Ciberseguridad NIS2 —
10 medidas, plazos 24/72h,
sin incumplimiento
RAG especializado en NIS2. Clasifica tu entidad, evalúa las 10 medidas del art. 21 y genera notificaciones a INCIBE y CCN-CERT. Responsabilidad directiva personal por incumplimiento.
Transposición española en vigor · 10 medidas mínimas art. 21 obligatorias
Los retos de NIS2 para tu organización
NIS2 amplía el ámbito de NIS1 de 7 a 18 sectores. Miles de empresas que no sabían estar reguladas ahora tienen obligaciones de ciberseguridad bajo responsabilidad directiva personal.
Clasificación esencial/importante confusa
La distinción entre Anexo I (esencial) y Anexo II (importante) determina el nivel de multas y supervisión. Muchas entidades no saben en qué categoría están.
10 medidas del art. 21: ¿cuál implementar primero?
NIS2 exige 10 medidas técnicas y organizativas mínimas. Sin un gap analysis estructurado, no sabes cuáles tienes cubiertas y cuáles son urgentes.
Notificación en 24h/72h al INCIBE
Los plazos de notificación de incidentes significativos son estrictos y la información requerida en cada fase es diferente. Sin protocolo, el incumplimiento es casi inevitable.
Responsabilidad personal de directivos
El art. 20 NIS2 establece responsabilidad personal del órgano de dirección. En caso de incumplimiento grave, pueden ser suspendidos o inhabilitados.
Seguridad en la cadena de suministro
NIS2 exige evaluar la ciberseguridad de proveedores y subcontratistas críticos. Muchas organizaciones no tienen inventario ni evaluación de riesgos de terceros.
Formación directiva obligatoria
El art. 20.2 NIS2 exige que el órgano de dirección reciba formación periódica en ciberseguridad. Sin documentación del cumplimiento, hay riesgo de sanción.
IgeraRegTech NIS2 en acción
Entrenado con la Directiva EU 2022/2555, la transposición española, guías de INCIBE, CCN-CERT y ENISA.
Clasificador esencial/importante
Determina si tu organización está en Anexo I (esencial) o Anexo II (importante) de NIS2 y qué nivel de obligaciones y multas aplican.
Clasificación en < 10 minGap analysis 10 medidas art. 21
Evaluación estructurada de las 10 medidas técnicas y organizativas: políticas, gestión incidentes, continuidad, cadena suministro, cifrado, MFA y más.
Gap analysis completo en 1 díaProtocolo notificación 24h/72h
Plantillas de alerta temprana (24h) y notificación completa (72h) para incidentes significativos NIS2 hacia INCIBE y CCN-CERT.
100% campos obligatoriosPlan formación directiva art. 20
Programa de formación estructurado para el órgano de dirección. Módulos de concienciación y documentación del cumplimiento del art. 20.2.
Documentación auditableEvaluación seguridad proveedores
Cuestionario y metodología para evaluar el nivel de ciberseguridad de proveedores y subcontratistas críticos según NIS2.
Cadena suministro cubiertaMonitor INCIBE y CCN-CERT
Información actualizada sobre circulares, guías y alertas de INCIBE y CCN-CERT relacionadas con la implementación NIS2 en España.
Actualización continuaPreguntas reales, artículos exactos
Así responde IgeraRegTech NIS2 con la Directiva como fuente de verdad
"¿Nuestra empresa de suministro eléctrico está clasificada como entidad esencial o importante bajo NIS2?"
Según el Anexo I de la Directiva NIS2 (EU 2022/2555), los operadores de sistemas de distribución eléctrica y las empresas de suministro eléctrico están clasificados como entidades esenciales en el sector de energía (Anexo I, punto 1). Esto implica: multa máxima de €10M o 2% de facturación global anual, supervisión ex-ante por las autoridades competentes, y cumplimiento completo de las 10 medidas del art. 21.
"¿Qué debemos notificar a INCIBE en las primeras 24 horas después de detectar un ciberataque?"
Art. 23.4(a) NIS2: La alerta temprana en 24 horas debe indicar: (1) si el incidente es significativo (supera los umbrales del art. 23.3), (2) si hay indicios de que es causado por un acto ilegal o malicioso, (3) si tiene potencial impacto transfronterizo. No se requiere análisis técnico completo. La alerta se envía a través del sistema designado por INCIBE. El análisis técnico preliminar se incluye en la notificación de 72 horas.
"¿Qué responsabilidad tienen exactamente los directivos de nuestra empresa si no cumplimos NIS2?"
Art. 20 NIS2: Los miembros del órgano de dirección son personalmente responsables de aprobar y supervisar la implementación de las medidas del art. 21. En caso de incumplimiento grave, las autoridades competentes pueden: (1) emitir una advertencia pública con el nombre del responsable, (2) exigir al órgano de dirección que presente un plan de cumplimiento, (3) suspender temporalmente al responsable del ejercicio de funciones directivas, (4) prohibirle ejercer funciones directivas en cualquier entidad NIS2. Esta responsabilidad no puede ser delegada ni exonerada por decisión societaria.
¿Hablamos sobre NIS2?
Cuéntanos tu sector y tamaño y te mostramos si eres esencial o importante y qué debes implementar.