NIS2: un nuevo marco para la resiliencia y la gobernanza

El 3 de abril marcó la fecha límite para el cumplimiento total del Decreto-Ley n.º 125/2025, que transpone a la legislación nacional la Directiva europea NIS2.

Sin embargo, más que una obligación legal, esta norma representa un cambio estructural en la forma en que las organizaciones deben abordar la ciberseguridad.

Para la mayoría de las entidades, ya no se trata únicamente de una cuestión de Sistemas de Información, sino de un tema de continuidad operativa, resiliencia y gobernanza.

La NIS2 amplía de forma significativa el universo de entidades afectadas, distinguiendo dos grandes grupos:

Entidades Esenciales – Grandes empresas y organismos públicos de sectores de alta criticidad, como Energía, Transporte, Banca, Salud, Agua, Espacio y Administración Pública.

Entidades Importantes – Empresas medianas y grandes de sectores como Servicios Postales, Gestión de Residuos, Alimentación, Fabricación y Proveedores de Servicios Digitales.

Este nuevo marco se sustenta en tres pilares fundamentales:

1. Gestión del riesgo y seguridad – Ya no basta con disponer de firewall y antivirus. Es obligatoria la implantación de medidas concretas, como:

• Políticas de análisis y gestión de riesgos;

• Planes de continuidad de negocio y recuperación;

• Seguridad de la cadena de suministro;

• Cifrado, control de accesos y gestión rigurosa de identidades.

2. Notificación de incidentes – Las organizaciones deben cumplir plazos estrictos de notificación al Centro Nacional de Ciberseguridad (CNCS):

• 24 horas para una alerta temprana;

• 72 horas para una notificación detallada del incidente.

3. Responsabilidad de la dirección – Uno de los cambios más relevantes es el refuerzo de la responsabilidad de los órganos de gestión. La ciberseguridad deja de ser un tema exclusivo de IT: los consejos de administración y la alta dirección pueden ser responsabilizados personal y financieramente por fallos en la implantación de las medidas, y también se exige formación específica en esta materia.

De este modo, la NIS2 consolida la ciberseguridad como un requisito legal de gobernanza, situando el riesgo digital al mismo nivel que los riesgos financieros y operativos.

En Timestamp, nuestra experiencia en soluciones críticas de negocio, gestión de infraestructuras TI, desarrollo de aplicaciones, testing, ciberseguridad y gestión de riesgos nos permite apoyar a las organizaciones en todas las fases de este proceso: desde la evaluación y adecuación hasta la implantación de procesos, políticas y soluciones tecnológicas.

Más que garantizar el cumplimiento, ayudamos a reforzar la resiliencia operativa y la confianza de clientes, usuarios y ciudadanos.

Más información sobre nuestros servicios: 🔗 Timestamp - Trabajamos en la transformación digital de las empresas