Con la Directiva NIS2 ya en vigor en gran parte de la UE, las organizaciones de los sectores energético y manufacturero se enfrentan a la realidad de un régimen de ciberseguridad mucho más estricto. La mayoría de los Estados miembros ha transpuesto la directiva a su legislación nacional, pero con definiciones, plazos de notificación y expectativas de auditoría diferentes. Este mosaico normativo significa que las empresas que operan en varias jurisdicciones deben cumplir con obligaciones distintas al mismo tiempo, un reto que ya ha tomado por sorpresa a algunas organizaciones. 

Bajo NIS2, tanto las entidades “esenciales” como las “importantes” deben cumplir requisitos más rigurosos en gestión de riesgos, seguridad de la cadena de suministro, notificación de incidentes y rendición de cuentas a nivel de dirección. Para las empresas energéticas y manufactureras, cuyos sistemas sostienen la vida cotidiana y cadenas de suministro críticas, esto ya no es un simple trámite, sino una cuestión estratégica de resiliencia y reputación. 

La nueva realidad para los operadores energéticos 

Las redes energéticas son un objetivo prioritario para ciberdelincuentes y actores respaldados por Estados. La directiva exige a los operadores reforzar sus sistemas, evaluar a sus proveedores e implementar sólidas capacidades de detección y respuesta. 

Imagina, por ejemplo, que un operador regional de transmisión eléctrica gestiona subestaciones y plataformas de equilibrado de red en dos países de la UE. Como cada país ha implementado NIS2 de forma diferente, el operador debe cumplir dos conjuntos de normas y garantizar que sus controles, procesos y notificaciones se alineen con el régimen más estricto. Además, debe aplicar autenticación multifactor (MFA) para el acceso remoto y para los contratistas, segmentar las redes críticas y documentar cualquier cambio. 

Si un grupo de ransomware comprometiera las credenciales de un contratista e interfiriera en la lógica de control de una subestación, el operador estaría obligado a emitir una alerta temprana en un plazo de 24 horas y un informe detallado en 72 horas, al mismo tiempo que restablece las operaciones y gestiona las consecuencias públicas. Sin un plan de respuesta a incidentes bien ensayado, estas obligaciones paralelas podrían saturar a los equipos internos. 

El desafío para la manufactura 

Los fabricantes de componentes críticos para los sectores aeroespacial, automotriz o químico están ahora clasificados como “entidades importantes” bajo NIS2. Esto implica obligaciones obligatorias de ciberseguridad y notificación tanto para la tecnología de la información (TI) como para la tecnología operativa (OT). 

Imagina un fabricante multisede con cientos de sensores IoT, sistemas robóticos y una cadena de suministro compleja. Bajo NIS2 debe: 

• Segregar las redes OT y TI e implementar sistemas de detección de intrusiones en entornos industriales. 

• Aplicar parches y controles de cambios, o documentar medidas compensatorias cuando no sea posible aplicar parches. 

• Exigir a los proveedores que cumplan normas de seguridad definidas, con cláusulas contractuales y derechos de auditoría. 

• Mantener y probar regularmente los planes de respuesta a incidentes y continuidad del negocio. 

Si un proveedor sufre una brecha y envía una actualización de firmware maliciosa a uno de los controladores robóticos, provocando una parada de producción, el fabricante deberá aislar las líneas afectadas, notificar rápidamente a las autoridades y demostrar que tenía controles “adecuados y proporcionados”. Los altos directivos son responsables de garantizar que este marco exista y se ponga a prueba. 

Responsabilidad de la dirección bajo NIS2 

Uno de los cambios más importantes que introduce NIS2 es la responsabilidad de la dirección. El Artículo 20 de la directiva (Gobernanza) establece obligaciones claras para los directores y altos cargos, convirtiendo la ciberseguridad en una responsabilidad de liderazgo y no solo en un tema técnico. 

Los órganos de dirección tienen ahora tres obligaciones principales: 

• Aprobar las medidas de gestión de riesgos – Los directores deben aprobar formalmente el marco de gestión de riesgos de ciberseguridad de la organización y garantizar que esté alineado con el apetito de riesgo y las obligaciones normativas de la empresa. Ya no es posible delegar completamente esta responsabilidad en los equipos de TI o seguridad. 

• Supervisar la implementación – Los líderes deben supervisar activamente cómo se aplica el marco de ciberseguridad, solicitando informes periódicos, monitoreando el desempeño frente a los indicadores clave (KPI) y responsabilizando a los equipos por su progreso. 

• Participar y promover la formación – Los miembros de la junta deben participar personalmente en la formación en ciberseguridad y promover una cultura de concienciación en toda la organización. Se trata de un cambio cultural en el que el liderazgo debe dar ejemplo. 

Para muchas empresas, donde el riesgo cibernético se ha visto tradicionalmente como un tema técnico y no de gobernanza, estas obligaciones suponen un cambio real de mentalidad. Las sanciones y responsabilidades pueden aplicarse no solo a la organización, sino también, en algunos casos, a los directivos si se descuidan estas funciones. 

Cómo ayuda Integrity360 

Dado que NIS2 no es solo un desafío técnico, sino también de gobernanza y cadena de suministro, las organizaciones se benefician de contar con experiencia externa que abarque ambos ámbitos. En Integrity360 trabajamos con proveedores de energía y fabricantes de toda Europa para: 

• Mapear y clasificar los sistemas sujetos a NIS2, incluidas las operaciones transfronterizas. 

• Evaluar las brechas entre los controles actuales y los requisitos nacionales de NIS2. 

• Diseñar e implementar mejoras de seguridad como MFA, segmentación de redes, detección en endpoints y gestión de exposiciones en entornos TI y OT. 

• Mejorar la preparación ante incidentes con playbooks, ejercicios de simulación y monitorización 24/7. 

• Gestionar el riesgo de terceros mediante due diligence, apoyo contractual y evaluaciones continuas de proveedores. 

• Proporcionar informes a nivel de dirección para que los líderes puedan demostrar su rendición de cuentas. 

Combinando consultoría, servicios gestionados y experiencia técnica práctica, ayudamos a las organizaciones a ir más allá del cumplimiento básico, construyendo una verdadera resiliencia y reduciendo la probabilidad y el impacto de incidentes disruptivos. 

Si tu organización opera en el sector energético, manufacturero o en cualquier otro cubierto por NIS2, el momento de actuar es ahora. Incluso en los países donde la transposición nacional se ha retrasado, los reguladores esperan que las empresas estén avanzando hacia el cumplimiento. Un único incidente o un plazo de notificación incumplido pueden acarrear multas, daños reputacionales y disrupción operativa. 

Empieza por mapear tus obligaciones en todas las jurisdicciones, evaluar tus controles y cadena de suministro e involucrar a tu junta directiva. Luego pon a prueba tus planes antes de necesitarlos. Con el enfoque adecuado y el socio correcto, NIS2 puede pasar de ser un quebradero de cabeza de cumplimiento a un catalizador para operaciones más sólidas y resilientes. 

Para saber cómo Integrity360 puede apoyar tu camino hacia el cumplimiento de NIS2, habla hoy mismo con uno de nuestros especialistas.