las medidas y los plazos de adaptación pueden ser cortos.
- ¿Qué diferencia hay entre entidad esencial e importante?
- Depende del sector y del tamaño. Las obligaciones de seguridad son muy parecidas; cambian sobre todo la supervisión (proactiva para las esenciales, a posteriori para las importantes) y el importe máximo de las sanciones.
- ¿Es obligatoria la formación de la dirección?
- Sí. El artículo 20 exige que los miembros de los órganos de dirección sigan formación en ciberseguridad. La ofrecemos como servicio anual, junto con la de DORA.
- ¿Qué tengo que notificar y cuándo?
- Los incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. El módulo de incidentes lleva esos plazos por ti.
¿Preparamos NIS2 contigo?
Te enseñamos cómo quedaría tu sistema en Almenara, con tus datos.