Directiva NIS 2

Para un empleado, NIS 2 se traducirá sobre todo en normas internas más claras, en Francia cuando entre en vigor la ley de transposición. El artículo 21 pide que cada entidad afectada adopte una lista mínima de medidas, entre ellas las prácticas básicas de ciberhigiene, la formación en ciberseguridad, políticas de control de acceso y, según las necesidades, la autenticación multifactor¹. El artículo 20 pide además a los Estados que animen a las entidades a formar regularmente a su personal, para que cada persona sepa detectar los riesgos y valorar las prácticas de seguridad¹.

El punto que más depende de usted es la comunicación de los incidentes. La directiva pide que una entidad envíe una alerta temprana al CSIRT o a la autoridad competente en las 24 horas siguientes a tener conocimiento de un incidente significativo, luego una notificación del incidente en 72 horas y un informe final en el mes siguiente¹. Estos plazos pierden su sentido si la información se queda atascada por el camino. Un correo sospechoso abierto el lunes y comunicado el jueves son tres días en los que un atacante ha podido avanzar sin que nadie lo busque.

En el sentido de la directiva, un incidente es «significativo» si causa, o puede causar, una perturbación grave de los servicios o pérdidas financieras para la entidad, o daños considerables a otras personas¹. La clasificación corresponde al equipo de seguridad; su papel es comunicar. Si el incidente afecta a datos personales, el RGPD añade su propia obligación: notificar a la CNIL como máximo 72 horas después de una violación que suponga un riesgo para las personas⁴. El artículo sobre el RGPD detalla este procedimiento.

En el programa Brain, este gesto corresponde al reflejo «Comunicar cualquier incidente de seguridad al equipo de ciberseguridad». Comunique también sus propios errores, un clic desafortunado por ejemplo: sin su aviso, el equipo de seguridad puede no enterarse nunca de que ha empezado un ataque. El artículo sobre la cultura de la sanción explica por qué el miedo a ser castigado lleva a ocultar los incidentes.

NIS 2 lleva la ciberseguridad al nivel de los órganos de dirección. La directiva pide que aprueben las medidas de gestión de riesgos y supervisen su aplicación, que puedan ser considerados responsables si la entidad incumple estas obligaciones, y que sus miembros reciban formación¹. En Francia, estas obligaciones se aplicarán cuando entre en vigor la ley de transposición.

En cuanto a las multas, los Estados deben prever un límite máximo de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial, aplicándose la cantidad más alta, cuando una entidad esencial incumple sus obligaciones de seguridad o de notificación. Para una entidad importante, este límite es de al menos 7 millones de euros o el 1,4 %¹. En una entidad esencial que no corrige sus incumplimientos pese a los requerimientos de la autoridad, la directiva permite además que esta solicite que una persona con responsabilidades de dirección, a nivel de director general o de representante legal, quede temporalmente inhabilitada para ejercer esas responsabilidades en la entidad¹.

La seguridad de la cadena de suministro forma parte de las medidas que exige la directiva, incluidas las relaciones con los proveedores y prestadores directos¹: el artículo sobre la evaluación del riesgo de proveedores se dedica a ello. Para ayudar a las organizaciones, la ANSSI ha publicado una versión de trabajo de su Référentiel Cyber France (ReCyF), que enumera las medidas que recomienda para alcanzar los objetivos de seguridad de NIS 2². Un ejercicio de crisis sobre mesa permite comprobar, antes de un incidente real, que la alerta puede salir en menos de 24 horas.

La directiva se publicó en el Diario Oficial de la Unión Europea el 27 de diciembre de 2022. Los Estados debían transponerla a más tardar el 17 de octubre de 2024 y aplicarla a partir del 18 de octubre de 2024, fecha en que quedó derogada la directiva NIS de 2016¹. Debían también elaborar la lista de sus entidades esenciales e importantes a más tardar el 17 de abril de 2025¹.

El artículo 21 fija una lista mínima de medidas, basada en un enfoque «de todos los riesgos»¹:

• análisis de riesgos y políticas de seguridad de los sistemas de información;
• gestión de incidentes;
• continuidad de la actividad, copias de seguridad y gestión de crisis;
• seguridad de la cadena de suministro;
• seguridad en la adquisición, el desarrollo y el mantenimiento de las redes y los sistemas de información, incluidos el tratamiento y la divulgación de las vulnerabilidades;
• evaluación de la eficacia de las medidas;
• ciberhigiene básica y formación en ciberseguridad;
• criptografía y, en su caso, cifrado;
• seguridad de los recursos humanos, control de acceso y gestión de activos;
• autenticación multifactor y comunicaciones seguras, según las necesidades.

El artículo 23 fija el calendario de notificación de un incidente significativo¹:

Plazos contados desde el momento en que la entidad tiene conocimiento del incidente significativo
24 horas       alerta temprana al CSIRT o a la autoridad competente
72 horas       notificación del incidente, con una primera evaluación de gravedad e impacto
previa solicitud   informe intermedio
1 mes          informe final, contado desde la notificación del incidente

La Comisión Europea envió cartas de emplazamiento el 28 de noviembre de 2024 y dictámenes motivados el 7 de mayo de 2025. El 8 de julio de 2026 llevó a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia de la Unión Europea, y solicitó una suma a tanto alzado y multas coercitivas diarias hasta la transposición completa⁵.

En Francia, la transposición se realiza mediante el proyecto de ley relativo a la resiliencia de las infraestructuras críticas y al refuerzo de la ciberseguridad. En su versión presentada, su título II, dedicado a la ciberseguridad, remite a la directiva (UE) 2022/2555 y define las entidades esenciales e importantes, con por ejemplo un umbral de al menos 50 empleados para una entidad importante⁶. El Gobierno lo presentó en el Senado el 15 de octubre de 2024, por procedimiento acelerado, y el Senado lo aprobó el 12 de marzo de 2025. La comisión especial de la Asamblea Nacional presentó su texto el 10 de septiembre de 2025⁷. La Conferencia de Presidentes de la Asamblea había incluido el proyecto de ley en las sesiones del 7 y el 9 de octubre de 2026⁸, y lo retiró el 6 de octubre de 2026, sin fijar nueva fecha⁹. En la fecha de consulta, el expediente legislativo no menciona ningún examen en sesión pública en la Asamblea⁷.

Mientras tanto, la ANSSI invita a las futuras entidades esenciales e importantes a reforzar desde ahora su nivel de seguridad, y precisa que su referencial ReCyF podrá ajustarse a medida que avancen los debates parlamentarios².