Implementació de la Directiva NIS2 a Espanya: situació, obligacions i reptes

Informatec Digital » Recursos » Implementació de la Directiva NIS2 a Espanya: situació, obligacions i reptes

La Directiva Europea NIS2 ha remogut completament el panorama de la ciberseguretat a Europa i, molt especialment, a Espanya. No estem davant d'una norma més, sinó davant d'un canvi de regles que afecta com empreses i administracions públiques gestionen els riscos digitals, reporten incidents i es coordinen amb les autoritats.

Mentrestant, Espanya avança amb passos ferms però clarament endarrerits en la transposició: el termini oficial acabava l'octubre del 2024 i, avui dia, la futura Llei de Coordinació i Governança de la Ciberseguretat segueix en tramitació parlamentària. Aquest context genera un escenari una mica peculiar: la Directiva ja és vinculant a nivell europeu, però el marc jurídic nacional definitiu encara no està aprovat, deixant moltes entitats entre l'obligació moral i estratègica de preparar-se i avaluar-ne la situació avaluar-ne la situació i l'absència d'una llei plenament aplicable.

Què és la Directiva NIS2 i per què canvia les regles del joc

La Directiva (UE) 2022/2555, coneguda com a NIS2 , substitueix la Directiva NIS original amb l'objectiu d'establir un nivell comú elevat de ciberseguretat per a xarxes i sistemes d'informació a tota la Unió Europea. El seu propòsit és reforçar la resiliència davant de ciberincidents que puguin afectar serveis essencials i el funcionament normal de la societat i l'economia.

A diferència de la seva predecessora, NIS2 amplia de manera notable el nombre de sectors i entitats afectades , incorporant no només les infraestructures crítiques tradicionals (energia, transport, aigua, banca o salut), sinó també àmbits com l'administració pública, les infraestructures digitals, els serveis postals i de missatgeria, la gestió de residus, la manufactura avançada o la producció.

La Directiva estableix un marc harmonitzat de requisits mínims de ciberseguretat per a tota la UE, amb mesures de gestió de riscos, governança, protecció de la cadena de subministrament, continuïtat de negoci i notificació primerenca d'incidents. A més, endureix el règim de supervisió i sancions, i eleva de manera explícita la responsabilitat de l'alta direcció.

Una altra novetat rellevant és la clara aposta per la cooperació entre Estats membres i la creació o el reforç d' equips de resposta a incidents (CSIRT) nacionals, capaços de coordinar-se a nivell europeu davant de situacions de crisi greu. ENISA, l'Agència de la UE per a la Ciberseguretat, juga un paper clau en aquest ecosistema, tot recolzant el desenvolupament d'estratègies nacionals de ciberseguretat i promovent bones pràctiques.

El sector financer queda fora de l'àmbit de NIS2 en allò essencial, en aplicar-se amb preferència la normativa DORA com a lex specialis. Tot i així, la lògica de resiliència operacional digital que impulsa DORA és plenament coherent amb la filosofia de NIS2.

Estat actual de la transposició de NIS2 a Espanya

La Directiva NIS2 va entrar en vigor el 16 de gener del 2023 i va fixar com a data límit per a la seva transposició el 17 d'octubre del 2024. Un any després d'aquest termini, Espanya seguia sense haver completat la incorporació formal a l'ordenament jurídic intern, situant-se al grup de països endarrerits.

Com a conseqüència d‟aquest retard, la Comissió Europea va obrir procediments d‟infracció contra nombrosos Estats membres. El 7 de maig del 2025, la Comissió va enviar un dictamen motivat a dinou països, entre ells Espanya, requerint-los que notifiquessin la plena transposició de la Directiva en un termini de dos mesos, sota l'advertència de poder portar l'assumpte davant el Tribunal de Justícia de la UE si no s'adoptaven les mesures necessàries.

En el cas espanyol, el gran punt d'inflexió es va produir el 14 de gener de 2025 amb l'aprovació, al Consell de Ministres, de l'Avantprojecte de Llei de Coordinació i Governança de la Ciberseguretat . Aquesta norma és la que servirà d'instrument fonamental per traslladar el NIS2 al dret intern i reorganitzar el model de governança nacional en ciberseguretat.

Després de la seva aprovació inicial, l'avantprojecte es va sotmetre a audiència i informació pública entre el 16 de gener i el 10 de febrer del 2025 , permetent que ciutadans, empreses, associacions i altres organismes presentessin comentaris i propostes de millora. Posteriorment, el text va passar pel Grup de Treball Tècnic Interministerial, que va consolidar l'esborrany tenint en compte les al·legacions rebudes, incloses les de comunitats d'experts com ara ISMS Forum.

Tot i així, i malgrat l'impuls polític, la llei continua en fase de tramitació parlamentària . S'ha parlat de la seva elevació al Consell de Ministres per aprovació com a projecte de llei al voltant del novembre i d'una aprovació parlamentària possible a finals de gener o febrer de l'any següent, però la realitat és que, fins a finals del 2025, Espanya continua sense disposar d'una llei nacional plenament aplicable que transposi NIS2.

L'Avantprojecte de Llei de Coordinació i Governança de la Ciberseguretat

L'avantprojecte aprovat pel Govern espanyol és una iniciativa conjunta dels ministeris de l'Interior, Defensa i per a la Transformació Digital i de la Funció Pública . La seva funció és doble: d'una banda, transposar la Directiva NIS2, i de l'altra, ordenar la coordinació i la governança de la ciberseguretat a escala estatal, reforçant la protecció de xarxes i sistemes d'informació davant de ciberamenaces que puguin impactar en infraestructures crítiques i serveis essencials.

La futura llei s'aplicarà a entitats públiques i privades que operin en sectors com energia, transport, banca i infraestructures de mercats financers, salut, gestió de l'aigua, infraestructures digitals, serveis tecnològics i altres sectors crítics . Inclou de manera explícita els registres de noms de domini , com ara Dominios.es (gestionat per Red.es), que passen a assumir noves obligacions en matèria de ciberseguretat pel seu paper estratègic en l'estabilitat de l'ecosistema digital.

En línies generals, l'avantprojecte s'alinea amb les obligacions principals de la Directiva NIS2 i articula quatre eixos clau: reforç de la governança i la responsabilitat de l'alta direcció, mesures generals de gestió de riscos de seguretat, designació d'un responsable de seguretat de la informació i obligacions clares de notificació d'incidents.

A més, la norma espanyola introdueix una peça organitzativa de gran importància: la creació del Centre Nacional de Ciberseguretat (CNC) . Aquest organisme actuarà com a eix de coordinació per a la protecció de xarxes i sistemes dinformació, harmonitzant criteris entre diferents autoritats de control (Interior, Defensa i Transformació Digital), impulsant equips de resposta a incidents (CSIRT) i facilitant una visió més cohesionada de lecosistema de ciberseguretat nacional.

Durant la fase de consulta pública, organitzacions com ISMS Forum van plantejar aportacions rellevants : reforç de les funcions del responsable de seguretat de la informació, desvinculació d'aquesta figura de la Llei de Seguretat Privada, i mecanismes específics de reacció quan l'entitat incomplidora és una administració pública que, per naturalesa pròpia, no pot ser sancionada econòmicament. Entre les propostes figura la possibilitat d'advertiments públics, en línia amb allò que preveu la LOPDGDD en matèria de protecció de dades.

Sectors i tipus d'entitats afectades pel NIS2

NIS2 classifica les organitzacions subjectes a la Directiva com a entitats essencials o entitats importants , en funció principalment del sector en què operen i de la seva mida (mitjanes i grans empreses, amb excepcions basades en criticitat). La norma s'aplica de manera general a entitats públiques o privades que desenvolupen la seva activitat a la UE, amb possibilitat d'incloure organitzacions més petites quan els Estats membres les identifiquin com a essencials o importants per la seva rellevància.

Els sectors d'alta criticitat es recullen a l' Annex I de NIS2, mentre que altres sectors crítics figuren a l' Annex II . A Espanya, el salt en nombre de sectors és una mica més petit que en altres països, perquè la transposició de l'antiga NIS ja es va alinear amb la Llei 8/2011 de Protecció d'Infraestructures Crítiques, que contemplava 12 sectors. Tot i així, NIS2 incorpora àmbits nous com els serveis postals i de missatgeria, la gestió de residus o diverses categories de manufactura , i en desdobla d'altres, per exemple, distingint entre aigua potable i aigües residuals.

Entre els sectors i exemples d'entitats , destaquen:

• Energia: empreses elèctriques subministradores, gestors de xarxes de transport i distribució, productors, operadors NEMO, participants al mercat elèctric, operadors de punts de recàrrega; operadors i gestors de xarxes de gas, petroli i hidrogen.
• Transport: companyies aèries, gestors aeroportuaris, control del trànsit aeri, administradors d'infraestructures ferroviàries, empreses ferroviàries, entitats de transport marítim i fluvial, gestors portuaris, serveis de trànsit de vaixells, autoritats viàries i operadors de sistemes de transport intel·ligent.
• Banca i infraestructures de mercats financers: entitats de crèdit i gestors de centres de negociació, entitats de contrapartida central, amb el matís que DORA actua com a norma sectorial específica.
• sector sanitari: prestadors d'assistència sanitària, laboratoris de referència de la UE, entitats de R+D de medicaments, fabricants de productes farmacèutics de base i especialitats, i fabricants de productes sanitaris essencials en emergències de salut pública.
• Aigua potable i aigües residuals: subministradors i distribuïdors d'aigua de consum humà, i empreses responsables de la recollida, l'eliminació i el tractament d'aigües residuals urbanes, domèstiques o industrials.
• Infraestructura digital: proveïdors de punts d'intercanvi d'internet (IXP), serveis DNS, registres de dominis de primer nivell, proveïdors de serveis de computació al núvol, centres de dades, xarxes de distribució de continguts (CDN), prestadors de serveis de confiança, proveïdors de xarxes públiques de comunicacions electròniques i serveis de comunicacions electròniques al públic.
• Gestió de serveis TIC d'empresa a empresa: proveïdors de serveis gestionats i de serveis de seguretat gestionats, amb un impacte directe a tota la cadena de subministrament tecnològica.
• Administracions públiques: entitats de lAdministració general de lEstat i, en determinats casos, entitats autonòmiques i locals, quan la pertorbació dels seus serveis pugui impactar de manera significativa en activitats socials o econòmiques crítiques.
• Serveis postals i de missatgeria: proveïdors que fan recollida, classificació, transport i distribució d'enviaments postals.
• Gestió de residus: empreses dedicades a la recollida, transport, valorització i eliminació de residus, inclosos abocadors.
• Química: empreses de fabricació, producció i distribució de substàncies i barreges químiques, així com producció d'articles a partir d'elles.
• Producció, transformació i distribució d'aliments: empreses alimentàries dedicades a la distribució a l'engròs ia la producció i transformació industrial a gran escala.
• Manufactura avançada: fabricants de productes sanitaris i de diagnòstic in vitro, fabricació de productes informàtics, electrònics i òptics, material elèctric, maquinària i equip, vehicles de motor i altre material de transport.
• Sector espai: operadors d'infraestructures terrestres que donen suport a la prestació de serveis espacials, excepte aquelles la propietat o gestió de les quals correspongui a la UE oa tercers en el marc del seu programa espacial.

En tots aquests sectors, les entitats grans solen classificar-se com a essencials , mentre que les mitjanes tendeixen a ser importants, llevat de designació específica en un altre sentit. Les petites i microempreses solen quedar fora per mida, però poden ser incloses si la seva criticitat ho justifica.

Governança i responsabilitats de l'alta direcció

Un dels girs més contundents de NIS2 i de l'avantprojecte espanyol és l'èmfasi en la governança de la ciberseguretat i la responsabilitat directa dels òrgans de direcció . L'article 14 de l'avantprojecte consolida aquesta idea: la ciberseguretat passa de ser un assumpte merament tècnic a esdevenir un tema estratègic de màxim nivell.

L'alta direcció haurà d' aprovar i supervisar la implantació de mesures de gestió de riscos de ciberseguretat , assegurant-se que són proporcionals al context de l'organització i als riscos identificats. A més, s'estableix que els òrgans de govern assumiran la darrera responsabilitat en cas d'incompliment, cosa que enllaça amb el règim sancionador reforçat.

Un altre punt clau és la formació periòdica en ciberseguretat per als membres de la direcció . No n'hi ha prou amb delegar: els dirigents s'hauran de formar per comprendre els riscos, prendre decisions informades i donar suport a la difusió d'una cultura de seguretat sòlida a tota l'organització. Alhora, estaran obligats a impulsar programes de formació periòdica per a la resta de la plantilla.

L'article 20 de NIS2 reforça aquesta visió en exigir expressament que els òrgans de govern siguin conscients de les seves obligacions, aprovin les mesures, vetllin per la seva implementació i puguin arribar a respondre, en situacions extremes, fins i tot amb conseqüències personals (com la possible separació de funcions en determinats supòsits).

En aquest context, la relació entre la direcció i el responsable de seguretat de la informació (CISO o homòleg) esdevé crítica: s'espera una interlocució fluida, constant i basada en criteris objectius de risc i compliment.

Mesures de gestió de riscos exigides per NIS2

L'article 15 de l'avantprojecte espanyol estableix que les mesures de gestió de riscos de ciberseguretat s'han de basar en normes tècniques nacionals, europees i internacionals , integrant, com a mínim, els requisits recollits a l'article 21 de NIS2 i desenvolupats al Reglament d'Execució (UE) 2024/2690.

Entre les mesures que les entitats essencials i importants han d'implementar , destaquen:

• Polítiques de seguretat i anàlisi de riscos dels sistemes dinformació, amb revisions periòdiques.
• Gestió d'incidents, incloent procediments clars de detecció, resposta i recuperació.
• Continuïtat de negoci, còpies de seguretat, recuperació davant de desastres i gestió de crisis, assegurant la resiliència operativa.
• Seguretat de la cadena de subministrament i de les relacions amb proveïdors i prestadors de serveis directes, cosa que implica imposar requisits contractuals i controls d'homologació i auditoria.
• Gestió de vulnerabilitats en l'adquisició, el desenvolupament i el manteniment de xarxes i sistemes d'informació, incloent pegats i actualitzacions.
• Polítiques per avaluar l'eficàcia de les mesures de ciberseguretat, mitjançant auditories, mètriques i revisions periòdiques.
• Pràctiques bàsiques de ciberhigiene i formació empleats, adaptades als diferents perfils.
• Polítiques de criptografia i xifrat per garantir la confidencialitat i la integritat de la informació.
• Seguretat de recursos humans, polítiques de control daccés i gestió dactius.
• Autenticació multifactor o contínua, protecció de comunicacions de veu i comunicacions d'emergència.

A Espanya, moltes d'aquestes mesures ja eren presents a l' Esquema Nacional de Seguretat (ENS) , especialment per a administracions públiques i els seus proveïdors. De fet, l'Agència Estatal d'Administració Digital i el Centre Criptològic Nacional han presentat davant la UE la forta alineació de l'ENS amb NIS2, subratllant-ne el potencial com a referència europea i la contribució a la resiliència de l'ecosistema digital nacional.

No obstant això, NIS2 eleva el llistó per a un conjunt molt més ampli d'empreses, incloses pimes que es vegin afectades per mida o criticitat . Per a organitzacions madures, moltes d‟aquestes exigències encaixen amb pràctiques ja en marxa; per a milers de companyies sense tradició en ciberseguretat, representen un salt important de maduresa, recursos i organització interna.

El responsable de seguretat de la informació (CISO) i les seues funcions

L'article 16 de l'avantprojecte estableix que totes les entitats essencials i importants han de designar un responsable de seguretat de la informació . Aquesta figura, inspirada en l'experiència prèvia espanyola amb la NIS original, es converteix en el punt neuràlgic per coordinar tot allò relacionat amb la protecció de sistemes i dades.

Entre les seves funcions principals hi ha:

• Definir i implantar lestratègia de ciberseguretat de lorganització, alineada amb els riscos, el negoci i les obligacions normatives.
• Avaluar, mitigar i revisar de manera contínua els riscos, mantenint una visió actualitzada de l'exposició de l'entitat.
• Gestionar evidències, polítiques i registres necessaris per demostrar el compliment de les obligacions derivades de NIS2 i de la normativa nacional.
• Impulsar la cultura de ciberseguretat en coordinació amb l'alta direcció, formant i sensibilitzant tota la plantilla.
• Garantir el compliment de les obligacions de notificació d'incidents, coordinant els reports davant les autoritats competents.

Espanya va ser un dels primers països a introduir de manera expressa la figura del CISO en la transposició de l'antiga NIS. Tot i això, l'experiència va mostrar que un nombre significatiu d'operadors essencials mai va arribar a designar formalment aquesta figura i, tot i així, no van ser sancionats. NIS2, combinada amb la futura llei espanyola i amb un règim sancionador més sever, cerca corregir aquesta laxitud i donar al CISO una posició més robusta i reconeguda.

Amb vista al futur, s'espera un augment massiu d'entitats obligades : d'uns 400 operadors essencials actuals a un rang estimat entre 5.000 i 50.000 entitats essencials i importants. Això implicarà una demanda notable de perfils de ciberseguretat, interns o externalitzats, especialment per a pimes que mai abans no havien comptat amb aquest rol.

Obligacions de notificació d'incidents i gestió de vulnerabilitats

La Directiva NIS2 dóna una importància cabdal a la notificació primerenca d'incidents de seguretat amb impacte significatiu . L'article 18 de l'avantprojecte espanyol desenvolupa aquesta obligació, alineat amb els temps i els continguts establerts per la Directiva.

Quan una entitat pateixi un incident que pugui causar greus pertorbacions en la prestació dels seus serveis o danys considerables a si mateixa oa tercers, haurà de complir el següent esquema de reporti:

• Notificació inicial: en un màxim de 24 hores després de la detecció de l'incident, proporcionant la informació bàsica disponible.
• Informe intermedi: en un termini màxim de 72 hores des de la detecció, amb una primera avaluació de limpacte i la gravetat.
• Informe final: en el termini màxim d'un mes des de la primera notificació, incloent-hi una descripció detallada de l'incident, el seu impacte, gravetat i les mesures adoptades.

A més, NIS2 reforça la gestió i la comunicació de vulnerabilitats : no es tracta només d'informar sobre incidents consumats, sinó també compartir informació rellevant sobre vulnerabilitats que puguin tenir impacte sistèmic, facilitant la coordinació de respostes a escala nacional i europea.

A Espanya, l'ecosistema de resposta es recolza en tres grans CSIRT de referència : el CCN-CERT (per a administració pública, empreses estratègiques i sistemes classificats), INCIBE-CERT (sector privat i ciutadania) i el MCCE (àmbit de Defensa). S'hi afegeix la xarxa csirt.es, que agrupa desenes d'equips especialitzats i es connecta amb xarxes internacionals com FIRST, així com la Xarxa Nacional de SOC.

Les entitats essencials i importants hauran de reportar els seus incidents als CSIRT competents , dacord amb la normativa sectorial i les indicacions del futur Centre Nacional de Ciberseguretat, que actuarà com a element coordinador i enllaç amb ENISA i la resta dEstats membres.

Règim sancionador i pressió europea

La Directiva NIS2 estableix un règim sancionador clarament més sever que el de l'antiga NIS . Per a entitats essencials, les infraccions més greus poden comportar multes de fins a 10 milions dʻeuros o el 2 % de la facturació global del grup, mentre que per a entitats importants les sancions poden arribar fins a 7 milions dʻeuros o l 1,4 % de la facturació global.

En aquests moments, encara no s'han vist sancions basades en NIS2 a Espanya , entre altres motius perquè la llei de transposició encara no està en vigor i no s'ha designat formalment l'autoritat de control. En altres estats membres, la transposició és recent, per la qual cosa encara és aviat per observar un moviment sancionador ampli.

Tot i així, els experts coincideixen que, quan països com França o Alemanya comencin a aplicar sancions , Espanya no es podrà quedar enrere si vol mantenir l'harmonització i la credibilitat a nivell europeu. La pressió de la Comissió, mitjançant procediments d'infracció i dictàmens motivats, va en aquesta línia.

A més del muntant econòmic de les multes, NIS2 introdueix per primera vegada de manera tan explícita la responsabilitat de l'alta direcció en matèria de ciberseguretat . La desconnexió entre la direcció i el CISO deixa de ser una opció: l‟òrgan de govern ha d‟implicar-se, estar informat i prendre les decisions oportunes.

El gran repte, assenyalen especialistes com els d'ISMS Forum, és al teixit de pimes que, sense ser plenament conscients, quedaran obligades per NIS2 . Moltes no tenen prou recursos, processos o cultura de ciberseguretat, i es veuran «empeses» tant per la llei com per les exigències dels seus grans clients a la cadena de subministrament, que hauran d'exigir garanties contractuals per poder complir al seu torn amb la Directiva.

Iniciatives de suport, estudis i paper de l'ENS

En paral·lel a l'avenç legislatiu, Espanya impulsa iniciatives tècniques i de coneixement per facilitar l'adaptació del teixit empresarial a NIS2. ISMS Forum, per exemple, treballa en un Estudi de l'Impacte de NIS2 a l'Empresa Espanyola, sota la Càtedra Extraordinària de Ciberseguretat i Protecció de Dades de la UCM.

Aquest projecte persegueix un doble objectiu: construir un cens no oficial d'empreses afectades per NIS2 i mesurar-ne el nivell de maduresa en ciberseguretat. En una primera fase, s'elaborarà el cens utilitzant bases de dades integrals (registre mercantil, DIRCE/INE, bases sectorials, etc.), amb una data estimada de resultats al voltant de novembre de 2025. En una segona fase, s'enviarà un qüestionari breu a una mostra representativa d'empreses (objectiu de 1.000 respostes)2 per valorar-ne el nivell2.

L'anàlisi inclourà segmentacions per sector, mida, distribució geogràfica i tipus d'entitat (essencial o important) , presentant les conclusions en un informe executiu de caràcter agregat, sense dades individuals, que serveixi tant a empreses com a autoritats.

Alhora, organitzacions com ISMS Forum i diferents agències públiques estan desplegant jornades de divulgació per tot el territori nacional , amb especial atenció a les pimes. L'objectiu és «evangelitzar», explicar clarament què implica NIS2, perquè és imprescindible comptar amb un CISO (intern o extern), com definir polítiques bàsiques de ciberseguretat i com preparar-se per a la futura llei i les seves normes complementàries.

A nivell estrictament normatiu, l' Esquema Nacional de Seguretat s'ha presentat a Europa com una de les grans fortaleses espanyoles . L'Agència Estatal d'Administració Digital i el CCN han compartit amb el Grup de Cooperació NIS2 l'experiència acumulada de l'ENS, els perfils de compliment i la integració amb els esquemes europeus de certificació del Reglament (UE) 2019/881 (Cybersecurity Act). La bona acollida d‟aquesta presentació reforça la imatge d‟Espanya com a actor proactiu i compromès amb una ciberseguretat robusta, coherent i harmonitzada.

En aquest context, l‟adaptació d‟Espanya a NIS2 es mou entre la pressió dels terminis, la solidesa tècnica d‟instruments com l‟ENS i el repte enorme d‟incorporar a milers de noves entitats a una cultura de ciberseguretat avançada. Les organitzacions que s'avancen, facin diagnòstics de situació i comencin ja a alinear les seves pràctiques amb la Directiva estaran en millor posició per minimitzar riscos, evitar sancions futures i demostrar una postura proactiva i madura davant de la ciberamenaça.