La digitalización acelerada de nuestra economía y sociedad ha elevado significativamente la exposición a amenazas de ciberseguridad. Estas amenazas ya no solo afectan a sistemas tecnológicos: impactan directamente en la seguridad económica, social y geopolítica de Europa.
Para responder a este contexto, la Unión Europea ha reforzado su marco normativo en ciberseguridad con la Directiva (UE) 2022/2555, conocida como NIS2, que sustituye a la Directiva NIS original de 2016.
¿Qué cambia con NIS2?
La NIS2 refuerza el enfoque preventivo y colaborativo de la ciberseguridad. Entre sus principales novedades destacan:
- Ampliación del ámbito de aplicación: Incluye nuevos sectores considerados críticos, como salud, alimentación, aguas, administración pública, infraestructura digital o manufactura crítica.
- Clasificación de entidades: Introduce una distinción entre entidades esenciales e importantes, permitiendo una supervisión diferenciada en función del riesgo.
- Obligaciones más estrictas: Refuerza la gestión de riesgos, exige planes de continuidad y recuperación, mejora la ciberseguridad en la cadena de suministro y establece la obligación de notificar incidentes graves en un plazo máximo de 24 horas.
- Gobernanza clara: Se incluye la responsabilidad de la Alta Dirección de las empresas sujetas y requiere designar responsables y mecanismos internos para gestionar la ciberseguridad de forma estructurada.
En conjunto, la NIS2 eleva el listón regulatorio e impulsa un cambio de mentalidad: la ciberseguridad pasa a entenderse como una cuestión de seguridad nacional y europea, con impacto directo en la soberanía digital y la autonomía estratégica de la UE.
Proceso de transposición en España
En España, el Ministerio del Interior, con la colaboración del Ministerio de Asuntos Económicos y Transformación Digital, además de los restantes Ministerios implicados, lidera el proceso de adaptación normativa. Estamos en un momento clave de la transposición con el proceso en marcha y se espera que en los próximos meses sea aprobada la ley y entre plenamente en vigor. Se estima que la nueva norma afecte a más de 5000 empresas de 18 sectores diferentes.
Las autoridades competentes serán designadas sectorialmente (CCN-CERT, INCIBE-CERT, CNPIC, etc.), y se prevé que el nuevo marco mantenga un modelo colaborativo multinivel, con un papel central para el Consejo Nacional de Ciberseguridad, cuyo status jurídico está aún por definir.
España también deberá actualizar su estrategia nacional de ciberseguridad, reforzar los mecanismos de supervisión e inspección, y establecer sanciones proporcionales al incumplimiento. La Agencia Española de Protección de Datos tendrá un rol adicional cuando los incidentes afecten a datos personales.
Proceso de transposición en Alemania
En Alemania, se inició un proceso legislativo en el Parlamento Federal (Deutscher Bundestag) en otoño de 2024 para transponer la directiva NIS2 al derecho nacional. Sin embargo, debido a la disolución del gobierno federal alemán en noviembre de 2024, dicho proceso no pudo completarse. Desde mayo de 2025 hay un nuevo gobierno federal en funciones, el cual ha anunciado que presentará un nuevo proyecto de ley para la implementación de NIS2 en el ordenamiento jurídico nacional dentro de sus primeros 100 días de mandato.
Implicaciones para las empresas: nuevas obligaciones y cambios en los procesos
La transposición conllevará nuevas obligaciones para miles de entidades, especialmente en sectores como telecomunicaciones, energía, transporte, salud o servicios digitales. Las empresas deberán:
- Evaluar sus riesgos de forma continua e implantar medidas preventivas como autenticación multifactor, segmentación de red o cifrado.
- Supervisar a sus proveedores y subcontratistas, incluyendo cláusulas específicas de ciberseguridad en los contratos. La cadena de suministro desempeña un papel fundamental.
- Monitorizar su actividad en tiempo real, mediante Centros de Operaciones de Seguridad (SOC), y disponer de planes de respuesta ante incidentes.
- Reportar incidentes relevantes en menos de 24 horas desde su detección.
En este contexto, la colaboración público-privada será esencial para cumplir con las nuevas exigencias y fomentar la compartición de información sobre amenazas (threat intelligence).
Un enfoque coherente con el ecosistema normativo europeo
La NIS2 no opera de forma aislada. Forma parte de un marco regulador europeo interconectado que también incluye:
- El Reglamento DORA, que refuerza la resiliencia operativa digital en el sector financiero.
- El ENS5G, que adapta la ciberseguridad a las redes móviles de nueva generación.
- La Directiva CER, que establece requisitos para la resiliencia física y organizativa de entidades críticas.
Estos marcos se complementan entre sí. Como desarrollamos en el artículo «DORA, NIS2 y CRA: Descifrando la normativa de ciberseguridad europea», NIS2 establece la base horizontal sobre la que se articulan obligaciones sectoriales más específicas.
Si bien, es importante que la transposición de la NIS2 en España no sólo parta de la necesidad homogeneizar en la mayor medida posible el marco normativo de la ciberseguridad y buscar la consistencia con la distinta normativa como son la CER, DORA, CSA, etc, también lo es ahondar en otras cuestiones clave. Entre ellas es la necesaria creación de un Punto Único de información y reporte de los distintos incidentes a todas las autoridades competentes para simplificar dicho proceso. Asimismo, debe garantizarse la proporcionalidad y eficiencia de todas las obligaciones que afectan a las distintas entidades sujetas, evitando crear barreras al libre comercio o desventajas competitivas a las empresas nacionales.
El compromiso de Telefónica
En Telefónica consideramos que la ciberseguridad es un habilitador clave de la digitalización y la confianza. Por ello:
- Participamos activamente en el diseño de políticas públicas a nivel europeo y nacional.
- Contamos con una red global de SOCs operativos 24/7 y equipos expertos que prestan servicios a empresas e instituciones.
- Desarrollamos soluciones que facilitan el cumplimiento de las normativas vigentes y futuras.
Trabajamos para anticiparnos a los riesgos, promover una cultura de seguridad y facilitar una transición eficaz hacia el nuevo marco normativo.
Disponemos de una amplia experiencia en la gestión de riesgos de seguridad, en la protección de empresas y administraciones públicas y en la aplicación de normativas con requisitos similares, como DORA. Además de adaptar nuestros propios procesos, colaboramos activamente en el cumplimiento de estas normativas por parte de otros sectores.
Un cambio estructural para una Europa más resiliente
La transposición de la NIS2 en España marca un punto de inflexión al dar un paso adicional y poner foco en la continuidad de servicios esenciales y de consolidar la autonomía digital europea frente a un escenario geopolítico inestable.
Los operadores de telecomunicaciones, como infraestructura transversal, juegan un papel central en esta estrategia. En Telefónica asumimos ese compromiso, reforzando no solo nuestras capacidades técnicas, sino también la confianza de nuestros clientes, administraciones y sociedad.
