Directiva NIS2: Resumen en inglés para CISOs y responsables de cumplimiento

No. Es un resumen no oficial en inglés destinado a hacer accesibles la estructura y las obligaciones de la directiva. Para interpretación vinculante, consulta el texto oficial en OJ L 333/80 (27 de diciembre de 2022) o a través de EUR-Lex (CELEX 32022L2555). Los actos nacionales de transposición en tu Estado miembro pueden imponer obligaciones más estrictas o de alcance diferente que la propia directiva.

Empresas en sectores del Anexo I o del Anexo II que superen el umbral de mediana empresa: más de 50 empleados o más de 10 millones EUR de facturación (Recomendación 2003/361/CE). El Anexo I incluye los sectores más críticos: energía, transporte, banca, mercados financieros, salud, agua, infraestructura digital, administración pública, espacio. El Anexo II incluye otros sectores críticos: postal, residuos, químicos, alimentación, manufactura, proveedores digitales, investigación. Independientemente del tamaño: registros de TLD, proveedores de DNS, prestadores de servicios de confianza y administración pública central. Las secciones 4, 6 y 7 del PDF detallan el ámbito.

La directiva entró en vigor el 16 de enero de 2023. Los Estados miembros disponían hasta el 17 de octubre de 2024 para transponerla al derecho nacional; la aplicación comenzó el 18 de octubre de 2024, fecha en que también se derogó NIS1. El calendario completo, incluido el plazo de 17 de abril de 2025 para enviar listas de entidades a la Comisión y el cronograma de revisión, está en la Sección 16. La mayoría de equipos subestiman cuánto de ese calendario ya ha pasado.

Para entidades esenciales: 10.000.000 EUR o el 2 % del volumen de negocios anual mundial, lo que sea mayor. Para entidades importantes: 7.000.000 EUR o el 1,4 % del volumen de negocios anual mundial, lo que sea mayor. La directiva también permite sanciones más allá de multas: como último recurso, los reguladores pueden prohibir temporalmente a líderes sénior de entidades esenciales ejercer sus funciones. La Sección 15 explica cómo se determinan las multas.

Sí, de dos maneras. Directamente: proveedores de DNS, nube, centros de datos, CDN, MSP/MSSP, mercados en línea, buscadores y redes sociales no europeos que ofrezcan servicios en la UE deben designar un representante europeo y cumplir. Indirectamente: cualquier proveedor no europeo que suministre productos o servicios a entidades esenciales o importantes de la UE quedará sujeto a requisitos contractuales de seguridad de cadena de suministro que sus clientes europeos impongan bajo el Artículo 21(2)(d). La Sección 17 cubre ambas.

Tres plazos, todos activados al «tomar conocimiento» de un incidente significativo: 24 horas para aviso temprano, 72 horas para notificación completa y un mes para el informe final. Los destinatarios del servicio también deben ser notificados sin demora indebida si una amenaza cibernética significativa probablemente les afecte. La Sección 10 muestra la matriz completa de notificación.