Hay una pregunta que muchos empresarios aún no se han hecho, pero que en los próximos meses puede marcar la diferencia entre crecer o quedar fuera del mercado: »¿está su empresa adaptada a la Directiva NIS2? Porque incumplirla ya no es solo un riesgo de seguridad. Es un riesgo financiero, contractual y reputacional que le puede costar hasta 10 millones de euros —o el 2 % de la facturación global anual— y, sobre todo, la probable pérdida de clientes estratégicos». En este contexto, Xeoris ayuda a las organizaciones a prepararse para el cumplimiento de NIS2, reduciendo riesgos y asegurando la continuidad del negocio en un entorno regulatorio cada vez más exigente.

¿Qué es NIS2 y por qué cambia las reglas del juego?

La Directiva NIS2 (Network and Information Security 2) es la norma europea más ambiciosa en materia de ciberseguridad empresarial. Aprobada en 2022 y traspuesta en España a través de la Ley de Coordinación y Gobernanza de la Ciberseguridad, esta regulación no se limita a recomendar buenas prácticas: obliga, establece plazos y sanciona.

A diferencia de su predecesora (NIS1), la nueva directiva amplía significativamente su ámbito de aplicación, endurece las obligaciones técnicas y organizativas, e introduce un régimen de responsabilidad personal para los órganos de dirección de las empresas afectadas. Es decir: si una empresa incumple NIS2, no solo paga una multa. Los directivos pueden ser declarados personalmente responsables.

¿Si ciberatacan, además pueden sancionar?

Es uno de los aspectos que más sorprende a los empresarios cuando lo descubren. NIS2 establece que la obligación no es “no sufrir un ciberataque”, sino “tener implantadas las medidas adecuadas para prevenirlo y gestionarlo”. Si se sufre un incidente y no se puede demostrar que se tenían esas medidas, la exposición regulatoria es total.

El régimen sancionador distingue dos tipos de entidades: esenciales (energía, transporte, banca, sanidad, infraestructuras digitales, agua, espacio) e importantes (servicios postales, gestión de residuos, industria, alimentación, proveedores digitales). Las sanciones máximas son:

• Entidades esenciales: hasta 10.000.000 € o el 2? la facturación global anual (la cifra mayor).

• Entidades importantes: hasta 7.000.000 € o el 1,4? la facturación global anual.

A estas cifras habría que añadir algo que NIS2 introduce de forma explícita y que pocas empresas han asimilado: la posibilidad de inhabilitar temporalmente a los directivos de la entidad incumplidora. No es un apéndice teórico. Es una herramienta de presión real sobre los órganos de gobierno.

Vas a perder negocio si no cumples NIS2

El impacto más inmediato y concreto que están viviendo las empresas no llega de las autoridades reguladoras, sino de sus propios clientes. Las grandes corporaciones han comenzado a exigir el cumplimiento NIS2 como condición contractual a sus proveedores, no como recomendación, sino como requisito de acceso.

El fenómeno tiene una lógica clara: bajo NIS2, una empresa esencial puede ser sancionada por los fallos de seguridad de sus proveedores. Por eso, las grandes se protegen excluyendo a quien no acredite garantías y la manera más extendida, es solicitar además un Ciberseguro que cubra cualquier fallo en estas. El resultado es que el mercado se está bifurcando entre empresas que tienen acceso a contratos estratégicos y empresas que, sencillamente, no están en la lista.

Este modelo, que ya está consolidado en el entorno empresarial estadounidense, se está instalando con rapidez en Europa y en España. Y el patrón es siempre el mismo: primero lo exigen las multinacionales, luego las grandes nacionales y finalmente, se convierte en estándar de sector.

¿A quién afecta realmente NIS2?

Uno de los errores más extendidos es pensar que NIS2 es cosa de grandes corporaciones o empresas tecnológicas. La realidad es muy diferente y más amplia.

La directiva impacta directamente a entidades de sectores como energía, transporte, salud, banca, infraestructuras digitales, agua, espacio, servicios postales, gestión de residuos, fabricación industrial, alimentación y servicios digitales. Pero el verdadero efecto multiplicador se produce a través de la cadena de suministro.

Una empresa mediana del sector logístico, de servicios profesionales o industrial puede verse obligada a cumplir NIS2 no por su tamaño, sino por quién es su cliente. Y esta es la palanca que está acelerando la adopción en el tejido empresarial español.

¿Qué obliga a hacer NIS2 concretamente?

Más allá del marco sancionador, NIS2 establece un conjunto de medidas técnicas y organizativas que las empresas afectadas deben implementar. En síntesis, la directiva exige:

Análisis y gestión de riesgos: identificación sistemática de vulnerabilidades y amenazas y gestión de los riesgos económicos.

Planes de respuesta a incidentes: procedimientos documentados para detectar, notificar y gestionar ciberataques. NIS2 obliga a notificar incidentes significativos en un plazo de 24 horas.

Seguridad en la cadena de suministro: evaluación de los riesgos de seguridad de proveedores y socios tecnológicos.

Cifrado y control de acceso: protección de datos críticos mediante criptografía y gestión de identidades.

Continuidad de negocio: planes de contingencia y recuperación ante desastres.

Formación y cultura de seguridad: los órganos de dirección deben aprobar y supervisar activamente las medidas de ciberseguridad.

A todo ello se suma la cobertura aseguradora como elemento de acreditación ante clientes y socios: las empresas que cuentan con un seguro de ciberriesgo alineado con NIS2 disponen de un argumento comercial tangible que va más allá de la documentación interna.

El coste de no actuar ya

Frente a la pregunta “¿se puede esperar?”, los expertos son unánimes: el riesgo no es futuro, es presente. Las empresas que inician ahora su proceso de adecuación tienen margen para hacerse de forma ordenada, eficiente y con capacidad de acreditar el cumplimiento ante clientes y reguladores.

Las que esperan se enfrentan a procesos más costosos, plazos más cortos y con alta probabilidad, a haber perdido ya contratos o sufrido incidentes sin cobertura adecuada. La ventana para adaptar la organización sin presión existe, pero se está cerrando.

Empresas especializadas como Xeoris están acompañando a organizaciones de distintos tamaños y sectores en este proceso, combinando diagnóstico técnico, implementación de medidas organizativas y gestión de la cobertura aseguradora necesaria para acreditar el cumplimiento NIS2 ante clientes, socios y organismos reguladores.

El mercado ya ha cambiado. La pregunta es ¿cuánto está costando a la empresa, cada día sin cumplir NIS2?

La pregunta ya no es si hay que adaptarse a NIS2. La pregunta es cuánto está costando cada día que pasa sin hacerlo: en sanciones potenciales, en contratos perdidos, en exposición ante un incidente y en la distancia que se abre respecto a los competidores que ya han actuado.

Fuente: Emprendedores de Hoy