Más de un año y medio después de la fecha límite para la transposición de la NIS2, la Directiva sigue transformando la forma en que las organizaciones de toda Europa abordan la ciberseguridad. Para los operadores de telecomunicaciones, las empresas energéticas, los bancos, las empresas de transporte y los proveedores de infraestructuras digitales, la NIS2 ya no es un hito normativo lejano. Se trata de un proceso de cumplimiento activo que exige a las organizaciones no solo prestar atención a los controles de ciberseguridad, sino también evaluar en qué medida comprenden y gestionan la infraestructura que dichos controles pretenden proteger.
Un ámbito de aplicación normativo mucho más amplio
La Directiva NIS original, adoptada en 2016, se aplicaba a un grupo relativamente limitado de operadores de servicios esenciales y proveedores de servicios digitales, identificados en el marco de las legislaciones nacionales.
La NIS2 amplía significativamente ese ámbito de aplicación. La Comisión Europea ha estimado que alrededor de 160 000 entidades en toda la UE podrían estar ahora sujetas a la Directiva, abarcando sectores como la energía, las telecomunicaciones, la banca, el transporte y las infraestructuras digitales —sectores en los que Suntech lleva muchos años operando.
Por regla general, las organizaciones medianas y grandes que operan en los sectores cubiertos por la NIS2 entran dentro de su ámbito de aplicación, aunque determinadas categorías de entidades están sujetas a ella independientemente de su tamaño.
La Directiva también distingue entre entidades «esenciales» e «importantes». Ambos grupos deben aplicar medidas de gestión de riesgos de ciberseguridad, pero las entidades esenciales están sujetas a un régimen de supervisión más proactivo.
Esto supone un cambio importante con respecto al marco original de la NIS. En lugar de basarse principalmente en la designación individual de los operadores por parte de los Estados miembros, la NIS2 establece criterios más amplios que determinan qué organizaciones quedan cubiertas.
La aplicación sigue siendo desigual en toda Europa
Los Estados miembros de la UE debían transponer la NIS2 a su legislación nacional antes del 17 de octubre de 2024. En la práctica, la aplicación ha avanzado a ritmos diferentes.
La Comisión Europea incoó procedimientos de infracción contra varios Estados miembros que no completaron la transposición a tiempo. El 8 de julio de 2026, remitió a Francia, España, Irlanda y los Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa de la Directiva. Posteriormente, los Países Bajos pusieron en vigor su legislación nacional relativa a la NIS2 el 15 de agosto de 2026.
Esta aplicación escalonada implica que las organizaciones que operan en varios mercados europeos aún deben prestar mucha atención a los requisitos nacionales. La NIS2 establece un marco europeo común, pero los procedimientos de registro, los mecanismos de supervisión, los requisitos de auditoría y las prácticas de ejecución se aplican a través de la legislación nacional. Bélgica, por ejemplo, ha introducido un marco estructurado de evaluación de la conformidad para las entidades esenciales, mientras que los modelos de supervisión en otros Estados miembros pueden funcionar de manera diferente.
Por lo tanto, para las organizaciones multinacionales, la NIS2 exige no solo comprender la propia Directiva, sino también hacer un seguimiento de cómo se aplica en cada jurisdicción en la que operan.
La brecha entre la obligación y la preparación
Incluso en los casos en que la legislación ya está en vigor, las organizaciones siguen enfrentándose a importantes retos de aplicación.
Estudios recientes del sector muestran que muchas empresas siguen trabajando en el cumplimiento de los requisitos relacionados con áreas como la gestión de vulnerabilidades, la respuesta ante incidentes, la continuidad del negocio, la seguridad de la cadena de suministro y la gobernanza. Las consecuencias del incumplimiento pueden ser considerables.
Para las entidades esenciales, la NIS2 prevé multas administrativas de hasta, como mínimo, 10 millones de euros o el 2 % de la facturación anual mundial total, lo que sea mayor. Para las entidades importantes, los umbrales correspondientes son de al menos 7 millones de euros o el 1,4 % de la facturación anual mundial total.
La Directiva también convierte la ciberseguridad en una responsabilidad del nivel directivo. Se espera que los órganos de dirección aprueben las medidas de gestión de riesgos de ciberseguridad y supervisen su aplicación.
Esto cambia la posición de la ciberseguridad dentro de la organización. Ya no puede tratarse únicamente como una responsabilidad técnica de los equipos de TI o de seguridad. Pasa a formar parte del gobierno corporativo, la resiliencia operativa y la gestión de riesgos empresariales.
¿Qué exige la NIS2 en la práctica?
En esencia, la NIS2 exige a las organizaciones adoptar un enfoque sistemático respecto al riesgo de ciberseguridad.
Esto incluye la gestión de incidentes, la continuidad del negocio, la recuperación ante desastres, la seguridad de la cadena de suministro, la gestión de vulnerabilidades, el control de acceso y otras medidas diseñadas para reducir la probabilidad y el impacto de los incidentes de seguridad.
La Directiva también introduce obligaciones estrictas de notificación de incidentes y hace mayor hincapié en la capacidad de una organización para demostrar que realmente se han implantado medidas de ciberseguridad adecuadas. Esto hace que la trazabilidad y una documentación fiable cobren cada vez más importancia.
Las entidades esenciales también están sujetas a una supervisión proactiva. Las autoridades competentes deben tener la facultad de recurrir a medidas como inspecciones, auditorías de seguridad y solicitudes de información o pruebas de los controles de ciberseguridad implementados.
La implicación práctica es clara: las organizaciones deben conocer su entorno lo suficientemente bien como para demostrar cómo se gestionan, protegen y supervisan los sistemas y recursos críticos.
¿Por qué es importante la visibilidad de la infraestructura?
Gran parte del debate en torno a la NIS2 se centra en los plazos, los procedimientos de notificación, las sanciones y los requisitos formales de cumplimiento.
Sin embargo, una gestión eficaz de los riesgos de ciberseguridad depende de algo más fundamental: saber qué infraestructura tiene realmente una organización y cómo están conectados sus componentes.
Resulta difícil identificar los recursos críticos, evaluar las dependencias o comprender el impacto potencial de un incidente si la información sobre los activos de red está dispersa en múltiples sistemas, desactualizada o almacenada de forma incoherente.
Lo mismo ocurre a la hora de responder a un incidente. Es posible que los equipos de seguridad tengan que determinar qué recursos se ven afectados, de qué servicios dependen y si un problema en una parte de la infraestructura puede afectar a otros sistemas.
Sin datos precisos sobre la infraestructura, estas preguntas se vuelven considerablemente más difíciles de responder.
El papel del inventario de red
Aquí es donde los sistemas de inventario de red pueden dar soporte a los procesos relacionados con la NIS2.
Soluciones como SunVizion ofrecen una visión estructurada de la infraestructura de red, incluyendo recursos, ubicaciones, conexiones, configuraciones y dependencias entre los distintos elementos. Esta información puede ayudar a las organizaciones a comprender qué activos dan soporte a servicios críticos, analizar las relaciones entre los componentes de la red y evaluar el impacto potencial de fallos o incidentes de seguridad. Unos datos de inventario fiables también pueden facilitar la gestión del cambio, al proporcionar visibilidad sobre la evolución de la infraestructura y ayudar a los equipos a mantener una visión coherente del estado actual de la red.
El inventario de red por sí solo no garantiza que una organización cumpla con la NIS2. El cumplimiento requiere un conjunto mucho más amplio de medidas de gobernanza, seguridad, organizativas y técnicas. Sin embargo, una información precisa y estructurada sobre la infraestructura puede proporcionar una base de datos importante para la gestión de riesgos, el análisis de incidentes, la gestión de activos y los procesos relacionados con las auditorías.
Para los operadores de telecomunicaciones, en particular, esto puede resultar especialmente valioso, ya que los recursos físicos, los recursos lógicos, los servicios y las dependencias de la red suelen estar muy interconectados.
¿El cumplimiento normativo como resultado de una mejor gestión de la infraestructura?
La NIS2 puede considerarse simplemente como otra obligación reglamentaria, pero también supone una oportunidad para mejorar prácticas que resultan valiosas, independientemente del cumplimiento. La información precisa sobre la infraestructura no solo respalda la ciberseguridad.
Ayuda a las organizaciones a planificar cambios, comprender las dependencias entre recursos, responder a fallos, analizar el impacto en los servicios y mantener un mejor control sobre entornos de red complejos.
Las organizaciones que ya han invertido en un inventario de red fiable y en una gestión disciplinada de la infraestructura parten de una posición más sólida. En lugar de tener que determinar primero qué recursos existen y cómo están conectados, pueden centrarse en aplicar controles de ciberseguridad, mejorar la supervisión y reforzar los procesos de gestión de riesgos.
En ese sentido, la NIS2 refuerza un principio que desde hace tiempo es fundamental en la gestión de infraestructuras: proteger una red de forma eficaz comienza por comprender qué contiene, dónde se encuentran sus componentes críticos y cómo dependen unos de otros.
