La Directiva NIS1, fue la primera ley de ciberseguridad de la UE, que se convirtió en el primer instrumento horizontal del mercado interior destinado a mejorar la resiliencia de las redes y los sistemas de información en la Unión frente a los riesgos de ciberseguridad. Tras los retos que supuso una digitalización, acelerada en algunos casos, de las organizaciones en el UE la pandemia del Covid-19, en diciembre de 2020 la Comisión propuso un conjunto revisado de normas preparadas para el futuro con el fin de reforzar el nivel de ciberresiliencia en la Unión, sobre el que los colegisladores alcanzaron un acuerdo político el 13 de mayo de 2022 y adoptaron formalmente la nueva Directiva a finales de noviembre de 2022. Este nuevo reglamento pasó a ser denominado NIS2.
Implementación del Reglamento NIS2
La información es uno de los principales activos de las organizaciones, por lo que requiere de sistemas de protección adecuados ante cualquier amenaza que pueda poner en peligro dicha información.
¿Qué es NIS2?
¿A quién afecta NIS2?
La Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión establece una clasificación de las empresas que deberán cumplir con la Directiva NIS2 y que centrará en lo que se denominan entidades esenciales e importantes.
Los sectores y subsectores de ALTA CRITICIDAD son:
Otros sectores críticos
Y los OTROS SECTORES CRÍTICOS a desarrollar la directiva NIS2 son:
También las medianas empresas
Adicionalmente, es muy relevante tener presente que la NIS2 no sólo afecta a grandes empresas si no que, según lo definido por la directiva, también las medianas empresas de todos estos sectores deben verse concernidas por su implementación dado que el ámbito de aplicación de
La presente Directiva se aplicará a las entidades públicas o privadas de alguno de los tipos mencionados […] que sean consideradas medianas empresas con arreglo al artículo 2 del anexo de la Recomendación 2003/361/CE
esto incluye empresas que ocupan a menos de 250 personas y más de 50 personas, cuyo volumen de negocios anual no excede de 50 millones o cuyo balance general anual no excede de 43 millones de euros y supera los 10 millones de euros en cualquiera de ambos casos.
Cómo trabajamos
El proyecto de implementación del reglamento NIS2 se lleva a cabo por fases, dónde se abordarán los aspectos relevantes necesarios para cada una de ellas.
Se prepara la calendarización para la ejecución del GAP Análisis, se convocarán las reuniones y se seleccionan las muestras de activos a analizar durante el GAP. Al final de esta etapa se formaliza el inicio del proyecto de implantación con los impulsores del proyecto y los perfiles relevantes en la ejecución de este.
Etapa II: Ejecución del Gap
Se realiza un análisis exhaustivo del negocio para la obtención del conocimiento necesario recopilando información procedente del personal implicado en el cumplimiento del reglamento, que sea consciente de las políticas, procesos y procedimientos actuales que gobiernan toda la organización y de la documentación que se haya generado con respecto al cumplimiento del Reglamento NIS2 o documentación corporativa relativa a la seguridad de la información.
Esta etapa también permite la identificación de las relaciones con terceras partes (proveedores de servicios) y cómo influyen en el cumplimiento del Reglamento NIS2.
Posterior a conocer el entorno de cumplimiento se validará la información obtenida contra los requisitos establecidos por el Reglamento de cara a comprobar el estado de cumplimiento de la Organización.
Etapa III: Informe Gap y entrega de resultados
Se redacta el Informe de resultados incluyendo el Plan de Acción con recomendaciones para la completa adecuación al reglamento.
El informe contendrá los siguientes puntos principales:
- Resumen ejecutivo.
- Metodología utilizada.
- Estado actual de cumplimiento.
- Plan de Acción.
A partir de los hallazgos encontrados en el Gap se procederá a la ejecución de la planificación de las tareas de implantación. Se asignarán responsabilidades para cada una de las tareas y se establecerá el método de seguimiento del proyecto.
Etapa II: Organización de la seguridad
Se definen roles y responsabilidades para gestionar los requerimientos del Reglamento NIS2, como, por ejemplo: Responsables de Seguridad e la Información, Comité/s de Seguridad de la Información, Propietarios de la información, etc.
Etapa III: Definición de la Política de Seguridad
Se definirá una Política de Seguridad, que deberá ser aprobada por la Dirección. Esta Política incluirá los objetivos de seguridad de la información y recogerá los compromisos de cumplir con los requisitos aplicables de seguridad y de mejora continua.
Etapa IV: Medidas para el cumplimiento de las obligaciones de Seguridad
Deberá tenerse en cuenta la ejecución y/o redacción de diferentes actividades y documentación que incluirá, entre otras:
- Análisis de Riesgos
- Catalogo de medidas de Seguridad, organizativas, tecnológicas y físicas
- Adquisición de productos o servicios de seguridad
- Gestión de Incidentes
- Planes de recuperación y aseguramiento de la continuidad de las operaciones
- Mejora continua
- Interconexión de sistemas
- Registros de actividad de usuarios
Formar al personal es pieza clave y necesaria por lo que deberá definirse el plan de formación acorde a las características y exigencias.
Se elaborará el Plan de Auditoria determinando puntos que pudieran ser necesarios para ciertas tareas, restricciones horarias, necesidad de tramitar tarjetas de acceso a salas o edificios, interlocutores, guías para las entrevistas, etc.
Etapa II: Ejecución de la auditoria
Se ejecutarán reuniones establecidas en el Plan de Auditoría de la fase anterior, llevando a cabo una revisión de la conformidad de los requisitos del Reglamento NIS2.
Etapa III: Informe de auditoría y entrega de resultados
Como resultado de la Auditoría, Internet Security Auditors remitirá:
- Resumen Ejecutivo.
- Informe de Auditoría.
- Y un Plan de Acción.
Alcance del servicio
Qué engloba este servicio
Gap Análisis de cumplimiento
Evaluación exhaustiva del estado actual de la organización frente a los requisitos de la Directiva NIS2.
Política de seguridad
Definición de la política de seguridad aprobada por Dirección con objetivos y compromisos de cumplimiento.
Medidas organizativas y tecnológicas
Catálogo de medidas de seguridad organizativas, tecnológicas y físicas para el cumplimiento de obligaciones.
Gestión de incidentes
Implantación de procedimientos de detección, notificación y respuesta a incidentes de ciberseguridad.
Continuidad operacional
Planes de recuperación y aseguramiento de la continuidad operacional ante incidentes de seguridad.
Formación en ciberseguridad
Plan de formación y concienciación adaptado a las características y exigencias de la organización.
Auditoría interna
Revisión de conformidad con los requisitos del Reglamento NIS2 con informe de auditoría y plan de acción.
Lo que dicen nuestros clientes
Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.
El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.
En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.
Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.
Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…
Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.
Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.
En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.
Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.
En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.
Preguntas frecuentes
Resolvemos tus dudas
¿Qué es la Directiva NIS2?
La Directiva (UE) 2022/2555, conocida como NIS2, es la evolución de la primera ley de ciberseguridad de la UE. Establece obligaciones de seguridad, notificación de incidentes y gobernanza para entidades esenciales e importantes en sectores críticos, ampliando significativamente el alcance de la directiva original.
¿A qué empresas aplica NIS2?
NIS2 aplica a medianas y grandes empresas (más de 50 empleados y más de 10M€ de facturación) en sectores de alta criticidad (energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública) y otros sectores críticos (servicios postales, gestión de residuos, alimentación, fabricación, servicios digitales).
¿Cuáles son las principales obligaciones de NIS2?
Las principales obligaciones incluyen: implementar medidas de gestión de riesgos de ciberseguridad, notificar incidentes significativos a las autoridades competentes, garantizar la seguridad de la cadena de suministro, realizar evaluaciones de riesgos periódicas, y establecer políticas de gobernanza de ciberseguridad aprobadas por la dirección.
¿Qué diferencia hay entre entidades esenciales e importantes?
Las entidades esenciales pertenecen a sectores de alta criticidad (energía, transporte, banca, sanidad, agua, infraestructura digital) y están sujetas a un régimen de supervisión más estricto. Las entidades importantes pertenecen a otros sectores críticos y tienen un régimen de supervisión reactivo, pero las obligaciones de seguridad son similares.
¿Se puede integrar NIS2 con ISO 27001 o ENS?
Sí. NIS2 comparte muchos requisitos con ISO 27001 y el ENS. Una organización que ya disponga de un SGSI conforme a ISO 27001 o que cumpla con el ENS puede aprovechar gran parte del trabajo realizado. Internet Security Auditors tiene experiencia en la integración de estos marcos normativos.
¿Necesitas implementar la Directiva NIS2?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.