La directiva NIS2 obliga a miles de empresas medianas y grandes de la UE a gestionar sus riesgos de ciberseguridad. Te explicamos a quién afecta, qué exige y qué dice en concreto de la red y del cortafuegos, y en qué punto está su transposición en España.
La Directiva (UE) 2022/2555, conocida como NIS2, es la norma europea que fija un nivel común de ciberseguridad para las empresas y administraciones que prestan servicios importantes. Se aprobó el 14 de diciembre de 2022, sustituye a la primera directiva NIS de 2016 y amplía mucho la lista de sectores y empresas obligados.
Según su artículo 2, se aplica a las entidades, públicas o privadas, de los sectores de sus anexos I y II que sean al menos medianas empresas según la definición europea (la Recomendación 2003/361/CE). Algunas entran sea cual sea su tamaño, como los proveedores de redes y servicios públicos de comunicaciones electrónicas o los prestadores de servicios de confianza.
| Anexo I (alta criticidad) | Anexo II (otros sectores críticos) |
|---|---|
| Energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, Administración pública y espacio | Servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, fabricación, proveedores de servicios digitales e investigación |
Las obligadas se dividen en dos grupos (artículo 3):
La diferencia está sobre todo en la supervisión y en las multas; las medidas de seguridad que deben aplicar son las mismas.
El artículo 21 pide medidas técnicas, operativas y organizativas proporcionadas al riesgo, con un enfoque que cubra todo tipo de amenazas. Como mínimo deben incluir:
Además, el artículo 20 hace responsables a los órganos de dirección: tienen que aprobar estas medidas, supervisar que se aplican y formarse en ciberseguridad.
La directiva no nombra productos. Lo concreta, para las empresas digitales, el Reglamento de Ejecución (UE) 2024/2690, del 17 de octubre de 2024. Se aplica a los proveedores de DNS, de nube, de centros de datos, de redes de distribución de contenidos, de servicios gestionados y de seguridad gestionada, mercados en línea, buscadores, redes sociales y prestadores de servicios de confianza. Para el resto de empresas, es la mejor referencia de lo que se entiende por «medidas técnicas» en una red.
Su considerando 18 cita expresamente el uso de cortafuegos para proteger las redes internas, junto con limitar las conexiones a lo imprescindible, usar VPN para el acceso remoto y dar acceso a los proveedores solo con autorización y por tiempo limitado. Y su anexo lo convierte en requisitos:
Todo eso se hace con cortafuegos: uno en el perímetro y, en redes de cierto tamaño, otros entre zonas internas.
Entre lo que hay que registrar y vigilar están los registros de las herramientas de seguridad, «como antivirus, sistemas de detección de intrusiones o cortafuegos». El cortafuegos tiene que guardar lo que hace y alguien tiene que revisarlo.
El artículo 23 obliga a notificar los incidentes significativos (los que causan o pueden causar perturbaciones graves, pérdidas económicas o daños a terceros) en tres pasos:
Los registros del cortafuegos son muchas veces la primera fuente para saber qué ha pasado, por dónde entró y qué salió.
El artículo 34 obliga a los Estados a prever multas de hasta, como mínimo:
Los Estados debían transponer la directiva a más tardar el 17 de octubre de 2024 y aplicarla desde el día siguiente. España va con retraso:
Mientras tanto, a las empresas que trabajan con la Administración pública ya les obliga en España el Esquema Nacional de Seguridad, que sí pide un perímetro seguro de forma expresa.
La directiva debía estar transpuesta el 17 de octubre de 2024, pero a 6 de noviembre de 2026 España no ha aprobado su ley. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, y no consta que haya entrado en el Congreso como proyecto de ley.
La directiva no nombra productos: pide medidas técnicas proporcionadas al riesgo. Pero el Reglamento de Ejecución 2024/2690, que las concreta para las empresas digitales, cita expresamente los cortafuegos para proteger las redes internas y exige segmentar la red, impedir las comunicaciones innecesarias, tener una DMZ y registrar lo que hacen los cortafuegos.
Por regla general, no a las pequeñas: se aplica a las entidades de los sectores de los anexos que sean al menos medianas empresas. Hay excepciones que entran sea cual sea su tamaño, como los proveedores de redes públicas de comunicaciones, los de DNS o los prestadores de servicios de confianza. Y una pyme puede verse afectada como proveedora de una empresa que sí está obligada, por la seguridad de la cadena de suministro.
La directiva fija mínimos para los máximos que pongan los Estados: hasta al menos 10 millones de euros o el 2 % de la facturación mundial (lo que sea mayor) para las entidades esenciales, y hasta al menos 7 millones o el 1,4 % para las importantes.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SonicWall vende sus cortafuegos para pymes con el nombre TZ y los de empresa mediana como NSa. Ahora conviven dos generaciones: aquí están los modelos Gen 8 que la sustituyen, los…
Foto: Brett Sayles, en Pexels Guías WatchGuard vende sus cortafuegos con el nombre Firebox: la serie T de sobremesa para pymes y la serie M de rack. Aquí están los modelos actuales, sus cifras oficiales, los que se…
