¿Qué es la Directiva NIS2?

La Directiva NIS2 (Network and Information Security) es la actualización de la directiva original de 2016, que refuerza la ciberseguridad en la Unión Europea. Publicada en enero de 2023, establece requisitos más estrictos para la protección de redes y sistemas de información en sectores críticos.

La directiva amplía significativamente el alcance de la normativa anterior, incluyendo a más sectores y empresas, y establece requisitos más rigurosos en materia de gobernanza, gestión de riesgos y notificación de incidentes.

Principales novedades respecto a NIS1

• Ampliación del ámbito de aplicación a más sectores y empresas
• Requisitos más estrictos de ciberseguridad
• Obligación de notificar más tipos de incidentes
• Mayor coordinación entre autoridades nacionales
• Sanciones más elevadas (hasta el 2% de la facturación anual)
• Inclusión de cadenas de suministro en el alcance

Sectores afectados por NIS2

La Directiva NIS2 amplía significativamente el número de sectores que deben cumplir con los requisitos de ciberseguridad. En Gipuzkoa y especialmente en San Sebastián (Donostia), esto afecta a empresas de diversos sectores económicos.

Sectores esenciales (deben cumplir obligatoriamente)

Sector	Descripción	Ejemplos en Gipuzkoa
Energía	Producción, transporte y distribución de electricidad, gas, calor y frío	Iberdrola Distribución Eléctrica, Gas Natural Fenosa
Transporte	Transporte terrestre, aéreo y marítimo, incluyendo infraestructuras	Renfe, Euskotren, Puertos del Estado
Banca y seguros	Instituciones de crédito, compañías de seguros y reaseguros	BBVA, Kutxabank, Caja Vital Kutxa
Salud	Hospitales, centros de salud y proveedores de servicios sanitarios	Hospital Universitario Donostia, Osakidetza
Agua	Captación, tratamiento y distribución de agua potable	Uraga Aterpe, Mancomunidad de Aguas de Gipuzkoa
Tecnología	Proveedores de servicios digitales y de telecomunicaciones	Telefónica, Vodafone, proveedores cloud

Sectores importantes (pueden estar incluidos según tamaño)

• Fabricación avanzada
• Investigación y desarrollo
• Postales y mensajería
• Residuos
• Alimentos
• Productos químicos
• Infraestructuras digitales

Requisitos de cumplimiento de NIS2

Las empresas obligadas a cumplir con NIS2 deben implementar medidas de ciberseguridad en varios dominios clave:

1. Gestión de riesgos de ciberseguridad

• Política de ciberseguridad
• Evaluación y gestión de riesgos
• Protección de la información
• Seguridad del personal
• Gestión de proveedores
• Continuidad del negocio

2. Gestión de incidentes

• Detección de incidentes de ciberseguridad
• Notificación a las autoridades competentes
• Respuesta y mitigación de incidentes
• Aprendizaje y mejora continua

3. Supervisión, auditoría y pruebas

• Supervisión continua de sistemas
• Auditorías de seguridad
• Pruebas de penetración
• Evaluación de la efectividad de medidas

4. Organización y formación

• Designación de personal responsable
• Formación en ciberseguridad
• Concienciación de empleados
• Gestión de recursos humanos

Solución SIEM para cumplimiento NIS2

Un sistema SIEM (Security Information and Event Management) es fundamental para cumplir con muchos de los requisitos de NIS2, especialmente en los dominios de supervisión y gestión de incidentes.

Beneficios de implementar un SIEM

• Monitorización continua: Detección en tiempo real de amenazas y anomalías
• Centralización de logs: Recopilación y análisis de eventos de seguridad de toda la infraestructura
• Correlación de eventos: Identificación de patrones de ataque complejos
• Alertas automatizadas: Notificaciones inmediatas ante posibles incidentes
• Cumplimiento normativo: Generación de informes para auditorías
• Investigación forense: Herramientas para analizar incidentes pasados

Preguntas frecuentes sobre NIS2