Lea nuestras últimas ideas sobre gobernanza digital y ciberseguridad.
La ciberseguridad ya no es solo una cuestión técnica. En el nuevo entorno normativo europeo, se ha convertido en un pilar que estructura el propio cumplimiento normativo.
La Directiva (UE) 2022/2555, conocida como NIS2, representa la reforma europea más significativa en el ámbito de la seguridad de las redes y los sistemas de información desde la Directiva (UE) 2016/1148 (NIS1). Supone un punto de inflexión para todas las organizaciones que dependen, directa o indirectamente, de los servicios digitales, las infraestructuras tecnológicas o los procesos críticos basados en datos.
Aunque la NIS2 no es un instrumento jurídico destinado específicamente a la protección de datos personales, como es el caso del Reglamento General de Protección de Datos (RGPD), su impacto en la privacidad es innegable. La razón es sencilla: cuando aumentan las obligaciones en materia de ciberseguridad, también lo hacen las garantías de protección de datos, ya que los incidentes de seguridad casi siempre se convierten en incidentes de privacidad. Además, la Directiva destaca en sus considerandos que su aplicación no afecta a las competencias de las autoridades de control de la protección de datos y la privacidad, lo que significa que ambos marcos deben coexistir y reforzarse mutuamente.
En España, la transposición aún está pendiente. El proyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros en enero de 2025, sienta las bases del futuro sistema nacional de ciberseguridad y será el instrumento clave para la aplicación de la NIS2. Aunque el texto aún debe pasar por varias etapas legislativas, la norma europea ya marca la dirección: gestión de riesgos, supervisión activa, ciberresiliencia y refuerzo de la supervisión de los proveedores.
Seguridad: el puente normativo entre la NIS2 y el RGPD
Tanto el RGPD como la NIS2 se basan en el mismo principio fundamental: la seguridad no es un requisito opcional ni un complemento técnico, sino una obligación legal esencial que debe adaptarse al nivel de riesgo.
En virtud del RGPD, el artículo 32 exige a las organizaciones que apliquen «medidas técnicas y organizativas adecuadas», teniendo en cuenta factores como el estado de la técnica, los costes de aplicación, la naturaleza del tratamiento y los riesgos para los derechos y libertades de las personas. Este enfoque basado en la responsabilidad exige a las organizaciones que se anticipen a las amenazas, prevengan los fallos y demuestren el cumplimiento.
La NIS2 refuerza y especifica este enfoque. El artículo 21 exige a las entidades esenciales e importantes que adopten medidas técnicas, operativas y organizativas proporcionales al riesgo y enumera un conjunto mínimo de elementos que deben abordarse: análisis de riesgos y políticas de seguridad de la información, gestión de incidentes, continuidad del negocio y recuperación ante desastres, seguridad de la cadena de suministro, gestión de vulnerabilidades, políticas de cifrado, medidas de ciberhigiene y formación, autenticación multifactorial, controles de acceso, entre otros.
Como resultado, cualquier incidente de ciberseguridad que comprometa la confidencialidad, integridad o disponibilidad de los datos personales constituirá, en principio, una «violación de datos personales» en el sentido del RGPD, aunque no siempre esté sujeto a notificación. Por ejemplo, si un ataque de ransomware paraliza los sistemas de un hospital, el incidente será relevante en virtud de la NIS2 debido a su impacto en la continuidad de la atención, pero también puede constituir una violación del RGPD si los registros médicos se cifran o se vuelven inaccesibles.
En tales casos, la autoridad de protección de datos evaluará si las medidas de seguridad eran adecuadas con arreglo al artículo 32 del RGPD. Es razonable prever que las normas de la NIS2 servirán de referencia pertinente, incluso cuando la Directiva no se aplique directamente a la entidad afectada, ya que establecen el nivel de diligencia esperado a nivel europeo.
Sectores más regulados: más seguridad... y más datos en juego
Uno de los cambios más significativos introducidos por la NIS2 es la ampliación de su ámbito de aplicación en comparación con el marco establecido por la NIS1.
Los anexos I y II añaden nuevos sectores esenciales e importantes, entre los que se incluyen: infraestructuras digitales, energía, transporte, infraestructuras bancarias y de mercados financieros, sanidad, agua potable y aguas residuales, administración pública, servicios postales y de mensajería, gestión de residuos, actividades críticas del sector alimentario, determinados sectores industriales y proveedores de servicios digitales (como servicios en la nube, alojamiento web y determinadas plataformas en línea).
Esta ampliación tiene un impacto directo en la privacidad. Muchos de estos sectores procesan grandes volúmenes de datos personales, a menudo muy sensibles, dependen de sistemas críticos o prestan servicios cuya indisponibilidad puede dar lugar a violaciones de datos y daños graves a los usuarios. Por ejemplo, una empresa de transporte público que digitaliza su flota procesa datos de geolocalización relativos a los empleados y los usuarios; si un ciberataque interrumpe el servicio, el incidente afecta tanto a la continuidad operativa (NIS2) como a la protección de datos personales (RGPD).
Por consiguiente, cuanto mayor sea la superficie digital regulada, mayor será la obligación de reforzar la seguridad y, por lo tanto, mayor será la protección contra incidentes que comprometan la privacidad. El cumplimiento del RGPD dependerá cada vez más de la alineación con las normas de ciberseguridad establecidas por la NIS2, especialmente para las organizaciones que prestan servicios esenciales o importantes en el sentido de la Directiva.
Notificación de incidentes: dos marcos, un único sistema de respuesta
La NIS2 establece un régimen de notificación de incidentes estricto, por fases y exigente. El artículo 23 introduce una obligación de notificación en tres etapas para los incidentes significativos:
- una alerta temprana en un plazo máximo de 24 horas desde que la entidad tiene conocimiento del incidente;
- una notificación más completa en un plazo máximo de 72 horas, que incluya una evaluación inicial de la gravedad, el impacto y los posibles indicadores de compromiso;
- un informe final en el plazo de un mes a partir de la notificación inicial, en el que se proporcione un análisis detallado de las causas, el impacto y las medidas correctivas, con informes intermedios cuando sea necesario.
Este sistema está diseñado para garantizar la detección temprana de incidentes significativos que afecten a la continuidad del servicio o a la seguridad de las redes y los sistemas de información.
La interacción entre este régimen de notificación y las obligaciones de notificación de violaciones del RGPD es directa. Cuando se ven afectados datos personales, la organización debe evaluar si se cumplen los requisitos de los artículos 33 y 34 del RGPD, incluida la notificación a la autoridad de control en un plazo de 72 horas y, cuando proceda, la comunicación a las personas afectadas cuando exista un alto riesgo para sus derechos y libertades.
Por ejemplo, si el proveedor de servicios en la nube de una escuela sufre una violación que inutiliza temporalmente los servicios y expone los registros de los alumnos, el incidente puede estar sujeto a la NIS2 para el propio proveedor, mientras que para la escuela solo tendrá implicaciones en virtud del RGPD. La institución educativa debe evaluar la violación con arreglo a los artículos 33 y 34 del RGPD, mientras que el proveedor, si entra en el ámbito de aplicación de la NIS2, tendrá sus propias obligaciones de notificación a la autoridad competente.
Esto significa que los equipos de ciberseguridad, protección de datos y continuidad del negocio deben operar bajo un procedimiento integrado capaz de:
- evaluar la naturaleza y el alcance del incidente;
- determinar si se trata de un incidente NIS2, un incidente RGPD o ambos;
- documentar la gestión del incidente y las decisiones tomadas;
- activar las notificaciones pertinentes dentro de los plazos requeridos;
- garantizar la coherencia entre las comunicaciones al CSIRT o a la autoridad NIS2 competente y a la Autoridad Española de Protección de Datos.
La notificación se convierte así en un elemento fundamental del cumplimiento. Una organización que no pueda demostrar su capacidad para detectar, notificar y responder a los incidentes incumplirá tanto el espíritu de la NIS2 como las obligaciones de seguridad y notificación del RGPD.
La cadena de suministro: más allá del RGPD
Si hay un ámbito en el que la NIS2 supone un salto cualitativo, es en la regulación de los proveedores y la cadena de suministro. La Directiva exige a las entidades esenciales e importantes que integren la seguridad de la cadena de suministro en sus medidas de gestión de riesgos, incluidas las relaciones con los proveedores directos de productos y servicios TIC, y refuerza este enfoque mediante evaluaciones coordinadas de las cadenas de suministro críticas a nivel de la UE.
El RGPD regula la función del encargado del tratamiento en su artículo 28 y exige contratos que garanticen un nivel adecuado de seguridad y tratamiento de acuerdo con las instrucciones.
Sin embargo, la NIS2 va más allá. No se limita a la protección de datos personales, sino que exige una evaluación más amplia de los riesgos de ciberseguridad asociados a los productos, servicios y proveedores críticos, incluyendo aspectos como la continuidad del servicio, la resiliencia técnica y la exposición a amenazas geopolíticas.
En la práctica, las organizaciones deberán:
- exigir mayores garantías de ciberseguridad a los proveedores;
- incorporar los requisitos alineados con la NIS2 en los procesos de adquisición y aprobación de terceros;
- verificar periódicamente el cumplimiento mediante auditorías, revisiones o certificaciones;
- estar preparadas para limitar o suspender el uso de servicios que no cumplan las normas mínimas de seguridad.
Por ejemplo, si un proveedor de servicios TIC sufre una infracción que compromete la disponibilidad del servicio y la organización no ha evaluado adecuadamente el nivel de seguridad del proveedor o no tiene un contrato actualizado, la autoridad puede concluir que la organización no ha ejercido la diligencia requerida por el RGPD. Además, si el proveedor entra en el ámbito de aplicación de la NIS2, debe cumplir con las obligaciones de seguridad y notificación de la Directiva.
Por lo tanto, la seguridad deja de ser una cuestión exclusivamente interna y se convierte en una responsabilidad compartida a lo largo de toda la cadena de suministro. Cuando el riesgo de terceros no se ha gestionado adecuadamente, la organización sigue siendo responsable de las consecuencias, incluso desde la perspectiva del RGPD.
¿Qué significa todo esto para las organizaciones?
La convergencia entre la NIS2 y el RGPD tiene efectos inmediatos en las organizaciones, incluso en aquellas que aún no están formalmente dentro del ámbito de aplicación de la Directiva:
- La seguridad se convierte en un elemento estructural. Ya no se trata solo de reaccionar ante los incidentes, sino de adoptar medidas preventivas integradas en las políticas corporativas, los análisis de riesgos, el diseño de sistemas y la planificación de la continuidad del negocio.
- La documentación adquiere valor probatorio. Si bien el RGPD ya exigía pruebas de cumplimiento, la NIS2 añade la obligación de mantener políticas de gestión de riesgos, planes de continuidad, procedimientos de gestión de proveedores, programas de gestión de vulnerabilidades y registros que demuestren la eficacia de las medidas.
- Los equipos deben coordinarse. La respuesta a los incidentes ya no puede dividirse en «incidentes informáticos» e «incidentes de privacidad». En la práctica, la mayoría de los incidentes son técnicos y tienen implicaciones en materia de privacidad. Esto requiere una estrecha coordinación entre los departamentos de TI, ciberseguridad, jurídico, de cumplimiento normativo y el delegado de protección de datos (DPD), con protocolos y canales de comunicación claros.
Conclusión: la ciberseguridad y la protección de datos avanzan juntas
La entrada en vigor de la NIS2 supone un cambio profundo en la forma de entender la seguridad y la privacidad en Europa. La Directiva establece obligaciones reforzadas que, aunque no regulan directamente el tratamiento de datos personales, configuran de manera decisiva la aplicación del RGPD, en particular en lo que se refiere a las medidas técnicas de seguridad, la gestión de incidentes y la cadena de suministro.
La seguridad, la resiliencia y la protección de datos ya no son ámbitos paralelos, sino que forman parte de un sistema de cumplimiento integrado basado en la gestión de riesgos y la responsabilidad proactiva.
A la espera de la transposición española, las organizaciones deben prepararse ya: revisar sus evaluaciones de riesgos, reforzar las medidas de seguridad, armonizar los contratos con los proveedores y adaptar los procedimientos de respuesta a incidentes. El modelo europeo avanza hacia una norma más exigente en la que la seguridad es inseparable del derecho fundamental a la protección de datos.
La era NIS2 no solo está transformando la ciberseguridad, sino que está redefiniendo el propio alcance del cumplimiento normativo y la forma en que las organizaciones deben demostrar que protegen los datos y los servicios de los que depende nuestra vida digital.
