Blog de Ciberseguridad

Novedades en la NIS2

Mar 21, 2025

NIS2 en 2025: ¿Qué cambia y cómo afecta a tu organización?

La Directiva NIS2 marca un antes y un después en la ciberseguridad europea. A medida que nos adentramos en 2025, las organizaciones esenciales y relevantes de toda Europa deben prepararse para una normativa mucho más exigente. En este artículo te contamos qué cambia con la NIS2, cuál es su estado de implementación y cómo afecta a tu empresa.

🌍 Estado actual de la implementación de NIS2 en Europa

A pesar de que la fecha límite para transponer la directiva a nivel nacional era el 17 de octubre de 2024, muchos países todavía están en proceso. Según Wavestone, solo unos pocos Estados miembros han completado la implementación:

Países con transposición completa:

Bélgica
Italia
Letonia
Lituania
Hungría
Croacia

Países en fase avanzada:

Alemania
Francia
Finlandia
Austria
Luxemburgo
Dinamarca
Rumanía
República Checa

El resto, como España, Suecia o Irlanda, aún están desarrollando los marcos normativos necesarios.

📆 Fechas clave para las organizaciones

17 de enero de 2025: el NIS Cooperation Group publica la metodología de revisión entre pares.
17 de abril de 2025: cada Estado miembro debe enviar a la Comisión Europea la lista de entidades esenciales e importantes.
17 de octubre de 2027: evaluación oficial del funcionamiento de NIS2.

🆕 ¿Qué novedades trae NIS2?

A diferencia de su predecesora (NIS1), esta nueva versión es mucho más estricta, concreta y ambiciosa. Estas son las novedades más importantes:

1. 🔍 Ampliación del ámbito de aplicación

NIS2 incluye más sectores críticos como:

Gestión de residuos
Espacio
Servicios públicos digitales
Administración pública a nivel regional y local

Esto implica que muchas empresas que antes no estaban sujetas, ahora sí deben cumplir.

2. 📈 Enfoque basado en riesgos

Las organizaciones deben implantar un sistema continuo de gestión de riesgos. No basta con controles básicos: ahora se exige evaluación periódica, mitigación proactiva y trazabilidad de decisiones.

3. 🔗 Seguridad en la cadena de suministro

Las empresas no solo deben proteger su infraestructura, sino también controlar los riesgos derivados de proveedores y terceros. Esto implica auditorías, requisitos contractuales y validación de prácticas de seguridad.

4. 📢 Requisitos de notificación más estrictos

Las entidades están obligadas a notificar incidentes relevantes en un plazo de 24 horas desde su detección, y proporcionar un informe final en los siguientes días.

5. 👨‍💼 Responsabilidad de la alta dirección

Uno de los puntos más disruptivos: la dirección ejecutiva podrá ser sancionada si no garantiza una adecuada gestión de la ciberseguridad. Esto impulsa un enfoque “top-down” donde la seguridad debe formar parte de la estrategia empresarial.

🏢 ¿Está tu empresa dentro del alcance de NIS2?

Si operas en sectores como energía, transporte, salud, TIC, agua, servicios digitales o administración pública, probablemente estés incluido como entidad esencial o entidad importante. Además, la directiva se aplica a organizaciones medianas y grandes (más de 50 empleados o más de 10 M€ de facturación), pero también puede afectar a empresas más pequeñas si prestan servicios críticos.

⚠️ Consecuencias del incumplimiento

Las sanciones por no cumplir con NIS2 pueden alcanzar los 10 millones de euros o el 2% del volumen de negocio anual global. Además del daño reputacional y la posible inhabilitación para contratos públicos.

🔐 Cómo prepararte desde ya

Aunque tu país aún no haya completado la transposición, puedes (y debes) comenzar a prepararte. Aquí algunos pasos recomendados:

Realiza un análisis de riesgos y evalúa tu nivel actual de cumplimiento.
Clasifica los activos esenciales y críticos de tu infraestructura.
Define un plan de continuidad y respuesta ante incidentes.
Implanta medidas técnicas y organizativas: firewalls, cifrado, pentesting, MFA.
Forma y conciencia a tu equipo humano.

✅ Próximos pasos con BCNSoluciona

Desde BCNSoluciona te ayudamos a prepararte para NIS2 con un enfoque integral:

Pentest y auditoría técnica: identifica vulnerabilidades antes que lo hagan los atacantes.
Implantación de ENS: cumplimiento del Esquema Nacional de Seguridad, que comparte exigencias con NIS2.
Certificación ISO 27001: refuerza la gobernanza de la seguridad de la información.
Hacking ético y simulacros de incidentes.
Servicios gestionados de ciberseguridad y CISO as a Service.

📞 ¿Listo para empezar?

Si tu organización está dentro del alcance de NIS2 o simplemente quieres reforzar tu postura de ciberseguridad, contacta con nosotros hoy. En BCNSoluciona convertimos los desafíos normativos en una oportunidad para mejorar tu protección digital.

🔗 Visita nuestros servicios: https://www.bcnsoluciona.com