La perspectiva de Cyber Academy
NIS 1 (Directiva 2016/1148) fue la primera directiva europea de ciberseguridad con alcance transectorial, aplicable a los operadores de servicios esenciales y a los proveedores de servicios digitales. Fue sustituida por NIS 2 en octubre de 2024, debido a que su ámbito de aplicación era demasiado estrecho, la aplicación desigual y la notificación de incidentes carecía de efecto real. Se menciona aquí principalmente para que sepan qué era realmente el «régimen anterior» que sus colegas aún recuerdan a medias.
Qué pretendía lograr NIS 1
La Directiva NIS 1 fue el primer intento de la Unión Europea de establecer un nivel mínimo común de ciberseguridad para los sectores que mantienen en funcionamiento a un país. Antes de ella, los Estados miembros abordaban la seguridad de las infraestructuras críticas según sus propios términos, sin una base compartida ni una forma coordinada de gestionar los incidentes transfronterizos. NIS 1 cambió eso al pedir a cada Estado miembro que identificara a los operadores cuya interrupción tendría un grave efecto en cadena, los sujetara a obligaciones de seguridad y de notificación de incidentes, y constituyera la maquinaria nacional encargada de supervisarlos. En Francia esa maquinaria era ANSSI, y los operadores que designó ya conocían el régimen más pesado de OIV, anterior a la directiva.
Por ser una directiva y no un reglamento, NIS 1 no se aplicaba directamente. Cada Estado miembro tenía que transponerla a su derecho nacional, de donde procede gran parte de la disparidad. Dos Estados podían leer el mismo texto y terminar con listas diferentes de entidades reguladas, umbrales de notificación distintos y apetitos muy diferentes por la aplicación. Ese mosaico es la principal razón por la que el régimen acabó siendo reconstruido.
Dos categorías: servicios esenciales y proveedores de servicios digitales
NIS 1 dividió el mundo regulado en dos grupos, y la distinción importa porque las obligaciones y la supervisión no eran simétricas.
| Aspecto | Operadores de servicios esenciales | Proveedores de servicios digitales |
|---|---|---|
| Quiénes eran | Energía, transporte, banca, infraestructuras de los mercados financieros, salud, agua potable, infraestructuras digitales | Mercados en línea, motores de búsqueda, servicios de computación en la nube |
| Cómo quedaban incluidos | Identificados caso por caso por cada Estado miembro según criterios | Incluidos automáticamente en el ámbito, con un enfoque más ligero |
| Supervisión | Proactiva: las autoridades podían auditar y exigir pruebas | Mayormente reactiva: actuación tras un incidente |
| Expectativa de seguridad | Medidas técnicas y organizativas adecuadas y proporcionadas | Medidas similares, pero un régimen regulatorio más ligero |
Los operadores de servicios esenciales eran el núcleo de la directiva. Los Estados miembros tenían que nombrarlos, y una vez nombrados asumían obligaciones reales de gestionar el riesgo y de notificar los incidentes significativos a la autoridad nacional o al CSIRT. Los proveedores de servicios digitales recibían un trato más ligero bajo la teoría de que ya operaban a través de las fronteras y competían en resiliencia, de modo que un régimen armonizado pero más ligero evitaría fragmentar el mercado único.
Por qué fue reemplazada
El veredicto honesto sobre NIS 1 es que demostró el concepto pero quedó por debajo de lo prometido. Tres debilidades surgieron de forma repetida. El ámbito era demasiado estrecho, dejando sectores enteros y la mayoría de las organizaciones medianas fuera de cualquier obligación incluso cuando su fallo causaría daño. La aplicación era desigual, porque la transposición dejaba a cada Estado miembro decidir quién entraba en el ámbito y con cuánta firmeza presionar, de modo que una empresa podía estar regulada en un país e intacta justo al lado. Y la notificación de incidentes era en la práctica inofensiva, con umbrales y plazos que variaban tanto que la visibilidad transfronteriza que la directiva debía crear nunca se materializó realmente.
NIS 2 fue la respuesta a los tres problemas. Amplió el ámbito a muchos más sectores y a un criterio basado en el tamaño, sustituyó la división OES/DSP por entidades esenciales e importantes, endureció la notificación de incidentes en etapas más claras, y respaldó las obligaciones con una verdadera responsabilidad de la dirección y sanciones. Para un profesional de hoy, NIS 1 es sobre todo contexto: explica la forma de las reglas bajo las que ahora vive y los reflejos que su organización construyó antes de la reconstrucción.
Preguntas frecuentes
01¿Sigue en vigor NIS 1?
No. NIS 1 fue derogada y sustituida por la Directiva NIS 2, que pasó a ser aplicable en octubre de 2024. Las obligaciones ahora emanan de NIS 2 y de su transposición nacional, no de la directiva de 2016.
02¿Cuál es la diferencia entre un OES y un DSP bajo NIS 1?
Los operadores de servicios esenciales se identificaban caso por caso por los Estados miembros en sectores críticos y se enfrentaban a una supervisión proactiva. Los proveedores de servicios digitales, como los proveedores de nube y los mercados en línea, quedaban incluidos de manera más automática y supervisados bajo un régimen más ligero, mayormente reactivo.
03¿Por qué se consideraba demasiado débil a NIS 1?
Su ámbito era estrecho, la transposición hacía que la aplicación fuera desigual entre Estados miembros, y las reglas de notificación de incidentes variaban tanto que la visibilidad transfronteriza nunca funcionó como se pretendía. NIS 2 se redactó específicamente para corregir esas tres carencias.
04Si mi organización cumplía con NIS 1, ¿eso cubre NIS 2?
No por defecto. NIS 2 amplía el ámbito, eleva las exigencias sobre gestión de riesgos y notificación, y añade responsabilidad de la dirección. Un programa NIS 1 es un punto de partida útil pero necesita un análisis de brechas frente a NIS 2.
05¿Cómo se relaciona NIS 1 con el RGPD?
Son distintos. El RGPD protege los datos personales y lo aplican las autoridades de protección de datos. NIS 1 se ocupaba de la seguridad operativa y la resiliencia de los servicios esenciales y digitales. Un incidente puede activar ambos regímenes a la vez.