Cyber Security & NIS2
Adecuación a la Directiva NIS2 y al D.Lgs. italiano 138/2024 para sujetos esenciales, importantes y sus proveedores: determinamos si la norma se aplica y cómo, medimos la distancia respecto a las medidas de la ACN y acompañamos a la dirección y al área de IT desde el plan de adecuación hasta la gestión de incidentes.
Qué hacemos
Analizamos sector, tamaño y servicios prestados para determinar si la empresa figura entre los sujetos esenciales o importantes, qué sistemas y centros entran en el perímetro y qué obligaciones derivan de su condición de proveedor de sujetos NIS2.
Apoyamos el registro en la plataforma de la ACN (la agencia italiana de ciberseguridad) durante la ventana anual, la designación de punto de contacto, sustituto e interlocutor ante el CSIRT, la actualización anual de los datos, la categorización de actividades y servicios y la comunicación de los proveedores relevantes.
Comparamos la organización con las medidas de gestión de riesgos del art. 24 y con las medidas básicas definidas por la ACN: políticas, gestión de incidentes, continuidad, cadena de suministro, control de accesos, criptografía y autenticación multifactor.
Definimos funciones, delegaciones y flujos de información hacia la alta dirección, preparamos los acuerdos de aprobación de las medidas e impartimos la formación obligatoria para los órganos de administración y de dirección.
Construimos el procedimiento para detectar, clasificar y notificar los incidentes significativos al CSIRT Italia en los plazos previstos (24 horas, 72 horas, un mes), con funciones definidas, plantillas de comunicación y simulaciones prácticas.
Evaluamos a los proveedores críticos, identificamos los proveedores relevantes que deben comunicarse a la ACN, incorporamos requisitos de seguridad en los contratos y definimos controles proporcionados al riesgo: cuestionarios, evidencias documentales, verificaciones periódicas y gestión de las no conformidades.
La Directiva (UE) 2022/2555, conocida como NIS2, ha ampliado de forma significativa el número de empresas sujetas a obligaciones de seguridad informática. En Italia se transpuso mediante el Decreto Legislativo italiano 138/2024, en vigor desde el 16 de octubre de 2024, que designa a la Agencia para la Ciberseguridad Nacional (ACN) como autoridad nacional competente y punto de contacto único, y al CSIRT Italia como destinatario de las notificaciones de incidente.
La norma distingue entre sujetos esenciales y sujetos importantes en función del sector y del tamaño: por regla general medianas y grandes empresas de los sectores de los Anexos I y II, con algunas excepciones independientes del umbral. Entre los sectores cubiertos: energía, transporte, sector bancario e infraestructuras de los mercados financieros, sanidad, agua potable y aguas residuales, infraestructuras digitales (incluidas las redes y los servicios de comunicaciones electrónicas, y por tanto los operadores de telecomunicaciones), gestión de servicios TIC business-to-business, espacio, servicios postales, residuos, química, alimentación, algunas producciones manufactureras (productos sanitarios, electrónica, maquinaria, vehículos), proveedores de servicios digitales e investigación. A las entidades financieras se aplica con carácter prevalente el Reglamento (UE) 2022/2554, conocido como DORA.
Las obligaciones principales son cinco: el registro en la plataforma de la ACN durante la ventana anual y la posterior actualización de los datos (art. 7); la categorización de las actividades y de los servicios según el modelo de la ACN (art. 30); la adopción de las medidas de gestión de riesgos previstas por el art. 24; la notificación de los incidentes significativos (art. 25); y la implicación directa de los órganos de administración (art. 23), que aprueban las medidas, vigilan su aplicación y siguen una formación específica.
La ACN definió las especificaciones básicas de medidas de seguridad y notificación de incidentes mediante resoluciones de 2025, actualizadas a final de año e integradas en 2026. Para los sujetos incluidos en el listado en 2025 la obligación de notificación es operativa desde principios de 2026 y las medidas básicas deben aplicarse antes de octubre de 2026; para quienes entran en el listado en los años siguientes, los plazos los fija la ACN a partir de la comunicación de inclusión. A las especificaciones básicas siguen las relativas a las obligaciones a largo plazo.
Las sanciones administrativas pecuniarias alcanzan hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial, si es superior, para los sujetos esenciales, y hasta 7 millones o el 1,4 % para los sujetos importantes. En caso de incumplimiento de los requerimientos de la ACN se prevé además la inhabilitación temporal de administradores y alta dirección para desempeñar funciones directivas (art. 38). El riesgo más concreto, sin embargo, sigue siendo un incidente gestionado sin procedimientos: paradas operativas, notificaciones fuera de plazo, clientes y autoridades a los que informar sin datos ciertos.
Partimos de la pregunta que cuenta: ¿se aplica la norma, y a qué? Examinamos sector, umbrales, servicios y relaciones de grupo y trazamos la frontera entre lo que entra en el perímetro y lo que queda fuera. Así se evitan dos errores opuestos: adecuar todo sin necesidad o descuidar obligaciones que conllevan sanciones.
A continuación realizamos un gap analysis respecto a las medidas del art. 24 y a las medidas básicas de la ACN, mediante entrevistas, análisis documental y, donde es necesario, verificaciones técnicas específicas como vulnerability assessment y penetration test. El resultado es un plan de adecuación ordenado por prioridades, con responsables y plazos, que el órgano de administración aprueba con conocimiento de causa.
En la implantación trabajamos junto a IT, las funciones operativas, compras y dirección: escribimos políticas y procedimientos breves, atendemos los trámites ante la ACN, estructuramos la gestión de los incidentes, llevamos requisitos de seguridad a los contratos con los proveedores y formamos a quien decide y a quien opera. Donde ya existen un sistema ISO/IEC 27001 o un sistema de gestión RGPD estructurado, integramos la NIS2 en los controles existentes en lugar de construir un sistema paralelo: el mismo análisis de riesgos, el mismo procedimiento de incidentes con los distintos canales de notificación, el mismo registro de proveedores.
Cerramos con simulaciones sobre el procedimiento de incidentes y verificaciones periódicas de eficacia, porque el cumplimiento de la NIS2 es una obligación continua y no un proyecto que se agota con una entrega.
Nuestro método
Verificamos sector, umbrales de tamaño, servicios prestados y relaciones con sujetos NIS2; formalizamos el resultado en un dictamen motivado e identificamos sistemas, procesos y centros que entran en el perímetro.
Entrevistas, análisis documental y verificaciones técnicas específicas para medir la distancia respecto a las medidas del art. 24 y a las medidas básicas de la ACN, con un nivel de riesgo asociado a cada desviación.
Documento acordado con la dirección: actuaciones organizativas y técnicas, responsables, presupuesto indicativo y plazos alineados con los términos del decreto y de las resoluciones de la ACN, aprobado por el órgano de administración.
Redactamos políticas y procedimientos, apoyamos a IT y a los proveedores en la aplicación de las medidas, preparamos el registro y los flujos hacia la ACN y formamos a la alta dirección y al personal.
Probamos el procedimiento de incidentes con simulaciones, comprobamos la eficacia de las medidas con auditorías y pruebas técnicas y actualizamos el sistema cuando cambian la norma, la organización o las tecnologías.
Beneficios
Entregables
Preguntas frecuentes
Depende de tres factores: el sector de actividad (Anexos I y II del D.Lgs. italiano 138/2024), el tamaño (por regla general medianas y grandes empresas, con algunas excepciones independientes del umbral) y los servicios efectivamente prestados. Algunos casos son evidentes; otros exigen un análisis específico, también porque la calificación puede depender de las empresas asociadas y vinculadas, según los criterios de la Recomendación 2003/361/CE. Conviene aclararlo con antelación: quien está sujeto debe registrarse en la plataforma de la ACN durante la ventana anual y las demás obligaciones rigen a partir de la comunicación de inclusión en el listado.
Sí, de forma indirecta pero concreta. Los sujetos NIS2 deben vigilar la seguridad de su cadena de suministro y lo hacen imponiendo a los proveedores requisitos contractuales, cuestionarios y auditorías; además, desde 2026 comunican cada año a la ACN sus proveedores relevantes, es decir, los servicios TIC y los suministros no sustituibles. Quien demuestra un nivel de seguridad adecuado consolida la relación; quien no lo hace corre el riesgo de salir de los registros de proveedores. Acompañamos a la empresa en la construcción de una respuesta creíble y proporcionada a su tamaño.
La norma atribuye a los órganos de administración y de dirección la aprobación de las medidas de gestión de riesgos, la vigilancia de su aplicación y la obligación de seguir una formación específica; en caso de infracciones pueden ser llamados a responder y, si el sujeto no atiende los requerimientos de la ACN, se exponen a la inhabilitación temporal para desempeñar funciones directivas. Preparamos acuerdos, flujos de información y un itinerario formativo adecuado para quienes no tienen competencias técnicas.
Deben notificarse al CSIRT Italia los incidentes significativos, es decir, los que causan o pueden causar perturbaciones operativas graves, pérdidas financieras o daños relevantes a terceros, según los criterios definidos por la ACN en las especificaciones básicas o, para los proveedores de servicios digitales indicados en el Reglamento de Ejecución (UE) 2024/2690, directamente por ese Reglamento. Los plazos son breves: prenotificación en 24 horas desde que se tiene conocimiento del incidente, notificación en 72 horas e informe final en el plazo de un mes desde la notificación. Para cumplirlos hacen falta procedimiento, funciones y plantillas listos antes de que el incidente ocurra.
La empresa parte con ventaja, pero no queda exenta. La certificación cubre buena parte de las medidas del art. 24, aunque la NIS2 añade obligaciones propias: registro en la ACN, notificación de los incidentes en plazo, responsabilidad y formación de los órganos de administración y medidas específicas definidas por la ACN. Mapeamos las correspondencias e integramos lo que falta en el sistema de gestión existente, sin duplicidades.
Servicios relacionados
Verificaciones técnicas de seguridad sobre redes, aplicaciones e infraestructuras: detectamos las vulnerabilidades antes de que lo haga un atacante.
Saber másApoyo especializado a operadores de telefonía y telecomunicaciones: obligaciones ante AGCOM, procesos de activación y migración, facturación y gestión de reclamaciones.
Saber másDiseño, implantación y mantenimiento de sistemas de gestión certificables: ISO 9001, 14001, 45001, 27001, 37001, 50001 y los principales esquemas sectoriales y de cadena de suministro.
Saber másHablemos
Cuéntenos las prioridades de su empresa: en una primera reunión sin compromiso analizamos el contexto y le proponemos un recorrido concreto, con plazos y resultados medibles.