NIS2 en España: qué supone la directiva para los equipos que trabajan fuera de la oficina

La Directiva (UE) 2022/2555, conocida como NIS2, sustituyó a la primera Directiva NIS y establece un nivel común de ciberseguridad en toda la UE. Los Estados miembros debían transponerla antes del 17 de octubre de 2024 y aplicar sus normas nacionales desde el 18 de octubre de 2024. Varios llegaron tarde, y España es uno de ellos.

La directiva se aplica a las entidades esenciales e importantes de los sectores enumerados en sus anexos I y II: energía, transporte, banca, sanidad, agua potable y aguas residuales, infraestructura digital, administración pública, espacio, servicios postales, gestión de residuos, productos químicos, alimentación, fabricación, proveedores digitales e investigación. Por regla general, entran en su ámbito las organizaciones medianas y grandes de esos sectores; algunas, como determinados organismos de la administración pública o el único proveedor de un servicio crítico, entran con independencia de su tamaño.

Como NIS2 es una directiva, las obligaciones concretas las fija la ley nacional. Consulte la transposición de su país y las orientaciones de su autoridad nacional antes de basarse solo en el texto europeo.

El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que traspone NIS2. El texto crea un Centro Nacional de Ciberseguridad para dirigir y coordinar el sistema y gestionar las crisis, y reparte la supervisión entre la Oficina de Coordinación de Ciberseguridad (Secretaría de Estado de Seguridad), el Centro Criptológico Nacional y las Secretarías de Estado de Telecomunicaciones e Infraestructuras Digitales y de Digitalización e Inteligencia Artificial. Cuando se revisó esta guía, en octubre de 2026, la ley seguía sin publicarse en el BOE, y el 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por no haber notificado la transposición.

Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que traspuso la primera Directiva NIS, desarrollado por el Real Decreto 43/2021. Los operadores de servicios esenciales notifican los incidentes con efectos perturbadores significativos a través de su CSIRT de referencia: INCIBE-CERT para el sector privado y CCN-CERT para el sector público. Preparar ya las medidas de NIS2 es lo sensato, porque la nueva ley se ha anunciado por la vía de urgencia y sus plazos se notarán en cuanto entre en vigor.

NIS2 protege los servicios que presta una entidad y, con ellos, las redes y sistemas de información de los que dependen. Las brigadas de reparación de una empresa de aguas, los equipos de averías de una distribuidora eléctrica, las dotaciones de un servicio de ambulancias o el gabinete de crisis de una autoridad regional dependen de sistemas que están fuera del centro de datos:

• teléfonos y tabletas que reciben trabajos, mapas y planes;
• la mensajería con la que se coordina la respuesta, incluidas las apps de chat de consumo que la gente adoptó por su cuenta;
• los datos de ubicación, fotos y registros de incidentes generados sobre el terreno;
• los servicios en la nube y proveedores que alojan esas apps y esos datos;
• las soluciones de respaldo para cuando cae la red móvil o el sistema central.

El artículo 21 exige medidas técnicas, operativas y organizativas «adecuadas y proporcionadas» basadas en un enfoque que abarque todos los riesgos. Enumera diez ámbitos como mínimo. Leídos pensando en los equipos sobre el terreno, quedan así:

• Análisis de riesgos y políticas de seguridad: incluya en su evaluación de riesgos los dispositivos móviles, las apps de campo y los datos que contienen.
• Gestión de incidentes: un teléfono perdido, una cuenta de chat secuestrada o un rastro de ubicación filtrado es un incidente; las brigadas deben saber cómo notificarlo.
• Continuidad de la actividad, copias de seguridad y gestión de crisis: planifique cómo siguen trabajando las brigadas cuando falla la red o el sistema central, lo que en la práctica significa mapas sin conexión y datos en el dispositivo.
• Seguridad de la cadena de suministro: evalúe a los proveedores de las apps de campo y los servicios que hay detrás.
• Seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión y divulgación de vulnerabilidades.
• Evaluación de la eficacia de las medidas que adopte.
• Ciberhigiene y formación: bloqueo de pantalla, actualizaciones y concienciación sobre phishing también para las brigadas, no solo para el personal de oficina.
• Políticas de criptografía y cifrado, que deben cubrir los mensajes, fotos y archivos enviados desde el terreno.
• Seguridad de los recursos humanos, control de acceso y gestión de activos: sepa qué dispositivos existen y quién los tiene, y retire el acceso enseguida cuando alguien se va.
• Autenticación multifactor y comunicaciones de voz, vídeo y texto seguras, así como sistemas seguros de comunicación de emergencia dentro de la entidad cuando proceda.

El artículo 20 obliga a los órganos de dirección a aprobar las medidas de ciberseguridad, supervisar su aplicación y formarse ellos mismos. Pueden ser considerados responsables de los incumplimientos. Las operaciones sobre el terreno las dirigen a menudo personas que nunca han visto la política de seguridad, y NIS2 espera que la dirección que la firma sepa cómo se aplica en la calle.

El artículo 34 fija el mínimo de las multas: al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales, y al menos 7 millones de euros o el 1,4 % para las importantes, la cifra que sea mayor. Los máximos nacionales pueden ser más altos.

Sinkaos reúne la coordinación sobre el terreno en un solo sistema del que puede rendir cuentas: claves por dispositivo y revocación, MFA y passkeys, mensajes y archivos cifrados de extremo a extremo, funcionamiento sin conexión cuando falla la red, un registro de auditoría a prueba de manipulaciones y la opción de alojamiento en la UE, sus propios servidores o un nodo desconectado. Le ayuda a cumplir las obligaciones de NIS2; por sí solo no garantiza el cumplimiento. Encontrará los detalles en la página de seguridad y en implantación.