Análisis de aplicabilidad
Comprobamos si tu empresa entra en alguno de los sectores de la directiva y si supera los umbrales de tamaño. También revisamos si tus clientes te van a pedir las mismas medidas como proveedor, algo cada vez más habitual.
Evaluación de riesgos
Analizamos tus sistemas, tus accesos y tus proveedores para saber dónde estás expuesto. Con ese análisis te entregamos un plan con prioridades, plazos y responsables. Si ya trabajas con la ISO 27001, aprovechamos todo lo que tienes hecho.
Implantación de medidas
Ponemos en marcha los controles que pide la directiva: autenticación multifactor, copias de seguridad, gestión de parches, cifrado y control de accesos. Además, dejamos por escrito las políticas que tendrás que enseñar al supervisor.
Gestión de incidentes
Preparamos un procedimiento claro para detectar un incidente, contenerlo y avisar a las autoridades dentro de plazo. De este modo, tu equipo sabe qué hacer en las primeras 24 horas, que son las que más cuentan.
El método Apen: cómo funciona
- Aplicabilidad: comprobamos tu sector, tu tamaño y tus contratos.
- Diagnóstico: medimos la distancia entre tu situación y lo que exige la directiva.
- Plan de medidas: ordenamos lo pendiente por riesgo y por coste.
- Implantación: aplicamos los controles y formamos a la dirección y al equipo.
- Seguimiento: revisamos las medidas y las adaptamos cuando se apruebe la ley española.
Además, nuestro equipo técnico lleva más de 35 años protegiendo pymes del Vallès y de Barcelona. Por eso proponemos medidas que encajan con el presupuesto y el personal que tienes, no con los de una gran empresa. Si necesitas apoyo continuado, te asignamos un consultor dentro de nuestro servicio de consultoría NIS2.
Qué exige la normativa NIS2 y a quién obliga
La Unión Europea publicó la Directiva (UE) 2022/2555 el 27 de diciembre de 2022, y los Estados tenían hasta el 17 de octubre de 2024 para trasponerla. Afecta a sectores como la energía, el transporte, la sanidad, el agua, la infraestructura digital, la fabricación, la alimentación o la gestión de residuos.
En general, la directiva afecta a las empresas de esos sectores con 50 trabajadores o más, o con más de 10 millones de euros de facturación anual. Sus obligaciones principales son tres. En primer lugar, la dirección aprueba las medidas de seguridad y responde de ellas. En segundo lugar, la empresa gestiona sus riesgos, incluidos los de sus proveedores. Por último, debe enviar una alerta temprana de los incidentes graves en 24 horas, una notificación en 72 horas y un informe final en un mes.
En España, el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025. Sin embargo, a octubre de 2026 el BOE todavía no ha publicado la ley. Por ese retraso, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE en julio de 2026. Mientras tanto, sigue vigente el Real Decreto-ley 12/2018, que adaptó la primera directiva NIS.
Esperar a la ley no es buena idea. Por un lado, adaptar los sistemas lleva meses. Por otro, muchos clientes ya piden estas medidas a sus proveedores. Además, si trabajas con la Administración, buena parte de lo que exige la NIS2 coincide con el Esquema Nacional de Seguridad, y todo ello refuerza la ciberseguridad de tu empresa. Si ya has implantado medidas, una auditoría de cumplimiento te confirma si puedes demostrarlo. Si quieres saber en qué punto estás, llámanos al 938 606 220 o pide tu diagnóstico gratuito.
