El plazo de transposición fue octubre de 2024. Dos años después, la mayoría de los estados miembros han incorporado NIS 2 a su legislación nacional, y las autoridades han pasado de publicar orientaciones a formular preguntas.
Sin embargo, la conversación que mantengo con CISOs, responsables de cumplimiento y directores de TI en toda Europa es siempre la misma.
"Sabemos que NIS 2 nos aplica. Hemos leído la directiva. En realidad, no hemos empezado."
Si esa es su situación, no es un problema de comprensión lectora.
La brecha de la que nadie habla
NIS 2 es una directiva, no un manual.
Establece qué hay que lograr. No dice nada sobre cómo. Y el «cómo» es donde todo el mundo se queda atascado.
Tiene cincuenta páginas de texto legal. Entiende el ámbito de aplicación, los sectores, las obligaciones de notificación. Luego llega el lunes por la mañana, alguien le pregunta por dónde empezar, y la respuesta honesta es que todavía no lo sabe.
Esa brecha, entre entender la directiva e implementarla, es donde las organizaciones pierden seis meses. Seis meses que ya no tiene.
En qué se diferencia NIS 2 de todo lo que ha hecho hasta ahora
Si ha implantado ISO 27001 o GDPR, puede que archive NIS 2 como «otro marco». No lo es.
La dirección es personalmente responsable. No la organización. Las personas. Si usted es el CISO o el responsable de cumplimiento, su órgano de gobierno asume una responsabilidad que un certificado no absorbe.
El reloj de notificación es inflexible. Veinticuatro horas para una alerta temprana. Setenta y dos para una notificación completa. No hay un «nos ponemos en contacto la semana que viene».
La seguridad de la cadena de suministro no es una cláusula que se firma. Necesita evaluaciones documentadas, obligaciones contractuales y un seguimiento que resista ser sometido a evidencias.
Las multas son estructurales. Hasta 10 millones de euros o el 2 % de la facturación anual global para entidades esenciales, y su organización puede ser identificada públicamente.
Operar en varios estados miembros implica múltiples implementaciones. Estar presente en varios estados miembros significa varias implementaciones nacionales de la misma directiva, y no coinciden entre sí.
ISO 27001 es una buena base. No cubre los plazos de notificación, los requisitos sectoriales específicos ni la responsabilidad de la dirección. Esas son novedades, y son las partes con dientes.
Las cinco preguntas que le hará su regulador
Cuando su autoridad nacional llame a su puerta, y lo hará, esto es lo que querrá ver.
- Gobernanza. ¿Dispone de un marco de gobernanza de la ciberseguridad con roles identificados y supervisión real por parte de la dirección? ¿Puede demostrar que la alta dirección está implicada, no solo informada?
- Gestión de riesgos. ¿Existe una evaluación de riesgos formal? ¿Documentada? ¿Vinculada a controles específicos? ¿Puede mostrar cómo priorizó?
- Respuesta a incidentes. ¿Dispone de un plan probado que cumpla las obligaciones de 24 y 72 horas? ¿Lo ha ejercitado realmente?
- Cadena de suministro. ¿Cómo evalúa y supervisa el riesgo de ciberseguridad en sus proveedores? ¿Qué contratos, qué controles, qué evidencias?
- Mejora continua. ¿Qué mide? ¿Qué reporta? ¿Cómo prueba y mejora?
Si no puede responder a las cinco preguntas con documentación y sin titubear, tiene una brecha. Esa brecha tiene un precio.
Del 14 al 18 de diciembre: ciérrela en cinco días
Para eso existe el curso NIS 2 Directive Lead Implementer.
Del 14 al 18 de diciembre organizamos una cohorte en directo online, en inglés, a través del proceso de implementación completo. No la teoría. No el texto normativo. La metodología que usará el lunes siguiente.
| Día | Contenido |
|---|---|
| Lun 14 dic | Fundamentos de NIS 2, requisitos, delimitación del alcance de su organización, inicio del proyecto de implementación |
| Mar 15 dic | Estructura de gobernanza, roles y responsabilidades, gestión de activos, metodología de gestión de riesgos |
| Mié 16 dic | Controles de ciberseguridad, seguridad de la cadena de suministro, gestión de incidentes, marcos de gestión de crisis |
| Jue 17 dic | Continuidad de negocio, concienciación y formación, pruebas, métricas y seguimiento, mejora continua |
| Vie 18 dic | Examen de certificación |
Las cohortes están limitadas a seis personas, que es la razón por la que las preguntas se responden como es debido.
Lo que se lleva consigo
«Aprenderá mucho» no es una propuesta de valor. Aquí está la lista concreta.
- Una hoja de ruta de implementación que puede presentar a su consejo el lunes. Fases, hitos, responsables; no apuntes de una formación.
- Marcos de respuesta a incidentes que cumplen las obligaciones de 24 y 72 horas. Documentados, probados, defendibles.
- Una metodología de evaluación de riesgos construida sobre escenarios reales, no ejemplos de manual.
- Enfoques para la cadena de suministro que van más allá de «nuestros proveedores firmaron un NDA». Marcos de evaluación, requisitos contractuales, seguimiento continuo.
- La credencial PECB Certified NIS 2 Directive Lead Implementer, reconocida en toda Europa, con el examen incluido en el precio y 31 créditos CPD.
- La garantía [Certification or Refund](/trainings/certification-or-refund). Si completa el curso, se presenta al examen y no lo supera, se le reembolsa.
Por qué este es diferente
Existen otros cursos sobre NIS 2. La mayoría los imparten formadores que leen diapositivas sobre la directiva.
Soy un CISO en ejercicio. Dirijo implementaciones de NIS 2 para organizaciones de toda Europa. Cuando enseño respuesta a incidentes, es porque este año he construido planes de respuesta a incidentes y he visto cómo se aplicaban. Cuando enseño evaluación de la cadena de suministro, es porque he discutido con proveedores sobre evidencias.
Esa es la diferencia entre un curso sobre una directiva y la transferencia de conocimiento de implementación de alguien que hace el trabajo.
Es este curso para usted
Este curso es para personas que han terminado de leer sobre NIS 2.
- CISOs y responsables de seguridad que lideran, o van a liderar, un proyecto de cumplimiento de NIS 2
- Responsables de GRC y cumplimiento que convierten la directiva en realidad operativa
- Directores de TI en los dieciocho sectores ahora en ámbito: energía, transporte, sanidad, servicios digitales y el resto
- Consultores que asesoran sobre NIS 2 y necesitan la credencial que respalde el consejo
- Risk managers que integran NIS 2 en un marco de riesgo empresarial
¿No encaja del todo? Si busca una introducción de alto nivel a qué es NIS 2 y a quién aplica, NIS 2 Foundation es el mejor punto de partida.
Reserve su plaza
NIS 2 Directive Lead Implementer del 14 al 18 de diciembre de 2026, en directo online, en inglés. Examen de certificación PECB incluido, 31 créditos CPD, garantía Certification or Refund.
Seis plazas. No es marketing de escasez; es el número que permite que cada participante pueda hacer sus propias preguntas.