NIS2 es la directiva europea que establece requisitos de ciberseguridad en organizaciones de determinados sectores. Que la directiva se aplique directamente a su empresa depende de dos cosas: el sector en el que opera y el tamaño de su empresa. Si no encaja en esa combinación, probablemente no sea un destinatario directo de la directiva, pero eso no significa que NIS2 nunca le afecte.
Muchas empresas que quedan fuera del ámbito de aplicación reciben preguntas sobre ciberseguridad de un cliente que sí está sujeto a NIS2. Ese cliente debe demostrar que toda su cadena está suficientemente protegida, y por eso envía un cuestionario a los proveedores. En ese caso, la directiva no se aplica a usted, pero sí el acuerdo contractual que su cliente vincula a ella.
El sector y el tamaño determinan la obligación directa
La directiva se enfoca en lo que llama entidades "esenciales" e "importantes": organizaciones en sectores como energía, transporte, agua potable, infraestructura digital, banca y sanidad, complementados con otros sectores enumerados en la directiva misma. Además se aplican criterios de tamaño, que pueden variar según el sector y la categoría. Una pequeña empresa de instalación sin papel en ninguno de estos sectores normalmente queda fuera del alcance directo de NIS2. La lista exacta de sectores y la forma en que los Estados miembros la han transpuesto en legislación nacional la encontrará en el texto oficial y en la autoridad supervisora designada en su país; en los Países Bajos es la Rijksinspectie Digitale Infrastructuur.
También fuera del sector: la pregunta de su cliente
Una empresa que sí está sujeta a NIS2 debe evaluar, entre otras cosas, lo seguras que son las organizaciones con las que colabora. Esto se llama riesgo de cadena o riesgo de proveedores, y la directiva lo menciona explícitamente como punto de atención. En la práctica se traduce en un cuestionario o una cláusula contractual de su cliente: ¿tiene un punto de contacto para incidentes, notifica una violación de datos dentro de un plazo determinado, ha establecido control de acceso. Estas son a menudo las mismas medidas que las diez que menciona la directiva para las empresas directamente sujetas a ella. Encontrará más información sobre qué significan exactamente esas preguntas y cómo se relacionan con obligaciones existentes como el RGPD en la explicación por tema en la base de conocimientos.
Cómo comprobarlo usted mismo
Si NIS2 se aplica directamente a usted es una cuestión de hecho que es mejor responder consultando la clasificación sectorial oficial y los criterios de tamaño tal como se han transpuesto en su país. Si duda, la autoridad supervisora competente o un asesor jurídico son la persona indicada para determinarlo; este artículo no puede sustituir esa evaluación. Lo que usted puede comprobar rápidamente es si recibe señales que indiquen una implicación indirecta: un cliente que ha enviado un cuestionario sobre ciberseguridad, un contrato que hace referencia a obligaciones de notificación, o una licitación en la que se solicitan medidas de seguridad. Estas son indicaciones prácticas, no un juicio jurídico.
Qué hacer si recibe preguntas, independientemente de la obligación directa
Ya sea que esté directamente sujeto a NIS2 o solo enfrente las consecuencias a través de un cliente, el cuestionario en sí no cambia mucho: se le pide que describa qué medidas ha tomado y que lo respalde. Esto a menudo se superpone con lo que ya ha documentado para otros propósitos, como control de acceso para el RGPD o procedimientos de continuidad empresarial. Es esa superposición la que hace que las empresas tengan que presentar repetidamente el mismo tipo de documentación de respaldo, siempre en otro formato diferente. Encontrará respuestas a preguntas frecuentes sobre cómo funcionan exactamente este tipo de cuestionarios en las preguntas frecuentes sobre cuestionarios, y una explicación sobre de dónde procede la información en este sitio se encuentra en la página sobre cómo funciona.
No hay ninguna autoridad que determine por usted si la NIS2 le es aplicable a su empresa; esa sigue siendo una evaluación que corresponde a usted, su abogado o la autoridad supervisora. Lo que sí puede hacer rápidamente es comprobar si las señales que identifica coinciden con una implicación directa o indirecta. Si desea verlo de manera clara y comparativa, puede en algunas preguntas obtener una indicación de dónde se encuentra, o revisar cuidadosamente los temas que pueden ser aplicables a su situación.