Brubru
Intel·ligència política de la UE
La Directiva (UE) 2022/2555 és la llei horitzontal de ciberseguretat de la UE, en substitució de la NIS1 (Directiva 2016/1148) amb efecte a partir del 18 d'octubre de 2024, que abasta 18 sectors, imposa responsabilitat a nivell de junta, prescriu deu mesures mínimes de seguretat, requereix informes d'incidents en 24 hores, 72 hores i un mes, i estableix multes màximes de 10 milions d'euros o el 2% de la facturació anual global per a les entitats essencials.
per què NIS2 va substituir NIS1 i què va canviar
La primera Directiva NIS (2016/1148) va ser la llei de ciberseguretat horitzontal inaugural de la UE. La seva feblesa fonamental va ser estructural: va demanar als Estats membres que identifiquessin "operadors de serveis essencials" a través d'un procediment nacional, amb restriccions mínimes sobre com s'havia de fer aquesta identificació. El resultat va ser la fragmentació predictible.
El NIS2 ho corregeix a través de tres torns estructurals: en primer lloc, una regla de la talla substitueix l'exercici d'identificació discrecional: qualsevol entitat mitjana o gran d'un sector cobert té un abast automàtic; en segon lloc, les deu mesures mínimes de l'apartat 2 de l'article 21 estableixen un sòl harmonitzat en lloc de deixar els requisits de seguretat a la discreció nacional; en tercer lloc, es reforça el marc de supervisió i penalització, amb multes màximes lligades a la facturació global en el mateix model que el RGPD.
La directiva es basa en l'article 114 del TFUE (aproximació al mercat interior), adoptat el 14 de desembre de 2022, publicat a l'OJ L 333 de 27 de desembre de 2022, va entrar en vigor el 16 de gener de 2023, i els Estats membres van tenir fins al 17 d'octubre de 2024 per transposar-lo.
El NIS2 és una directiva, no un reglament: estableix objectius vinculants que els Estats membres han d'aconseguir a través de mesures de transposició nacionals, la qual cosa permet flexibilitat en la forma en què les normes s'integren en els sistemes jurídics nacionals, però les obligacions substantives -les deu mesures mínimes, els terminis d'informació d'incidents, els màxims fins- són mínims harmonitzats, cosa que significa que els Estats membres poden anar més enllà, però no per sota del sòl.
El NIS2 està flanquejat per diversos instruments relacionats que cal llegir al seu costat:
qui està cobert: la regla del límit de grandària i el marc del sector 18
El NIS2 s'aplica a les entitats públiques o privades dels sectors de l'Annex I o II que qualifiquen com a empreses mitjanes o superen aquests límits màxims. Segons la Recomanació 2003/361/CE, una empresa mitjana té 50 o més empleats i una facturació o balanç anual per sobre dels 10 milions d'euros. Les entitats que superen els límits màxims de mitjana empresa (250 o més empleats, la facturació per sobre dels 50 milions d'euros o el balanç per sobre dels 43 milions d'euros) de l'Annex I estan classificades com a entitats essencials.
Les micro i petites entitats (per sota de 50 empleats, per sota de 10 milions d'euros de facturació) generalment estan fora de l'abast, tret que caiguin en una de les categories especials de mida buida a continuació.
la classificació de dos nivells i per què importa la supervisió
A grans trets, les entitats més grans i sistèmicament importants. La categoria inclou:
Supervisió: Ex ante i ex post (article 32). Seguiment proactiu, inspeccions, auditories i exploracions sense esperar proves d'incompliment.
Totes les altres entitats inscope: entitats de mida mitjana de l'Annex I que no es qualifiquen d'essencials, i entitats de l'Annex II (llevat que es tracti d'una categoria especial de talla-exempta). La classificació cobreix una població d'empreses molt més àmplia de la mai aconseguida NIS1.
Les entitats importants estan subjectes a les mateixes obligacions substancials que les entitats essencials (article 21 mesures de gestió de riscos, article 23 informes d'incidents, registre) però s'enfronten a un toc de supervisió més lleuger: les autoritats competents les supervisen de manera reactiva (ex post), desencadenades per proves, indicació o informació que suggereixi incompliment.
Supervisió: Només ex post (article 33). L'autoritat ha de tenir una base abans d'actuar; no pot dur a terme auditories proactives a l'atzar com pot per a les entitats essencials.
Els Estats membres havien d'establir, publicar i notificar a la Comissió la llista d'entitats essencials i importants (i proveïdors de serveis de registre de noms de domini) abans del 17 d'abril de 2025. La llista s'ha de revisar i actualitzar almenys cada dos anys. Les entitats havien de presentar informació de registre, incloent el nom, l'adreça, les dades de contacte, el sector i els rangs d'IP.
Article 20: la responsabilitat del consell i el deure de formació
El NIS1 no contenia cap clàusula de rendició de comptes a nivell de gestió. La ciberseguretat es va tractar com una funció de TI. El NIS2 canvia fonamentalment això: ara la directiva col·loca la responsabilitat de la ciberseguretat de manera quadrada amb l'òrgan de govern, no amb l'equip tecnològic.
L'apartat 1 de l'article 20 obliga els Estats membres a garantir que òrgans de gestió Les entitats essencials i importants aproven les mesures de gestió de riscos de ciberseguretat adoptades en virtut de l'article 21, i en poden responsabilitzar-se per les infraccions de l'article 21, la qual cosa crea una línia directa de rendició de comptes des de la junta o òrgan de govern equivalent a la postura de ciberseguretat de l'organització.
L'apartat 2 de l'article 20 afegeix una obligació de formació: els membres dels òrgans de gestió han de seguir la formació en ciberseguretat per obtenir els coneixements i habilitats suficients per identificar els riscos i avaluar les pràctiques de gestió de riscos en ciberseguretat i el seu impacte en els serveis prestats.
Per a les entitats essencials, l'apartat 5 de l'article 32 permet a les autoritats competents, com a últim recurs, sol·licitar la prohibició temporal a qualsevol persona física responsable o que actuï com a representant legal de l'entitat d'exercir funcions directives en aquesta entitat, només quan s'hagin esgotat altres mesures d'execució i l'entitat no hagi pogut remeiar la deficiència dins d'un termini establert.
L'apartat 6 de l'article 32 exigeix per separat als Estats membres que garanteixin que les persones físiques que actuïn com a representants legals, que assumeixin la responsabilitat de la direcció o que tinguin autoritat per a prendre decisions en nom d'una entitat essencial, puguin ser personalment responsables de l'incompliment de la seva obligació de garantir el compliment de la Directiva, igual que les entitats importants per referència creuada en l'apartat 5 de l'article 33. Aquesta disposició de responsabilitat personal és un dels canvis de governança més significatius introduïts per la NIS2.
Article 21 -- l'enfocament de tots els perills i el pis mínim obligatori
L'apartat 1 de l'article 21 obliga les entitats a adoptar mesures tècniques, operatives i organitzatives adequades i proporcionades enfocament de tots els perills. Això significa que el marc de gestió del risc ha d'abordar totes les amenaces plausibles, no només els atacs de TI, sinó també les amenaces físiques a l'entorn físic dels sistemes (inundació, foc, pèrdua d'energia), les amenaces internes i el compromís de la cadena de subministrament. La proporcionalitat s'avalua contra l'exposició de l'entitat als riscos, la seva mida, la probabilitat i la gravetat dels incidents, i el seu impacte social i econòmic.
L'apartat 5 de l'article 21 obliga la Comissió a adoptar abans del 17 d'octubre de 2024 els actes d'execució que especifiquen els requisits tècnics i metodològics per a les mesures de l'apartat 2 per a determinats proveïdors de serveis digitals, actes d'aplicació que concreten el que les deu mesures signifiquen en la pràctica per als proveïdors de serveis en el núvol, els serveis de DNS, els proveïdors de serveis gestionats i altres.
| Mesura | Article | Àmbit | Obligació de clau |
|---|---|---|---|
| Anàlisi de riscos i polítiques de seguretat del sistema d'informació | Art 21(2)(a) | Totes les entitats | Documenta els resultats de l'anàlisi de riscos i manté les polítiques actualitzades de seguretat del sistema d'informació. |
| Gestió d'incidències | Art 21(2)(b) | Totes les entitats | Establir procediments de prevenció, detecció, anàlisi, contenció, resposta i recuperació d'incidències. |
| Continuïtat empresarial, backup, recuperació de desastres | Art 21(2)(c) | Totes les entitats | Implementar la gestió de còpies de seguretat, plans de recuperació de desastres i arranjaments de gestió de crisi per mantenir la continuïtat del servei després d'un incident. |
| Seguretat de la cadena de subministrament | Art 21(2)(d) | Totes les entitats | Atendre la seguretat en les relacions amb proveïdors directes i proveïdors de serveis; avaluar les seves vulnerabilitats, la qualitat de la ciberseguretat i els procediments de desenvolupament segur. Tenir en compte les avaluacions crítiques de risc de cadena de subministrament a nivell de la UE (Art 22). |
| Adquisició, desenvolupament i manteniment segur | Art 21(2)(e) | Totes les entitats | Atendre la seguretat en l'adquisició, el desenvolupament i el manteniment de sistemes de xarxa i informació, incloent la manipulació i divulgació de la vulnerabilitat. |
| Polítiques d'avaluació d'eficàcia | Art 21(2)(f) | Totes les entitats | Establir polítiques i procediments per avaluar l'eficàcia de les mesures de gestió de riscos de ciberseguretat de forma regular. |
| Higiene cibernètica i formació | Art 21(2)(g) | Totes les entitats | Implementar pràctiques bàsiques d'higiene cibernètica i mantenir un programa de formació en ciberseguretat per al personal. |
| Criptografia i xifratge | Art 21(2)(h) | Totes les entitats | Adoptar polítiques i procediments sobre l'ús de la criptografia i, si escau, l'encriptació. L'estratègia nacional de ciberseguretat ha de promoure l'encriptació d'extrem a extrem sota l'art 7. |
| Seguretat dels recursos humans i control d'accés | Art 21(2)(i) | Totes les entitats | Implementar mesures de seguretat de recursos humans, polítiques de control d'accés i gestió d'actius per limitar la superfície d'amenaça interior. |
| Autenticació multifactor | Art 21(2)(j) | Totes les entitats | Utilitzar solucions d'autenticació multifactor (MFA) o d'autenticació contínua, comunicacions de veu/vídeo/text segures i sistemes de comunicació d'emergència assegurades si escau. |
Article 23 -- avís anticipat, notificació i informe final
Un incident és significatiu si ha causat o és capaç de causar: (a) una interrupció operativa severa dels serveis o pèrdua financera de l'entitat; o (b) un dany material o no material considerable a altres persones físiques o jurídiques. La mera capacitat de causar aquesta interrupció és suficient: no cal que s'hagi produït cap dany real. El considerant 101 aclareix que l'avaluació inicial hauria de considerar la importància dels sistemes afectats, la gravetat i les característiques tècniques de l'amenaça, les vulnerabilitats subjacents i l'experiència de l'entitat amb incidents similars.
Les notificacions voluntàries en virtut de l'article 30 (per a incidents no significatius, faltes properes i amenaces cibernètiques) no donen lloc a cap obligació addicional més enllà de les que s'aplicarien si l'entitat no es notifiqués. Aquestes disposicions estan dissenyades per fomentar la presentació d'informes ràpids i desinhibits sense que les entitats es frenin per por que la divulgació s'utilitzi contra ells.
EnISA ha de desenvolupar i mantenir una base de dades de vulnerabilitat europea, oberta a tots els grups d'interès, incloses les entitats fora de l'àmbit de NIS2. La base de dades llista les vulnerabilitats conegudes públicament en els productes i serveis TIC, inclosos els productes afectats, la gravetat, els pegats disponibles i l'orientació sobre la mitigació de riscos on els pegats no estan disponibles. Cada Estat membre ha de designar un CSIRT com a coordinador per a la divulgació de vulnerabilitat coordinada, actuant com un intermediari de confiança entre investigadors i proveïdors.
Articles 31-37 -- règim diferenciat per a entitats essencials i importants
Les autoritats competents tenen una àmplia gamma de poders de supervisió proactiva sobre les entitats essencials, incloent:
Les competències d'execució inclouen: avisos; instruccions vinculants; ordres de cessament de la conducta d'infracció; designació d'un funcionari de seguiment; divulgació pública d'infraccions; multes administratives; i, com a últim recurs, suspensió temporal de les certificacions o prohibició temporal d'un gestor individual que exerceixi funcions directives.
La supervisió d'entitats importants és reactiva. L'autoritat competent ha de tenir proves, indicacions o informació que suggereixi incompliment abans que pugui actuar. Un cop activada, les eines de supervisió disponibles i els poders d'execució són els mateixos que per a les entitats essencials.
Les entitats importants no estan obligades a documentar sistemàticament el compliment de les mesures de gestió de riscos de ciberseguretat per a la seva submissió a l'autoritat competent en absència d'una acció de supervisió, però han de mantenir la documentació internament i poder-la presentar prèvia sol·licitud.
La Comissió va estimar que la distinció entre supervisió ex-ante i ex post representa la palanca clau per a la proporcionalitat: el cost de la documentació proactiva de compliment i la preparació per a l'auditoria és substancial, i reservar-la per a les entitats de major risc evita imposar càrregues desproporcionades a les empreses mitjanes en sectors menys crítics.
Article 34: llindars fins màxims i factors agreujants
| Categoria d'entitat | Màxima fina | Article | Notes |
|---|---|---|---|
| Entitats essencials | 10.000.000 · o 2% del total de facturació anual mundial (el que sigui superior) | Art 34(4) | El volum de negoci de l'empresa a la qual pertany l'entitat; s'aplica a les infraccions de les Arts 21 o 23. |
| Entitats importants | 7.000.000 d'euros o 1,4% del total de la facturació anual mundial (el que sigui superior) | Art 34(5) | El volum de negoci de l'empresa a la qual pertany l'entitat; s'aplica a les infraccions de les Arts 21 o 23. |
| Pagaments periòdics de penalització | Discreció nacional | Art 34(6) | Els Estats membres poden preveure pagaments periòdics de sancions per obligar una entitat a cessar una infracció. |
| Entitats d'administració pública | Discreció nacional | Art 34(7) | Els Estats membres determinen si s'apliquen multes administratives als organismes públics i en quina mesura. |
A l'hora d'imposar una multa, les autoritats competents han de tenir en compte com a mínim:
Quan la mateixa conducta constitueixi tant una infracció de NIS2 com una violació de les dades personals en virtut de l'RGPD, i s'hagi imposat una multa GDPR, l'autoritat competent no pot imposar una multa NIS2 separada per a la mateixa conducta (article 35(2)).
Una directiva no és directament aplicable: cada Estat membre ha d'escriure-la en la seva pròpia legislació nacional per un termini de transposició. Per a la Directiva NIS2 el termini de transposició de la UE era 17 d'octubre de 2024. El mapa mostra, per a cada Estat membre, la principal mesura nacional que va notificar a la Comissió i la seva data. 23 dels 27 Estats membres han notificat mesures analitzades aquí; la llista completa i autoritzada de mesures nacionals de transposició per a cada Estat membre està en EUR-Lex (Mesures nacionals de transposició).
Font: EUR-Lex National Implementing Measures, recuperada el maig de 2026. On un marcador llegeix "Notificat via EUR-Lex", consulta l'enllaç EUR-Lex anterior per a les mesures d'aquest país.
Grup de Cooperació, Xarxa CSIRTs i EU-CyCLONe
L'òrgan de cooperació estratègica, format per representants dels Estats membres, la Comissió i la ENISA, orienta sobre la transposició i l'aplicació, intercanvia les millors pràctiques i supervisa les avaluacions coordinades dels riscos de seguretat de les cadenes de subministrament crítiques en virtut de l'article 22; informa el Parlament Europeu i al Consell; es reuneix almenys anualment amb el Grup de Resiliència d'Entitats Crítiques en virtut de la Directiva CER.
La capa de cooperació operativa: una xarxa d'equips nacionals de resposta a incidents de seguretat informàtica més CERT-EU. Intercanvia informació sobre capacitats, incidents, vulnerabilitats i fallades properes, pot coordinar la resposta a incidents transfronterers i dona suport als Estats membres amb assistència a incidents transfronterers. La Comissió participa com a observador; ENISA proporciona la secretaria.
La Xarxa Europea d'Organització d'Enllaços per a la Cibercrisi gestiona incidents i crisis de ciberseguretat a gran escala a nivell operatiu, formada per autoritats nacionals de gestió de crisi cibernètica, i quan un incident podria afectar significativament a la Unió, la Comissió s'uneix com a participant de ple dret en lloc d'observador, i informa cada 18 mesos al Parlament Europeu i al Consell.
L'ENISA (Agència de la UE per a la Ciberseguretat) exerceix un paper central a tot el NIS2. Proporciona la secretaria de la Xarxa CSIRTs i de la UE-CyCLONe, desenvolupa i manté la base de dades de vulnerabilitat europea (article 12), manté el registre ENISA de certs proveïdors de serveis digitals (article 27), publica un informe biennal sobre l'estat de la ciberseguretat a la Unió (article 18), i proporciona directrius i assistència tècnica als Estats membres sobre el desenvolupament de CSIRTs i estratègies nacionals de ciberseguretat.
de l'aplicació NIS1 a NIS2 i el camí a seguir
termes i conceptes clau definits en el marc NIS2
preguntes pràctiques de compliment
Dues preguntes determinen l'abast. Primer: la vostra organització proporciona serveis en un dels 18 sectors dels annexos I o II de NIS2? Segon: té 50 o més empleats, i la facturació anual o el balanç total per sobre de 10 milions d'euros? Si les dues respostes són sí, esteu en l'abast. Tingueu en compte que, fins i tot si esteu per sota d'aquests llindars, encara podeu estar en l'àmbit d'aplicació si pertanyeu a una de les categories especials de l'apartat 4 de l'article 2 - per exemple, si sou l'únic proveïdor d'un servei essencial en un Estat membre, o si sou un proveïdor de serveis de confiança o proveïdor de serveis DNS.
Sí, si presten serveis dins de la Unió. Certes categories d'entitats: proveïdors de serveis de DNS, registres de noms TLD, proveïdors de serveis de cloud computing, proveïdors de serveis de centres de dades, proveïdors de serveis de CDN, proveïdors de serveis gestionats, proveïdors de serveis de seguretat gestionats i proveïdors de mercats en línia, motors de cerca i xarxes socials. Si aquesta entitat no està establerta a la UE però ofereix serveis dins d'ella, ha de designar un representant a la Unió (article 26(3)). La no designació d'un representant no l'eximeix de les obligacions de la directiva; qualsevol Estat membre on l'entitat presta serveis pot emprendre accions legals per infraccions.
Sí. Un sol incident de ciberseguretat pot constituir tant un incident significatiu de NIS2 (triggering the 24h/72h/1-month reporting cascade under Article 23) com una violació de les dades personals notificable d'acord amb l'article 33 del RGPD (72-hour deadline to the supervisory authority). Quan això succeeixi, l'article 35(1) requereix que l'autoritat competent i l'autoritat de control de protecció de dades cooperin.
Els apartats 4 i 5 de l'article 34 fan referència a la facturació anual total a tot el món en l'exercici financer anterior de l'"empresa a la qual pertany l'entitat essencial." El concepte d'empresa segueix la definició de la llei de competència en els articles 101 i 102 del TFUE, cosa que significa que abasta tot el grup d'empreses sota control comú, no només la persona jurídica que va cometre la infracció. Per a una filial d'un gran grup multinacional, això pot donar lloc a un sostre de multa significativament més alt que si només s'utilitzés la facturació pròpia de la filial.
L'apartat 1 de l'article 4 del NIS2 estableix que quan un acte jurídic de la Unió específica del sector requereixi que les entitats adoptin mesures de gestió de riscos de ciberseguretat o notifiquin incidents significatius, i que aquests requisits siguin almenys equivalents a les obligacions del NIS2, no s'apliquen les disposicions pertinents del NIS2. DORA (Reglament 2022/2554) n'és l'exemple principal: les entitats financeres subjectes a DORA estan exemptes de les disposicions de gestió de riscos i d'informació d'incidents del NIS2 en la mesura contemplada per DORA, però la Comissió va emetre directrius al juliol de 2023 per assistir a aquesta anàlisi, i no totes les entitats financeres estan cobertes per DORA en el mateix grau.
Foto: Christina Morillo via Pexels
fonts primàries per al NIS2 i la transposició nacional
El text complet de la Directiva (UE) 2022/2555 sobre EUR-Lex, incloent tots els considerants, articles operatius i annexos I-III. CELEX 32022L2555El text consolidat incorpora qualsevol acte de modificació posterior.
La pàgina NIS2 d'ENISA proporciona documents d'orientació, eines d'execució, la base de dades de vulnerabilitat europea i informació sobre la transposició dels Estats membres. ENISA és el principal organisme de la UE que dona suport a la implementació de NIS2.
Directrius emeses per la Comissió al juliol de 2023 que aclareixen quan les normes sectorials específiques (com DORA) són equivalents en efecte a NIS2, publicades sobre EUR-Lex. Lectura essencial per a entitats de sectors regulats que avaluïn quin règim les regeix.
L'expedient del procediment legislatiu del Parlament Europeu per al NIS2, seguint tota la història legislativa de la proposta de la Comissió a través de la primera lectura, el diàleg a tres bandes i l'adopció final.
usa BrubruEines amb IA per navegar pel compliment de NIS2 i la llei de ciberseguretat de la UE