Saltar al contenido
01 · Consultoría01 · Consulting

NIS2NIS2

Directiva de seguridad de redes y sistemas de información.Directive on the security of network and information systems.

Directiva UE 2022/2555EU Directive 2022/2555 1.2 · Consultoría Normativa y de Cumplimiento1.2 · Regulatory and Compliance Consulting

¿Qué es este servicio?What is this service?

Es la adecuación a la Directiva (UE) 2022/2555, conocida como NIS2, que eleva el nivel de ciberseguridad exigido a los sectores considerados esenciales e importantes en la Unión Europea.

Compliance work for Directive (EU) 2022/2555, known as NIS2, which raises the cybersecurity bar for sectors deemed essential and important across the European Union.

¿Para qué se usa?What is it used for?

Permite cumplir con las medidas de gestión de riesgos y las obligaciones de notificación de incidentes que impone la directiva. Como es una directiva y no un reglamento, cada país la transpone a su propia ley, así que el detalle exacto depende del Estado miembro donde se opere.

It delivers the risk management measures and incident notification duties the directive imposes. Because it is a directive rather than a regulation, each country transposes it into its own law, so the exact detail depends on the member state where the entity operates.

Qué beneficios traeBenefits it delivers

  • Evita sanciones y, en varios países, la responsabilidad personal de los directivos que la directiva contempla.
  • Ordena la seguridad de la cadena de suministro, que es uno de sus focos principales.
  • Los plazos de notificación obligan a tener un proceso de incidentes que funcione de verdad y no en el papel.
  • Avoids penalties and, in several countries, the personal liability of directors the directive contemplates.
  • Puts supply chain security in order, one of its main focus areas.
  • The notification deadlines force an incident process that actually works rather than existing on paper.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No aplica en Costa Rica. Es normativa de la Unión Europea.
  • Puede alcanzar por la cadena de suministro: quien es proveedor de una entidad europea cubierta recibe los requisitos trasladados por contrato.
  • It does not apply in Costa Rica. It is European Union regulation.
  • It reaches providers through the supply chain: a supplier to a covered European entity receives the requirements passed down by contract.

InternacionalInternational

  • Obligatoria para las entidades esenciales e importantes de los sectores que la directiva enumera, según su tamaño y actividad.
  • Impone medidas de gestión de riesgos que incluyen seguridad de la cadena de suministro, continuidad y cifrado.
  • Establece un esquema de notificación por etapas: un aviso temprano y luego informes con más detalle.
  • Al ser directiva, la ley aplicable es la de transposición de cada Estado miembro, que puede ser más estricta que el mínimo europeo.
  • Mandatory for essential and important entities in the sectors it lists, based on size and activity.
  • It imposes risk management measures covering supply chain security, continuity and cryptography.
  • It sets a staged notification scheme: an early warning followed by more detailed reports.
  • As a directive, the applicable law is the transposition of each member state, which may be stricter than the European minimum.

Requisitos mínimosMinimum requirements

  • Determinar si la entidad está en el ámbito y en qué categoría, esencial o importante, porque cambia el régimen de supervisión.
  • Saber en qué Estados miembros opera la entidad, porque la ley aplicable es la nacional.
  • Inventario de proveedores críticos y de sus dependencias.
  • Proceso de incidentes con capacidad de detectar y clasificar dentro de plazos cortos.
  • Determining whether the entity is in scope and in which category, essential or important, since the supervisory regime differs.
  • Knowing which member states the entity operates in, since national law applies.
  • An inventory of critical suppliers and their dependencies.
  • An incident process able to detect and classify within short deadlines.

Plazo típico de entregaTypical delivery time

4 a 10 meses 4 to 10 months rango habitual del mercado usual market range

El rango de mercado va de cuatro a diez meses según el tamaño y la cantidad de países implicados. La determinación de ámbito y el análisis de brechas se entregan por separado en tres a cinco semanas, y conviene hacerlos primero porque a veces la conclusión es que la entidad no está cubierta.

The market range runs from four to ten months depending on size and the number of countries involved. Scope determination and gap analysis are delivered separately in three to five weeks, and are worth doing first because sometimes the conclusion is that the entity is not covered.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

NIS2NIS2
Segunda directiva europea sobre seguridad de las redes y sistemas de información, la (UE) 2022/2555. The second European directive on network and information systems security, (EU) 2022/2555.
DirectivaDirective
Norma europea que fija un resultado a alcanzar pero que cada país convierte en su propia ley nacional. European instrument setting a result to be achieved which each country turns into its own national law.
Entidad esencialEssential entity
Categoría de mayor criticidad bajo la directiva, con supervisión más estricta. The higher criticality category under the directive, subject to stricter supervision.
TransposiciónTransposition
El acto por el que un país incorpora una directiva europea a su ordenamiento nacional. The act by which a country incorporates a European directive into its national legal system.