NIS2 · Directiva (UE) 2022/2555
La consultoría NIS2 de Hard2bit lleva a tu organización desde «¿me aplica?» hasta un cumplimiento que puedes demostrar: diagnóstico de aplicabilidad, gap analysis del artículo 21, hoja de ruta aprobada por la dirección, implantación de controles, procedimiento de notificación de incidentes en 24/72 horas y cuadro de evidencias para clientes, auditores y autoridad.
Sin compromiso · Propuesta ajustada a tu clasificación y punto de partida.
Aplicabilidad
NIS2 es la Directiva (UE) 2022/2555 sobre seguridad de las redes y sistemas de información. Obliga a las entidades esenciales e importantes de 18 sectores a gestionar el riesgo cibernético, notificar incidentes y responder de ello ante su órgano de dirección. Y alcanza, por contrato, a los proveedores de esas entidades.
Qué sectores, qué umbrales y qué exige cada medida lo explicamos con detalle en la guía práctica para cumplir NIS2 en España. Aquí nos centramos en cómo te ayudamos a adecuarte.
El diagnóstico normativo te indica qué marcos te aplican —NIS2, ENS, DORA, ISO 27001— según sector, tamaño y clientes. Si el resultado es NIS2, el siguiente paso es un informe de aplicabilidad defendible.
Hacer el diagnósticoAlcance del servicio
NIS2 no se cumple con una carpeta de políticas. Se cumple con controles que funcionan, responsables que responden y evidencias que se pueden enseñar. El servicio cubre las ocho áreas que exige la directiva.
Determinamos si tu organización es entidad esencial, importante o proveedor afectado, con criterio documentado para defenderlo ante clientes y autoridad.
Contrastamos las diez medidas de gestión del riesgo con lo que existe de verdad: controles, procesos, responsables y evidencias.
Aprobación y supervisión de las medidas por el órgano de dirección (artículo 20), formación de directivos y reporting con indicadores.
Proceso de clasificación, escalado y notificación en 24 h, 72 h y un mes (artículo 23), con playbooks y evidencias.
Evaluación de proveedores críticos, cláusulas contractuales y seguimiento continuo del riesgo de terceros.
Copias, recuperación, planes de continuidad y pruebas periódicas alineadas con los servicios que sostienen tu actividad.
Segmentación, MFA, gestión de vulnerabilidades, bastionado, monitorización y detección, priorizados por exposición real.
Cuadro de mando de cumplimiento y repositorio de evidencias listo para supervisor, auditor o cliente.
Modalidades
Cuatro formas de trabajar, según tu punto de partida. Casi siempre empezamos por el diagnóstico: es corto, acota el proyecto y evita contratar más de lo necesario.
Aplicabilidad, evaluación de las medidas del artículo 21 frente a tu situación real y hoja de ruta priorizada por riesgo. Es el punto de partida cuando no sabes dónde estás.
Dirigimos e implantamos contigo el programa: gobierno, políticas, gestión de incidentes y de terceros, continuidad y controles técnicos, hasta tener evidencias verificables.
Si ya tienes un sistema de gestión, mapeamos NIS2 sobre él y cubrimos solo la diferencia: notificación, dirección, cadena de suministro y resiliencia.
Después de la adecuación, alguien tiene que sostenerla: comité, indicadores, revisión de terceros, simulacros de notificación y actualización ante la ley española.
Metodología
Seis fases, de la aplicabilidad al mantenimiento. Cada una termina con un entregable que la dirección puede aprobar.
Sector, tamaño, servicios prestados y posición en la cadena de suministro. Decidimos con criterio si eres entidad esencial, importante o proveedor afectado, y qué sistemas entran en alcance.
Entrevistas, revisión documental y comprobación técnica de las diez medidas. Cada hueco recibe una criticidad y un esfuerzo estimado.
Plan a 6 meses priorizado por riesgo, con responsables y presupuesto. El órgano de dirección lo aprueba: es su obligación y la primera evidencia.
Políticas y procedimientos mínimos, proceso de notificación de incidentes, gestión de terceros, continuidad y medidas técnicas. Trabajamos con tu equipo y tus proveedores.
Ejercicio de notificación 24/72 h, prueba de continuidad y cuadro de evidencias. Comprobamos que el sistema funciona antes de que lo pruebe un incidente real.
Informe de cumplimiento para la dirección, formación de directivos y plan de mantenimiento con indicadores. Opcionalmente, seguimiento recurrente.
Entregables
Clasificación como entidad esencial, importante o proveedor afectado, con la argumentación que podrás presentar a clientes y autoridad.
Estado de cada medida, criticidad, esfuerzo y evidencia requerida. Es el documento que ordena el proyecto.
Plan a 6 meses con responsables, presupuesto y acta de aprobación del órgano de dirección.
Criterios de incidente significativo, plazos 24 h / 72 h / 1 mes, plantillas y canal con la autoridad competente.
Gestión del riesgo, terceros, continuidad, control de acceso, criptografía e higiene cibernética, en el mínimo viable.
Repositorio de evidencias, indicadores para el comité y formación al órgano de dirección con registro.
Contexto regulatorio
La Directiva (UE) 2022/2555 debía transponerse antes del 17 de octubre de 2024. España no llegó a tiempo y la Comisión Europea llevó el retraso ante el Tribunal de Justicia de la UE. Mientras el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue su tramitación, la directiva ya es la referencia que exigen clientes, aseguradoras y licitaciones.
Nuestra recomendación es adecuarse ahora a la directiva y ajustar los detalles —autoridad competente, registro, sanciones— cuando la ley española los concrete. Quien espera a la ley se adecúa con prisa y con plazos ajenos.
NIS2 en España tras el TJUE: qué hacer sin ley →Encaje con otros marcos
La mayoría de las empresas afectadas por NIS2 ya tienen otro marco encima. Nuestro trabajo es que no pagues dos veces por el mismo control.
Si prestas servicios al sector público, el ENS es obligatorio y cubre gran parte del artículo 21. NIS2 añade notificación, responsabilidad de la dirección y cadena de suministro.
Consultoría ENS →Un SGSI certificado es la mejor base para NIS2: los controles del Anexo A cubren la mayoría de las medidas técnicas. Falta el encaje regulatorio y la notificación.
Consultoría ISO 27001 →Si eres entidad financiera, DORA es lex specialis y prevalece sobre NIS2. Lo explicamos en la comparativa NIS2 vs DORA.
Consultoría DORA →Si procesas tarjetas, PCI DSS convive con NIS2: uno gobierna el riesgo general y el otro el entorno de datos de tarjeta. Una misma línea de evidencias sirve a ambos.
Consultoría PCI DSS →Comparativa completa: ENS vs ISO 27001 vs NIS2 vs DORA · NIS2 vs DORA.
Planificación
Los plazos dependen de la disponibilidad de tu equipo y de tus proveedores para implantar; el trabajo de consultoría no es el cuello de botella habitual.
Conceptos de nuestro glosario de ciberseguridad que se conectan directamente con este servicio.
En una sesión de alcance de 45 minutos revisamos aplicabilidad, punto de partida y modalidad, y te enviamos una propuesta cerrada.
Revisado por Thilina Manana y el equipo de Cumplimiento y GRC de Hard2bit
Última revisión:
Antes de irte…
Te damos un diagnóstico rápido de 15 min y te decimos qué priorizar primero: M365, pentesting, vulnerabilidades, SOC y/o DORA, NIS2, ENS o ISO 27001.
Sin spam. Respuesta en 24h.
