La Directiva (UE) 2022/2555, conocida como NIS2, y la Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades críticas (CER), representan un cambio sustancial en el modelo europeo de protección de los servicios esenciales. Ambas normas responden a un entorno de riesgos caracterizado por la creciente interdependencia de las infraestructuras, la digitalización de los servicios, las amenazas híbridas, la actividad de actores estatales y criminales y la posibilidad de que un incidente localizado genere efectos en cadena sobre sectores completos.
Manuel Sánchez Gómez-Merelo
Consultor Internacional de Seguridad
Un cambio de paradigma normativo
La NIS2 refuerza la ciberseguridad, la responsabilidad de los órganos de dirección, la gestión de riesgos y la notificación de incidentes. CER amplía la perspectiva hacia la resiliencia integral de las entidades críticas, contemplando amenazas físicas, naturales, humanas e híbridas, así como la continuidad de los servicios esenciales.
La fecha límite de transposición de ambas directivas fue el 17 de octubre de 2024, y los Estados miembros debían aplicar las medidas nacionales de NIS2 desde el 18 de octubre de 2024. La falta de una transposición completa y efectiva en España plantea interrogantes relevantes sobre la seguridad jurídica, la coherencia del marco regulador, la supervisión, las obligaciones de los operadores y la convergencia entre la protección física y la ciberseguridad.
Sin embargo, es necesario establecer una distinción fundamental: la falta de transposición completa no significa que desaparezcan las obligaciones nacionales preexistentes ni que todas las disposiciones de las directivas sean automáticamente exigibles a cualquier empresa. Las consecuencias jurídicas dependen de la naturaleza de cada disposición, de su aplicabilidad directa o indirecta, del régimen nacional vigente y de las características de cada entidad.
Desde una perspectiva estratégica, el principal riesgo consiste en que la evolución de las amenazas avance más rápidamente que la adaptación normativa, organizativa y operativa. Esta situación puede generar diferencias de preparación entre sectores, dificultades para coordinar responsabilidades y retrasos en la implantación de capacidades de prevención, respuesta y recuperación.
La respuesta exige acelerar la convergencia entre seguridad física, ciberseguridad, inteligencia, continuidad de negocio y resiliencia, sin esperar a que la adaptación legislativa esté completamente finalizada.
De la protección de infraestructuras críticas a la resiliencia integral
La protección de las infraestructuras críticas constituye uno de los principales desafíos de la seguridad nacional y europea. La energía, el transporte, las telecomunicaciones, el agua, la sanidad, los servicios financieros y las cadenas de suministro dependen de sistemas interconectados cuya interrupción puede generar consecuencias que trascienden a una organización o a un sector económico.
La transformación tecnológica ha ampliado las oportunidades de desarrollo, eficiencia y automatización, pero también ha incrementado la exposición a amenazas que combinan acciones físicas, ataques digitales, sabotajes, desinformación, dependencia de proveedores y perturbaciones de origen natural.
En este contexto, la Unión Europea ha impulsado dos instrumentos complementarios: NIS2, orientada a elevar el nivel común de ciberseguridad, y CER, dirigida a fortalecer la resiliencia de las entidades críticas frente a un conjunto amplio de riesgos.
Ambas directivas reflejan un cambio de enfoque: de una protección centrada en activos concretos a una gestión integral de los riesgos que amenazan la prestación de servicios esenciales.
Este cambio exige superar la separación tradicional entre seguridad física y lógica. Una infraestructura energética, por ejemplo, puede sufrir simultáneamente una intrusión física, la manipulación de sistemas de control industrial y la pérdida de comunicaciones. Del mismo modo, una instalación sanitaria puede mantener sus edificios intactos y, sin embargo, perder capacidad asistencial debido a un ciberataque que afecte a sus sistemas clínicos.
La seguridad de las infraestructuras críticas debe abordar, por tanto, la prevención, la detección, la respuesta, la continuidad operativa y la recuperación, integrando capacidades técnicas, organizativas y humanas.
En España, este proceso adquiere especial relevancia por la necesidad de adaptar el marco normativo nacional a las exigencias europeas y asegurar una aplicación coherente entre sectores, operadores y autoridades competentes.
Directiva NIS2: Orientada a elevar y homogeneizar el nivel de ciberseguridad. Directiva CER: Dirigida a fortalecer la resiliencia frente a un catálogo amplio de riesgos (naturales, humanos, accidentales e intencionados).
NIS2 y CER nuevos retos y exigencias para la seguridad y ciberseguridad
La aplicación de la Directiva NIS 2 (seguridad de las redes y sistemas de información) y la Directiva CER (resiliencia de las entidades críticas) en España plantea una transformación profunda en cómo las organizaciones públicas y privadas deben gestionar la seguridad física y digital.
Principales retos y exigencias en España
Ampliar el ámbito de aplicación:
NIS 2 deja de afectar solo a grandes operadores para incluir a medianas y grandes empresas de sectores altamente críticos (como energía, transporte, banca o salud) y otros sectores importantes (como industria alimentaria, servicios digitales o gestión de residuos).
Convergencia entre seguridad física (CER) y ciberseguridad (NIS 2):
La Directiva CER se enfoca en proteger la infraestructura física frente a riesgos naturales, atentados o accidentes, mientras que NIS 2 protege los entornos digitales. España exige una visión unificada para evitar que un fallo físico comprometa los datos o viceversa.
Responsabilidad directa de la alta dirección:
Los órganos de gestión y directivos deben aprobar las medidas de gestión de riesgos y reciben responsabilidad legal directa. En caso de negligencia, se enfrentan a sanciones personales o inhabilitación temporal.
Plazos estrictos de notificación de incidentes (bajo NIS 2):
Obligación de emitir una alerta temprana en un máximo de 24 horas, un informe detallado a las 72 horas y un informe final en el transcurso de 1 mes tras sufrir un incidente grave.
Control de la cadena de suministro:
Las empresas obligadas deben auditar y exigir estándares de seguridad (como certificaciones ENS o ISO 27001) a sus proveedores y terceros tecnológicos.
- Ampliación del alcance (NIS2): Ya no afecta solo a grandes operadores, sino que incluye a medianas y grandes empresas de sectores críticos (salud, banca) y sectores importantes como la industria alimentaria o la gestión de residuos.
- Convergencia de seguridades (NIS2 + CER): Mientras CER protege frente a atentados o desastres naturales, NIS2 asegura el entorno digital. España debe adoptar una visión unificada para evitar que un fallo físico comprometa datos y viceversa.
DOC - Responsabilidad de la alta dirección: Los directivos deben aprobar las medidas de gestión de riesgos y asumen responsabilidad legal directa, enfrentándose a sanciones personales o inhabilitaciones en caso de negligencia.
- Plazos estrictos de notificación (NIS2): Se exige una alerta temprana en 24 horas tras un incidente grave, un informe a las 72 horas y un reporte final al cabo de un mes.
- Control de la cadena de suministro: Las empresas deben auditar a sus proveedores y exigir estándares de seguridad, como ISO 27001 o el Esquema Nacional de Seguridad (ENS).
NIS2 y CER: dos directivas complementarias
NIS2: reforzar la ciberseguridad de los servicios esenciales
La Directiva (UE) 2022/2555, conocida como NIS2, establece medidas destinadas a lograr un elevado nivel común de ciberseguridad en la Unión Europea. Sustituye al marco NIS anterior y amplía el alcance sectorial, las obligaciones de gestión y los mecanismos de supervisión.
EUR-Lex Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022
Entre sus principales exigencias destacan:
- Responsabilidad de los órganos de dirección en la aprobación y supervisión de las medidas de ciberseguridad.
- Gestión de riesgos de los sistemas de redes e información.
- Prevención y respuesta ante incidentes.
- Seguridad de la cadena de suministro y de las relaciones con proveedores.
- Continuidad de negocio, copias de seguridad y recuperación ante desastres.
- Gestión de vulnerabilidades, control de accesos y formación.
- Notificación de incidentes significativos conforme a los plazos establecidos.
- Supervisión, inspección y aplicación de sanciones por las autoridades competentes.
La directiva distingue entre entidades esenciales e importantes, con diferencias en determinados aspectos del régimen de supervisión y cumplimiento.
Su alcance incluye sectores como la energía, el transporte, la banca, las infraestructuras de los mercados financieros, la sanidad, el agua, las infraestructuras digitales, la administración pública, los servicios postales y la gestión de residuos, entre otros, conforme a los criterios y condiciones establecidos en la norma.
La obligación de prepararse no debe interpretarse como una simple implantación de herramientas informáticas. NIS2 requiere integrar la ciberseguridad en la gobernanza, la gestión empresarial y la continuidad de los servicios.
CER: resiliencia frente a todas las amenazas relevantes
La Directiva (UE) 2022/2557, conocida como CER, establece un marco europeo para fortalecer la resiliencia de las entidades críticas. Su enfoque es más amplio que la ciberseguridad: contempla amenazas naturales y humanas, accidentales e intencionadas, capaces de perturbar la prestación de servicios esenciales.
Entre sus elementos principales se encuentran:
Evaluación nacional de riesgos.
- Identificación de las entidades críticas.
- Evaluaciones de riesgos propias de cada entidad.
- Medidas técnicas, organizativas y de seguridad física.
- Prevención y respuesta ante incidentes.
- Continuidad y recuperación de los servicios esenciales.
- Formación, ejercicios y cooperación con las autoridades.
- Evaluación de dependencias e interdependencias entre sectores.
CER impulsa una visión de resiliencia que considera no solo la protección del activo, sino también su capacidad para seguir prestando el servicio, adaptarse a una perturbación y recuperar su funcionamiento.
Diferencias y convergencias
NIS2 – Prioridad: resiliencia digital
Protección de redes, sistemas de información, activos digitales, operaciones tecnológicas y cadenas de suministro digitales.
CER – Prioridad: resiliencia integral
Protección de personas, instalaciones, procesos, recursos, suministros y capacidades necesarias para mantener los servicios esenciales.
Modelo convergente
Seguridad física + ciberseguridad + inteligencia + continuidad + gestión de crisis + recuperación.
Ambas directivas son complementarias, pero no intercambiables. Una entidad puede necesitar cumplir obligaciones distintas
Conclusiones. La transposición normativa como oportunidad para reforzar la resiliencia nacional
La transposición de las directivas NIS2 y CER no debe entenderse únicamente como una obligación legislativa derivada del Derecho de la Unión Europea, sino como una oportunidad estratégica para modernizar el modelo español de protección de las infraestructuras críticas y reforzar la seguridad y resiliencia de los servicios esenciales.
La creciente complejidad de las amenazas, la interdependencia de los sistemas y la digitalización de los procesos esenciales hacen insuficiente cualquier enfoque basado exclusivamente en la protección física, la seguridad informática o el cumplimiento formal de procedimientos. La respuesta debe construirse desde una concepción integral, capaz de anticipar riesgos, prevenir incidentes, gestionar crisis y garantizar la continuidad de los servicios ante perturbaciones de distinta naturaleza.
La ausencia o el retraso de una transposición completa puede generar incertidumbre jurídica, dificultades de coordinación y diferencias en la aplicación de las obligaciones entre sectores y entidades. También puede complicar la supervisión y la planificación de inversiones, así como retrasar la consolidación de responsabilidades directivas y mecanismos homogéneos de evaluación de riesgos. No obstante, estas consecuencias deben valorarse atendiendo al marco nacional vigente y a las obligaciones concretas aplicables a cada organización: la falta de transposición no elimina automáticamente las exigencias legales ya existentes.
5 líneas prioritarias de acción para España
En este escenario, España debe avanzar en cinco líneas prioritarias:
1. Seguridad jurídica y coherencia normativa. Completar la adaptación legislativa, clarificar las responsabilidades de las autoridades y los operadores, y armonizar las nuevas exigencias con los marcos nacionales de protección de infraestructuras críticas, seguridad privada, ciberseguridad, protección civil y continuidad de los servicios.
2. Convergencia entre seguridad física y ciberseguridad. Superar los modelos organizativos aislados y establecer sistemas integrados de prevención, detección, inteligencia, respuesta y recuperación, con especial atención a los sistemas de control industrial, las infraestructuras digitales y las dependencias tecnológicas.
3. Responsabilidad directiva y cultura de resiliencia. Incorporar la gestión de riesgos a la gobernanza corporativa, dotar a los responsables de seguridad de recursos y autoridad suficientes, y promover la formación continua de directivos, profesionales y personal operativo.
4. Cooperación público-privada e inteligencia compartida. Reforzar la colaboración entre administraciones, servicios de emergencia, Fuerzas y Cuerpos de Seguridad, organismos de ciberseguridad, operadores críticos y proveedores estratégicos, mediante procedimientos comunes de alerta, intercambio de información y gestión de crisis.
5. Continuidad y capacidad de recuperación. Desarrollar planes verificables, ejercicios conjuntos, análisis de escenarios, mecanismos de redundancia y procedimientos de recuperación que permitan mantener las funciones esenciales incluso cuando fallen determinados sistemas, instalaciones o proveedores.
El desafío no termina con la aprobación de una norma. La eficacia del marco regulador dependerá de su aplicación real, de la capacidad de supervisión, de la calidad de las evaluaciones de riesgos y de la inversión sostenida en capacidades humanas, tecnológicas y organizativas. Será necesario medir los avances mediante indicadores de preparación, tiempos de detección y respuesta, disponibilidad de servicios, eficacia de los ejercicios y capacidad efectiva de recuperación.
Por ello, la adaptación a NIS2 y CER debe abordarse como un proceso de transformación estratégica y no como un expediente administrativo. La prioridad es construir organizaciones capaces de comprender sus vulnerabilidades, anticipar amenazas, gestionar interdependencias y responder de forma coordinada ante incidentes complejos.
En definitiva, la seguridad de las infraestructuras críticas ya no puede medirse únicamente por su capacidad para evitar un ataque, sino también por su capacidad para resistirlo, limitar sus consecuencias y recuperar con rapidez la prestación de los servicios esenciales.
NIS2 y CER ofrecen el marco europeo para avanzar hacia ese objetivo. España debe aprovecharlo para consolidar un modelo de seguridad global, integral e integrada, pública y privada, en el que la prevención, la protección, la ciberseguridad, la continuidad y la resiliencia formen parte de una misma estrategia nacional.
La conclusión es clara:
La resiliencia no se improvisa; se diseña, se organiza, se dota de recursos y se verifica mediante la preparación y el ejercicio continuado. La verdadera exigencia no consiste únicamente en transponer las directivas, sino en convertir sus principios en capacidades reales para proteger a las personas, garantizar los servicios esenciales y preservar el funcionamiento de la sociedad ante los riesgos y amenazas del presente y del futuro.
