NIS2: la guía del prestador informático

La directiva NIS2 cambia la naturaleza de la conversación entre un prestador informático y sus clientes. Hasta ahora, la seguridad se vendía por el miedo al siniestro. A partir de ahora se vende por una obligación legal, con sanciones cifradas y una responsabilidad que sube hasta el administrador.

Para un prestador es un cambio de estatus: usted deja de ser el proveedor de un cortafuegos y pasa a ser el interlocutor de un asunto de gobernanza. Este artículo repasa lo que la directiva impone realmente, y la oportunidad de servicio que eso abre.

¿Qué es la directiva NIS2?#

NIS2 es la directiva (UE) 2022/2555, de 14 de diciembre de 2022. Sustituye a la primera directiva NIS de 2016, considerada poco exigente y aplicada de forma demasiado desigual de un Estado miembro a otro.

Tres diferencias importantes respecto de NIS1:

• El ámbito se dispara. NIS1 se dirigía a unos cientos de operadores por país. NIS2 cubre dieciocho sectores y baja hasta las empresas de tamaño mediano.
• La responsabilidad pasa a ser personal. Los órganos de dirección deben aprobar las medidas de gestión de riesgos y pueden ser considerados responsables de su incumplimiento.
• La cadena de suministro entra en el ámbito. La seguridad de los proveedores y prestadores se convierte en una obligación explícita del cliente — lo que le afecta a usted directamente.

La fecha límite de transposición al derecho nacional estaba fijada en el 17 de octubre de 2024. Las modalidades precisas, los umbrales de aplicación y el calendario de puesta en conformidad corresponden después a cada Estado miembro: es el punto que hay que verificar en la fuente nacional antes de cualquier compromiso contractual.

¿A quién afecta NIS2?#

NIS2 cruza dos criterios: el sector de actividad y el tamaño de la empresa.

Los sectores. El anexo I enumera los sectores llamados de «alta criticidad»: energía, transporte, banca, infraestructuras de los mercados financieros, salud, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública, espacio.

El anexo II añade los sectores «críticos»: servicios postales, gestión de residuos, productos químicos, alimentación, fabricación (productos sanitarios, electrónica, maquinaria, vehículos), proveedores digitales, investigación.

El punto que muchos prestadores pasan por alto: «gestión de servicios TIC (entre empresas)» es un sector del anexo I. Los proveedores de servicios gestionados y de servicios de seguridad gestionados figuran allí expresamente. Si usted es un MSP de cierto tamaño, no solo es el asesor de sus clientes en materia de NIS2 — es potencialmente una entidad regulada.

¿Qué umbrales de tamaño activan NIS2?#

Dos categorías. Basta un solo criterio: la plantilla, o bien el volumen de negocio y el balance tomados conjuntamente.

La distinción no es cosmética: las entidades esenciales están sujetas a una supervisión proactiva (controles sin sospecha previa), y las entidades importantes a una supervisión reactiva (control activado por un indicio de incumplimiento).

Atención: determinadas entidades quedan sujetas a NIS2 sea cual sea su tamaño — en particular los proveedores de redes públicas de comunicaciones electrónicas, los prestadores de servicios de confianza y las entidades cuyo incumplimiento tendría un impacto sistémico.

¿Cuáles son las diez medidas del artículo 21?#

El artículo 21 impone medidas «técnicas, operativas y organizativas adecuadas y proporcionadas». Enumera diez:

1. Políticas de análisis de riesgos y de seguridad de los sistemas de información
2. Gestión de incidentes
3. Continuidad de la actividad — copias de seguridad, recuperación, gestión de crisis
4. Seguridad de la cadena de suministro
5. Seguridad de la adquisición, el desarrollo y el mantenimiento
6. Políticas de evaluación de la eficacia de las medidas
7. Prácticas básicas de higiene informática y formación en ciberseguridad
8. Políticas de criptografía y de cifrado
9. Seguridad de los recursos humanos, control de accesos, gestión de activos
10. Autenticación multifactor, comunicaciones seguras, comunicaciones de emergencia

Ninguna de esas diez líneas es una sorpresa técnica. La dificultad no está en saber qué hacer — está en demostrar que se hace, de forma documentada y fechada. Ahí es exactamente donde un prestador crea valor.

¿Cuáles son los plazos de notificación de un incidente NIS2?#

Es la obligación más operativa, y la que coge a las organizaciones a contrapié. Tras tomar conciencia de un incidente significativo se encadenan tres plazos: una alerta temprana a las 24 horas, una notificación de incidente a las 72 horas y un informe final al mes.

Veinticuatro horas es un fin de semana arruinado si el proceso no existe ya. Un cliente que descubre esa obligación durante el incidente ya ha perdido. El valor de un prestador se juega aquí, antes: en tener un canal, una plantilla de notificación y un responsable identificado.

¿Cuál es la responsabilidad de los administradores bajo NIS2?#

El artículo 20 es el que hay que leer en el comité de dirección, no en el departamento de informática. Los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y seguir una formación periódica en ciberseguridad.

Eso transforma a su interlocutor. El asunto deja de decidirlo el responsable de informática con su presupuesto residual; pasa a ser un punto del orden del día del administrador, que compromete su responsabilidad.

¿Qué sanciones prevé NIS2?#

Para las entidades esenciales: hasta 10 M€ o el 2 % del volumen de negocio mundial, el importe que sea mayor.

Para las entidades importantes: hasta 7 M€ o el 1,4 %, con la misma lógica.

Más allá de la multa, las autoridades pueden suspender una certificación o prohibir temporalmente a una persona física ejercer funciones directivas. Esta última disposición suele ser la que mueve las cosas en una reunión.

¿Qué cambia NIS2 para un prestador informático?#

Tres cosas, y ninguna es técnica.

Usted está dentro del perímetro de sus clientes. La obligación n.º 4 — seguridad de la cadena de suministro — significa que sus clientes regulados deben evaluar a sus proveedores. Usted es un proveedor. Va a recibir cuestionarios, solicitudes de pruebas y cláusulas contractuales nuevas.

Dos formas de vivirlo: soportar una carga administrativa creciente, o convertirlo en un argumento comercial. Un prestador capaz de responder en 48 horas con un expediente estructurado gana concursos frente a un competidor que tarda tres semanas.

La conformidad se convierte en un servicio recurrente. La conformidad no es un proyecto, es un estado que hay que mantener. Las medidas deben reevaluarse, los incidentes registrarse, las pruebas refrescarse, la formación renovarse. Eso describe exactamente una suscripción mensual, no un servicio puntual.

Es la transición más rentable disponible hoy para un prestador: pasar de una facturación de proyecto, imprevisible, a un ingreso recurrente respaldado por una obligación legal que el cliente no puede negociar.

El diagnóstico se convierte en la puerta de entrada. Un plan de puesta en conformidad no se vende en frío. Se vende una brecha medida. Un diagnóstico que produce una puntuación, una lista de carencias priorizadas y un presupuesto convierte una conversación abstracta en un presupuesto firmado.

Es el principio de las 42 medidas de higiene de la ANSSI: un referencial corto, concreto, que el administrador entiende, y que cubre lo esencial de las expectativas del artículo 21.

Para la evaluación en sí, la ANSSI publica el ReCyF: 20 objetivos repartidos en cuatro ámbitos, cada uno con un nivel esperado. Es la rejilla que convierte «adecuadas y proporcionadas» en una brecha medible y, por tanto, en un plan de acción — y cinco de esos objetivos solo se aplican a las entidades esenciales, lo que depende de la calificación vista más arriba.

¿Por dónde empezar, en concreto?#

1. Califique su cartera. Sector + plantilla + volumen de negocio para cada cliente. En una jornada sabrá quién es entidad esencial, importante o está fuera del ámbito.
2. Trate primero su propio caso. Si usted entra en el sector «gestión de servicios TIC», empiece por usted. Es además su mejor demostración comercial.
3. Estandarice el diagnóstico. Un cuestionario reutilizable, una puntuación comparable de un cliente a otro, un informe con su marca.
4. Industrialice la prueba. La obligación que más cara sale es la trazabilidad. Una bóveda de pruebas asociada a cada medida vale más que una carpeta compartida.
5. Escriba el procedimiento de incidente antes del incidente. Las 24 horas no se negocian.

Si además prepara a clientes para la certificación, el paso lógico siguiente es la ISO 27001, cuyo Anexo A se solapa ampliamente con el artículo 21.