Directiva NIS2:Preparació i Compliment
La Directiva NIS2 redefineix les obligacions de ciberseguretat a la Unió Europea, elevant l’exigència tècnica, la supervisió de la cadena de subministrament i la responsabilitat personal directa dels òrgans de direcció. A cyber& acompanyem les organitzacions en tot el cicle: des de l’avaluació inicial d’aplicabilitat fins a la implantació tècnica i el suport continu.
Articles Clau de la Directiva NIS2
La normativa estableix mandats imperatius que van més enllà de les mesures tècniques tradicionals, incidint directament en la governança corporativa, la cadena de valor i els terminis de resposta.
Governança i Responsabilitat Directiva
Els òrgans d’administració i direcció han d’aprovar formalment les mesures de gestió de riscos, supervisar la seva execució i respondre personalment per l’incompliment. Estableix l’obligació de formació periòdica en ciberseguretat per a directius.
Mesures de Gestió de Riscos
Obligació d’aplicar mesures tècniques, operatives i organitzatives proporcionades sota un enfocament multirisc: polítiques de seguretat, gestió d’incidents, continuïtat operativa i còpies de seguretat, seguretat de la cadena de subministrament, xifratge i autenticació multifactor (MFA).
Notificació Escalonada d’Incidents
Protocol estricte de notificació davant el CSIRT nacional: alerta primerenca en 24 hores després de detectar un incident significatiu, informe inicial i avaluació tècnica en 72 hores, i informe final detallat amb causes i mitigacions en 1 mes.
Supervisió, Inspeccions i Sancions
Capacitat de les autoritats per realitzar auditories periòdiques i inspeccions in situ. Preveu multes de fins a 10 milions d’euros o el 2% del volum de negoci mundial per a entitats essencials, i possible inhabilitació temporal de directius.
A quines organitzacions afecta la NIS2?
La NIS2 s’aplica amb caràcter general a entitats mitjanes i grans (≥ 50 empleats o balanç/facturació ≥ 10M€) de sectors crítics, així com a organitzacions de qualsevol dimensió amb impacte sistèmic.
Entitats Essencials (Annex I)
- •Energia (electricitat, gas, petroli, hidrogen)
- •Transport (aeri, ferroviari, marítim, carretera)
- •Banca i Mercats Financers (infraestructures clau)
- •Salut (hospitals, laboratoris, farmacèutiques)
- •Aigua potable i tractament d’aigües residuals
- •Infraestructura Digital (DNS, TLD, cloud, datacenters, CDNs)
- •Serveis TIC Gestionats (MSPs i MSSPs)
- •Administració Pública i Sector Espai
Supervisió proactiva (ex-ante): auditories periòdiques, inspeccions sobre el terreny i requeriments d’evidències sense necessitat d’incident previ. Sancions de fins a 10.000.000 € o el 2% de la facturació global.
Entitats Importants (Annex II)
- •Serveis postals i de missatgeria
- •Gestió i tractament de residus
- •Fabricació, producció i distribució de químics
- •Producció, processament i distribució d’aliments
- •Fabricació (dispositius mèdics, electrònica, maquinària, vehicles)
- •Proveïdors de serveis digitals (marketplaces, cercadors, xarxes)
- •Organitzacions de recerca i centres tecnològics
Supervisió reactiva (ex-post): inspeccions i mesures de control activades davant indicis, denúncies d’incompliment o incidents de seguretat reportats. Sancions de fins a 7.000.000 € o l’1,4% de la facturació global.
El repte de la notificació en 24h, 72h i 1 mes
Un incident significatiu exigeix una capacitat de detecció, anàlisi i escalat immediat davant el CSIRT nacional.
Alerta Primerenca (Early Warning)
Notificació preliminar que indica si l’incident es deu a una acció il·lícita o malintencionada i si pot ocasionar repercussions transfrontereres.
Notificació de l’Incident
Actualització formal amb avaluació inicial de gravetat i impacte, indicadors de compromís i mesures cautelars adoptades.
Informe Final
Documentació tècnica completa: descripció de la causa arrel, impacte operatiu i econòmic, i mesures correctores definitives.
Serveis Clau cyber& per a NIS2
Acompanyament modular i adaptat a la maduresa de la vostra organització, combinant rigor tècnic amb visió de negoci i governança.
Assessment & Gap Analysis NIS2
Diagnòstic d’aplicabilitat i full de ruta
Anàlisi minuciosa de l’estat actual davant els requeriments dels Articles 20 i 21. Determinem amb precisió la qualificació de la vostra entitat (Essencial vs Important), mapem les bretxes tècniques i organitzatives, i lliurem un pla d’acció prioritzat per impacte i esforç.
- Determinació formal d’aplicabilitat i abast
- Avaluació de maduresa davant Art. 20, 21 i 23
- Matriu de gaps tècnics, organitzatius i legals
- Full de ruta prioritzat d’adequació pressupostat
Implantació, Remediació & Governança
Execució tècnica i compliment directiu
Desenvolupem i implantem les mesures exigides per la directiva: polítiques de seguretat, models de reporte per al Consell, protocols de notificació 24h/72h, auditoria de seguretat de proveïdors i plans de continuïtat de negoci i recuperació davant incidents.
- Model de governança i responsabilitat del Consell (Art. 20)
- Protocols i playbooks de notificació d’incidents (Art. 23)
- Gestió de riscos a la cadena de subministrament i tercers
- Continuïtat de negoci, plans de crisi i backups immutables
- Capacitació i formació obligatòria a directius
Suport Continu & Oficina Tècnica NIS2
Acompanyament recurrent i defensa davant auditories
Actuem com la vostra Oficina Tècnica de Ciberseguretat o Virtual CISO recurrent per mantenir la postura de compliment activa en el temps, custodiar el catàleg d’evidències davant inspeccions i assistir-vos de manera urgent davant qualsevol incident significatiu.
- Acompanyament continu i assessoria recurrent vCISO
- Manteniment i custòdia d’evidències davant inspeccions
- Auditories periòdiques de compliment i validació tècnica
- Assistència tàctica urgent en gestió d’incidents i CSIRT
- Revisió contínua de riscos de proveïdors clau
Seguretat a la Cadena de Subministrament: Per què us afecta encara que no sigueu Essencial?
L’Article 21.2.d obliga totes les entitats regulades a auditar i exigir salvaguardes estrictes de ciberseguretat als seus subministradors i proveïdors tecnològics. Si la vostra empresa presta serveis a clients regulats, us exigiran acreditar el compliment com a condició per mantenir els contractes.
Exigència contractual directa
Els clients subjectes a NIS2 traslladen per contracte les exigències de gestió de riscos, notificació d’incidents i auditories tècniques.
Avaluació i homologació de tercers
Acreditem la maduresa tècnica de la vostra organització mitjançant informes tècnics independents per superar les homologacions de clients corporatius.
Avantatge competitiu diferencial
Anticipar-se a les exigències de NIS2 situa la vostra companyia com a proveïdor tecnològic segur i de confiança davant competidors endarrerits.
Voleu analitzar l’impacte específic de NIS2 a la vostra infraestructura o resoldre dubtes normatius?
Podeu escriure’ns a info@cyberand.com