NIS2: qué exige y cómo demostrar que cumple
Respuesta breve
NIS2 es una directiva de la UE, aplicable desde el 18 de octubre de 2024 a través de la legislación nacional, para las entidades esenciales e importantes de 18 sectores. Exige medidas de gestión de riesgos (artículo 21) y la notificación de los incidentes significativos en plazos de 24 horas, 72 horas y un mes (artículo 23). ROOTKey asigna estos requisitos a su infraestructura existente, con pruebas criptográficas verificables.
- Multa máxima
- 10 M€o el 2% de la facturación global anual
- Plazo de alerta
- 24htras detectar un incidente significativo
- Sectores incluidos
- 18entidades esenciales e importantes
- Aplicable desde
- 18 oct 2024a través de la legislación nacional de cada Estado miembro
A quién se aplica y qué está en juego
NIS2 se aplica a las entidades esenciales e importantes de 18 sectores y es aplicable desde el 18 de octubre de 2024 a través de la legislación nacional de cada Estado miembro. La multa máxima depende de en cuál de las dos categorías se encuadre la entidad.
| Entidad | Multa máxima |
|---|---|
| Entidades esenciales | Hasta 10 millones de euros o el 2% del volumen de negocios anual global, la cifra que sea mayor |
| Entidades importantes | Hasta 7 millones de euros o el 1,4% del volumen de negocios anual mundial, la cifra que sea mayor |
¿No sabe dónde se encuentra? El simulador NIS2 evalúa su brecha de cumplimiento.
Texto oficial: Directiva (UE) 2022/2555 en EUR-Lex.
NIS2 en cinco minutos
Una explicación en lenguaje sencillo de la directiva: a quién afecta, qué exige, las multas y dónde encaja la integridad de los datos.
NIS2, DORA y el RGPD se explican en el mismo formato en la lista Compliance de nuestro canal de YouTube.
Artículo 21: medidas de gestión de riesgos
El artículo 21 exige medidas documentadas de análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro y control de acceso. Así se corresponde cada requisito con ROOTKey.
| Artículo | Requisito | ROOTKey | Estado |
|---|---|---|---|
| 21 · 2(a)Políticas de análisis de riesgos | Las entidades deben aplicar políticas de análisis de riesgos de los sistemas de información y de seguridad, documentadas y versionadas. | Registro inmutable de políticas con hash criptográfico verificable e historial anclado - la manipulación retroactiva es detectable criptográficamente. | Cubierto |
| 21 · 2(b)Gestión de incidentes | Procedimientos documentados para la detección, el análisis, la contención y la respuesta a incidentes de seguridad con cadena de custodia. | Marcas de tiempo firmadas criptográficamente para cada evento. Cadena de custodia verificable, exportable a los reguladores en segundos. El informe indica qué cambió, quién, cuándo y dónde. | Cubierto |
| 21 · 2(c)Continuidad de negocio | Planes de backup, recuperación ante desastres y gestión de crisis que aseguren una continuidad operativa verificable. | Recovery Points con verificación criptográfica de la integridad - verificación de que los backups no se han visto comprometidos antes de que sean necesarios. | Cubierto |
| 21 · 2(e)Seguridad de la cadena de suministro | Seguridad en las relaciones con proveedores y prestadores de servicios, incluido el acceso a datos y sistemas de información críticos. | Verificación criptográfica de acceso por diseño: cada acceso se autentica con prueba criptográfica, sin confianza implícita en ninguna entidad. | Cubierto |
| 21 · 2(j)Autenticación & control de acceso | Autenticación multifactor y soluciones de comunicación segura como mecanismos de protección del acceso a sistemas críticos. | MFA con verificación criptográfica - autenticación fuerte sin exponer credenciales, integrada mediante API sobre los sistemas existentes. | Parcial |
Artículo 23: plazos de notificación de incidentes
El artículo 23 de NIS2 exige notificar a la autoridad nacional en un plazo de 24 horas tras un incidente significativo, presentar un informe detallado en 72 horas y un informe final en el plazo de un mes. ROOTKey genera automáticamente el rastro de evidencias criptográficas necesario para las tres fases.
| Plazo | Fase | Detalle |
|---|---|---|
| T0 | Detección | Logs con marcas de tiempo inmutables - evidencia verificable de cuándo se detectó el incidente. |
| 24h | Alerta | Notificación al CSIRT en 24 h (alerta) tras detectar un incidente con impacto significativo. |
| 72h | Informe intermedio | Un informe detallado en 72 horas. Exportación estructurada, lista en minutos. |
| 1 mes | Informe final | Un informe final en el plazo de un mes - con el rastro de evidencias criptográficas completo. |
Cómo encaja ROOTKey: sobre su infraestructura, no en lugar de ella
ROOTKey no sustituye a los sistemas existentes. Añade una capa de verificación criptográfica mediante API - sin migraciones, sin vendor lock-in.
- Evidencia criptográfica auditable
- Cada acción crítica genera una prueba independiente, verificable por auditores externos sin acceder a los datos originales.
- Recovery points verificables
- Backups con integridad verificada criptográficamente: fecha, contenido e integridad, todo verificable.
- Marcas de tiempo inmutables
- Cadena de custodia de cada evento de seguridad, con evidencia verificable de cuándo ocurrió.
Cualquier archivo, la misma prueba
PDF, imágenes, Word, Excel, PowerPoint, tablas y bases de datos: sea cual sea el archivo, ROOTKey lo compara con el original sellado y muestra solo lo que se ha alterado.
- Despliegue
- SaaS · Cloud privada · On-premise
- Conectores
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · tablas y bases de datos · REST API y webhooks
Integración: operativo en días, no en meses
API REST documentada y webhooks, soporte enterprise dedicado. ROOTKey se adapta a su infraestructura - y no al revés.
Integración mediante API
REST API documentada y webhooks. Operativo en días, sin sustituir la infraestructura existente.
Pruebas automáticas
Cada evento crítico genera una prueba criptográfica inmutable y auditable, con un esfuerzo operativo mínimo.
Notificación instantánea
Panel de cumplimiento en tiempo real y exportación de evidencias para los reguladores en segundos.
Preguntas frecuentes
¿Qué exige NIS2 en materia de notificación de incidentes?
El artículo 23 de NIS2 exige notificar a la autoridad nacional en un plazo de 24 horas tras un incidente significativo, presentar un informe detallado en 72 horas y un informe final en el plazo de un mes. ROOTKey genera automáticamente el rastro de evidencias criptográficas necesario para las tres fases.
¿Qué se considera un incidente significativo según NIS2?
Los incidentes significativos incluyen los que causan una perturbación operativa grave, pérdidas financieras o impacto en otras entidades - lo que abarca ataques de ransomware, brechas de integridad de datos y compromisos de la cadena de suministro.
¿Cómo apoya ROOTKey el cumplimiento del artículo 21 de NIS2?
El artículo 21 de NIS2 exige políticas criptográficas, control de acceso y gestión de incidentes. La verificación continua de la integridad de ROOTKey apoya los requisitos de evidencia criptográfica y proporciona un registro de auditoría inmutable para la documentación de incidentes.
¿Cuál es la multa por incumplir NIS2?
Las entidades esenciales se enfrentan a multas de hasta 10 millones de euros o el 2% del volumen de negocios anual global, la cifra que sea mayor. Las entidades importantes se enfrentan a multas de hasta 7 millones de euros o el 1,4% del volumen de negocios anual mundial, la cifra que sea mayor.