⚠️ ¿Por qué es importante actuar ya?
📊 Datos que debes conocer:
- El 87% de empresas españolas no sabe si está afectada por NIS2
- Multas de hasta 10M€ o 2% de facturación anual
- Plazo límite: 18 octubre 2024 (¡ya en vigor!)
- Los ciberataques han aumentado un 38% en España en 2024
¿Qué es NIS2? (Sin tecnicismos)
NIS2 es la nueva ley europea de ciberseguridad que reemplaza la normativa anterior de 2016. Su objetivo es simple: que las empresas importantes tengan mejores defensas contra ciberataques.
En pocas palabras, NIS2 obliga a:
- Tener medidas de seguridad robustas
- Reportar incidentes graves en 24-72 horas
- Formar a empleados en ciberseguridad
- Proteger la cadena de proveedores
- Hacer auditorías regulares
La diferencia principal con la ley anterior es que ahora afecta a muchas más empresas y las sanciones son mucho más duras.
¿Tu empresa está afectada? ✅
NIS2 se aplica principalmente a empresas medianas y grandes, pero también puede afectar a algunas pequeñas si operan en sectores críticos.
🏥 SANIDAD
- Hospitales y clínicas (+50 empleados)
- Farmacias y laboratorios
- Fabricantes de medicamentos y productos sanitarios
⚡ ENERGÍA
- Compañías eléctricas (Iberdrola, Endesa, Naturgy)
- Distribuidoras de gas y petróleo
- Plantas de energía renovable
🚛 TRANSPORTE
- Aeropuertos y aerolíneas (Iberia, Vueling)
- Ferrocarriles (Renfe, metros regionales)
- Puertos y navieras
- Empresas de transporte por carretera (+50 empleados)
🏦 BANCA Y FINANZAS
- Bancos (BBVA, Santander, CaixaBank)
- Aseguradoras y gestoras de fondos
- Empresas de servicios de pago
💻 SERVICIOS DIGITALES
- Proveedores de internet (Telefónica, Orange, Vodafone)
- Servicios en la nube (hosting, SaaS)
- Centros de datos
📋 Ejemplos de empresas españolas afectadas:
- Grandes: Iberdrola, Renfe, BBVA, Telefónica, El Corte Inglés
- Medianas: Clínicas privadas, distribuidoras regionales, empresas de hosting
- Criterio general: +250 empleados en sectores críticos, o +50 empleados si eres proveedor esencial
Fechas clave y plazos
⏰ Timeline NIS2:
- 27 dic 2022: Publicación de la Directiva
- 17 oct 2024: Fecha límite transposición nacional
- 18 oct 2024: ¡ENTRADA EN VIGOR! (ya aplicable)
- 2025: Primeras sanciones esperadas
⚠️ Importante: Aunque algunos países han tenido retrasos en la transposición, las empresas deben estar preparadas. España ya tiene marco normativo a través del Esquema Nacional de Seguridad (ENS).
5 pasos para empezar HOY
📋 PASO 1: Haz el test (15 min)
Pregúntate:
- ¿Tu empresa tiene +50 empleados y opera en sectores críticos?
- ¿Tienes +250 empleados en cualquier sector?
- ¿Eres proveedor esencial de empresas críticas?
Si respondes SÍ a alguna → Probablemente estás afectado
🔍 PASO 2: Audita tu situación actual (1 semana)
Haz inventario de:
- ✅ Sistemas críticos y bases de datos
- ✅ Políticas de seguridad existentes
- ✅ Procedimientos de backup
- ✅ Formación en ciberseguridad de empleados
- ✅ Contratos con proveedores tecnológicos
🛡️ PASO 3: Implementa medidas básicas (1 mes)
Prioridades inmediatas:
- Autenticación multifactor (MFA) en todos los sistemas
- Copias de seguridad automatizadas (regla 3-2-1)
- Antivirus empresarial actualizado
- Firewall configurado correctamente
- Políticas de contraseñas seguras
📢 PASO 4: Prepara la notificación de incidentes (2 semanas)
Debes tener:
- 📋 Procedimiento de detección de incidentes
- 📞 Contactos de emergencia (INCIBE-CERT: cert@incibe.es)
- ⏱️ Proceso de notificación en 24h (alerta) y 72h (detalle)
- 📝 Plantilla de reporte de incidentes
👥 PASO 5: Forma a tu equipo (ongoing)
Acciones clave:
- 🎓 Curso de concienciación en ciberseguridad para todos
- 👔 Responsable de ciberseguridad designado
- 📚 Procedimientos documentados
- 🔄 Auditorías trimestrales
¿Qué pasa si no cumplo? (Sanciones)
Las multas de NIS2 son mucho más duras que otras normativas como GDPR:
💸 Multas económicas:
Para empresas en sectores ESENCIALES:
- 🔴 Hasta 10 millones de euros
- 🔴 O 2% de facturación anual mundial
- (Se aplica la cantidad mayor)
Para empresas en sectores IMPORTANTES:
- 🟡 Hasta 7 millones de euros
- 🟡 O 1,4% de facturación anual mundial
- (Se aplica la cantidad mayor)
⚖️ Otras sanciones:
- Suspensión temporal de licencias o certificaciones
- Prohibición temporal de ejercer cargos directivos
- Auditorías obligatorias a coste de la empresa
- Publicidad del incumplimiento
📊 Ejemplo práctico:
Una empresa de 500 empleados con 20M€ de facturación:
- Multa máxima: 10M€ (50% de su facturación)
- Costes adicionales: Auditoría + consultoría + reputación
- Total estimado: 12-15M€ de impacto
✅ Recursos oficiales España
- INCIBE: Organismo nacional de ciberseguridad
- CCN-CERT: Centro Criptológico Nacional
- INCIBE-CERT: cert@incibe.es (notificación incidentes)
- Guía CCN-STIC 892: Mapeo ENS-NIS2