Home / Services / Compliance & Strategy / Adaptación a la directiva NIS2
Compliance & Strategy
Adaptación a la directiva NIS2 con obligaciones claras
Determinamos si tu organización entra en el ámbito de la directiva NIS2, qué obligaciones le aplican y cómo cumplirlas: gestión de riesgos, notificación de incidentes, seguridad de la cadena de suministro y responsabilidad de la dirección. Para cumplir con la notificación, preparamos la respuesta a incidentes de ciberseguridad con planes y ejercicios.
Dudas sobre si NIS2 te aplica y qué exige: certeza para decidir
La directiva NIS2 amplía los sectores y las empresas obligadas a gestionar su ciberseguridad, y muchas organizaciones no saben todavía si les aplica como entidad esencial o importante. La adaptación a NIS2 exige medidas de seguridad, notificación de incidentes y una implicación directa de la dirección.
Esperar al último momento o abordar NIS2 solo desde tecnología deja a la organización expuesta. La directiva responsabiliza a los órganos de dirección, alcanza a los proveedores y exige notificar incidentes significativos en plazos muy cortos.
En CGC analizamos el ámbito y las obligaciones, identificamos las brechas y definimos un plan de adaptación con responsables y evidencias, reutilizando lo que ya tengas de ISO 27001 o ENS. Tu organización sabe qué le exige NIS2 y cómo demostrarlo.
Las obligaciones de NIS2, cubiertas y demostrables
Análisis de ámbito y aplicabilidad
Determinamos si tu organización es entidad esencial o importante según su sector y tamaño, y qué obligaciones le corresponden, incluidas las que alcanzan a sus filiales y proveedores.
Medidas de gestión de riesgos
Evaluamos y reforzamos las medidas que exige la directiva: análisis de riesgos, continuidad, control de accesos y seguridad de la cadena de suministro.
Notificación de incidentes
Definimos cómo detectar, clasificar y notificar los incidentes significativos dentro de los plazos de NIS2, con roles, procedimientos y plantillas preparadas.
Gobierno y formación de la dirección
Preparamos a los órganos de dirección para aprobar y supervisar las medidas de ciberseguridad, como exige NIS2, con formación específica y un reporting periódico.
Cuéntanos a qué se dedica tu organización y te diremos cómo te afecta NIS2.
Cómo trabajamos para adaptarte sin duplicar
Aplicabilidad y alcance
Analizamos tu sector, tamaño y servicios para determinar si NIS2 te aplica, con qué categoría de entidad y qué sistemas y proveedores entran en el alcance.
Análisis de brechas
Comparamos tus medidas actuales con los requisitos de NIS2 y reutilizamos lo que ya tengas de ISO 27001, ENS u otros marcos para no repetir trabajo.
Plan de adaptación e implantación
Priorizamos las acciones por riesgo y obligación, y acompañamos su puesta en marcha con responsables, procedimientos y evidencias para cada requisito.
Seguimiento y acompañamiento
Documentamos el modelo, formamos a la dirección y acompañamos los primeros ciclos de revisión y notificación para que la organización lo mantenga con autonomía.
Preguntas frecuentes para entender tus obligaciones
¿Qué es la directiva NIS2 y a qué empresas se aplica?
La directiva NIS2 es la norma europea que refuerza la ciberseguridad de las entidades que prestan servicios esenciales o importantes. Se aplica, en general, a medianas y grandes empresas de sectores como energía, transporte, banca, salud, infraestructura digital, servicios TIC gestionados, industria o alimentación, además de algunas entidades más pequeñas por su criticidad.
¿Qué diferencia hay entre entidad esencial e importante en NIS2?
La diferencia está en la criticidad del sector y el tamaño de la organización. Las dos categorías tienen obligaciones de seguridad y notificación muy similares, pero las entidades esenciales están sometidas a una supervisión más intensa y preventiva, mientras que las importantes se supervisan sobre todo a posteriori.
¿En qué plazos hay que notificar un incidente según NIS2?
NIS2 exige una alerta temprana en las primeras 24 horas desde que se tiene conocimiento de un incidente significativo, una notificación en 72 horas y un informe final en el plazo de un mes. Por eso conviene tener definidos de antemano los criterios, los responsables y las plantillas.
¿Qué responsabilidad tiene la dirección de la empresa en NIS2?
Los órganos de dirección deben aprobar las medidas de ciberseguridad, supervisar su aplicación y recibir formación específica, y pueden responder por los incumplimientos. NIS2 convierte la ciberseguridad en un asunto de gobierno corporativo, por lo que incluimos a la dirección en el modelo desde el principio.
¿Si ya tenemos ISO 27001 o ENS, cumplimos con NIS2?
No automáticamente, pero tienes buena parte del camino hecho. ISO 27001 y el ENS cubren muchas de las medidas técnicas y organizativas de NIS2; las diferencias suelen estar en la notificación de incidentes, la cadena de suministro y la responsabilidad de la dirección. Analizamos esas brechas concretas.
Otros servicios para reforzar tu ciberseguridad
Hablemos de la adaptación a NIS2 de tu organización
Cuéntanos a qué sector pertenece tu organización, su tamaño y qué marcos de seguridad aplicáis hoy. Un consultor revisará tu caso, te dirá si NIS2 te aplica y te propondrá una primera sesión para definir los siguientes pasos.
Certifications