El anteproyecto de ley NIS2 —denominado formalmente Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad— fija las obligaciones de ciberseguridad que recaerán sobre miles de empresas industriales en España. Si tu organización opera en sectores como energía, agua potable, manufactura crítica, alimentación o transporte con más de 50 empleados, este texto determina qué debes documentar, qué debes notificar y cómo debe implicarse tu órgano de dirección. El marco no es opcional: las sanciones alcanzan hasta el 2 % de la facturación mundial anual.
Para un comité de dirección industrial, la lectura útil del texto no es jurídica sino operativa: la pregunta no es “¿qué dice la norma?”, sino “¿qué tendría que cambiar en mi planta el día que se apruebe?”. Este artículo lo recorre desde esa perspectiva. fortiot no ejecuta auditorías ni implanta controles; te conecta con consultoras y especialistas OT verificados que sí lo hacen, y coordina que la propuesta encaje con tu calendario y tu presupuesto.
Solicita diagnóstico OT: te conectamos con el especialista adecuado
Qué es el anteproyecto de ley NIS2 y por qué afecta a tu planta
La Directiva (UE) 2022/2555 —NIS2— fijó el 17 de octubre de 2024 como plazo para que los estados miembros la transpusiesen a su legislación nacional. España tramitó con retraso el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad; el estado legislativo exacto debe verificarse en el BOE, ya que en ausencia de transposición plena la Directiva puede aplicarse directamente en determinados supuestos.
El texto crea el Centro Nacional de Ciberseguridad (CNCS), adscrito al Departamento de Seguridad Nacional —cuyo marco de coordinación estratégica arranca en la Ley 36/2015 de Seguridad Nacional— y articula la actuación del CCN-CERT y del INCIBE-CERT como CSIRT nacionales. El anteproyecto también define los mecanismos de supervisión cruzada entre estados miembros y la información al Grupo de Cooperación NIS a escala europea.
Para una empresa industrial, lo relevante de esa arquitectura institucional es que pasa a existir una autoridad con competencia para pedir cuentas. El régimen anterior dejaba buena parte del cumplimiento en un terreno de buenas prácticas sin supervisión activa. La futura norma cambia ese equilibrio: habrá un interlocutor sectorial al que notificar incidentes, ante el que registrarse y que puede inspeccionar. Una planta que hoy trate la ciberseguridad OT como un asunto técnico de segundo nivel se encontrará con que la norma la convierte en una obligación verificable, con responsable nombrado y trazabilidad documental. Para situar tu caso en el marco general, la transposición de NIS2 en España explica cómo encaja el texto en el calendario legislativo.
Qué cambia el anteproyecto NIS2 respecto al marco anterior
El salto frente al régimen previo de seguridad de redes y sistemas no es de matiz. La norma reordena el alcance y la exigencia en cuatro frentes que conviene tener claros antes de planificar:
- Más entidades obligadas. El marco anterior se apoyaba en una designación caso por caso. La norma la sustituye por umbrales objetivos: si tu empresa los supera en un sector listado, queda dentro sin que nadie la “designe”. Muchas medianas industriales que antes quedaban fuera del radar ahora entran de pleno.
- Plazos de notificación más cortos y escalonados. Se pasa de notificaciones genéricas a un calendario estricto con alerta temprana, notificación intermedia e informe final.
- Gobernanza al nivel del consejo. La ciberseguridad deja de ser delegable íntegramente al departamento técnico: el órgano de dirección debe aprobar el plan de medidas y supervisar su ejecución, y responde si no lo hace.
- Régimen sancionador con dientes. Las cuantías se ligan a la facturación y se gradúan las infracciones, lo que da a la autoridad un margen real de presión.
La conclusión práctica para un decisor industrial es que el texto no admite la respuesta de “ya hacemos algo de ciberseguridad”: exige demostrarlo con documentación, un responsable identificable y procesos que resistan una inspección.
Ámbito de aplicación: entidades industriales afectadas por el anteproyecto
El anteproyecto NIS2 distingue dos categorías con obligaciones de diferente intensidad:
| Categoría | Empleados | Facturación anual |
|---|---|---|
| Entidad esencial | ≥ 250 | ≥ 50 M€ |
| Entidad importante | 50 – 249 | 10 – 50 M€ |
Ambas categorías aplican exclusivamente en los 18 sectores listados: energía (electricidad, gas, petróleo, hidrógeno), transporte, agua potable, aguas residuales, sanidad, infraestructuras digitales, gestión de servicios TIC, espacio, banca, mercados financieros, manufactura crítica (automoción, maquinaria, equipos eléctricos, química, farmacéutica, productos sanitarios) y alimentación.
Las entidades designadas como infraestructuras críticas conforme a la normativa sectorial española quedan automáticamente clasificadas como esenciales, con independencia del umbral de tamaño o facturación. Para determinar en qué categoría encaja tu organización, consulta el análisis de NIS2 aplicado a la industria.
Conviene no leer el cuadro de umbrales de forma mecánica. Tres situaciones generan dudas frecuentes en plantas reales. La del grupo empresarial: una filial pequeña puede arrastrar la clasificación de la matriz si forman una unidad económica, de modo que mirar solo la cifra de la sociedad que opera la planta induce a error. La de la empresa que crece cerca de un umbral: cruzar la barrera de empleados o de facturación reclasifica la entidad de importante a esencial, por lo que conviene anticipar el escalón. Y la de la actividad mixta: una empresa cuyo negocio principal no está listado pero que opera una instalación de un sector cubierto. La diferencia entre quedar fuera, ser importante o ser esencial determina cuánta documentación y qué nivel de supervisión te corresponden, así que el primer entregable de cualquier proyecto serio es una clasificación bien fundamentada. El desglose de a quién aplica NIS2 detalla los casos límite.
Obligaciones técnicas y organizativas del anteproyecto NIS2
El anteproyecto exige medidas de gestión del riesgo en diez áreas mínimas. Las de mayor impacto en entornos OT son:
- Análisis de riesgos y políticas de seguridad: documentación formal del riesgo sobre activos de control industrial (PLCs, HMIs, SCADA, historiadores, redes de proceso).
- Gestión de incidentes: procedimientos de detección, clasificación, respuesta y notificación coordinados entre IT y OT.
- Continuidad del negocio: RTO y RPO definidos y testados para los procesos industriales más críticos, con planes de recuperación que contemplen pérdida de visibilidad en red de proceso.
- Seguridad en la cadena de suministro: evaluación de proveedores de software SCADA, firmware de PLCs e integradores de sistemas de control.
- Formación y sensibilización: obligatoria para el personal directivo, no solo para el equipo técnico.
La consultora que estructure el proyecto debe traducir estas áreas a un plan director con entregables auditables, alineado con IEC 62443-3-2 (evaluación de riesgo OT) y NIST CSF v2.0. El servicio de cumplimiento NIS2 en entornos de control industrial reúne la metodología aplicada a planta para llevar esas áreas de la teoría a controles concretos.
El primer obstáculo en una planta real no es la falta de voluntad, sino la falta de inventario. Es difícil documentar el riesgo de activos que la organización no tiene censados: cabinas de PLC de hace quince años, accesos remotos de mantenimiento abiertos por un integrador y nunca cerrados, switches no gestionados ausentes de todo diagrama. Por eso un proyecto bien planteado empieza por una evaluación de riesgos OT que parta del inventario de activos de control y de un mapa de red real, no del que figura en la documentación de obra. Solo sobre ese mapa tiene sentido hablar de segmentación o de prioridades de remediación.
La gestión de incidentes plantea un reto específico en OT. En una red de oficinas, un incidente se contiene aislando equipos; en una red de proceso, aislar un segmento puede detener una línea, y la disponibilidad suele ser el primer objetivo de seguridad. El procedimiento que estructure la consultora tiene que reconciliar esa tensión: cómo responder sin convertir la respuesta en una parada no planificada. La continuidad del negocio se ve afectada por lo mismo: definir un RTO para un proceso continuo —un horno, una línea de envasado, una depuradora— obliga a pensar en qué pasa cuando se pierde la visibilidad SCADA pero el proceso físico sigue corriendo. Son decisiones que mezclan ingeniería de proceso y ciberseguridad, y que rara vez puede tomar un equipo IT en solitario.
La cadena de suministro suele ser el flanco menos vigilado. Una planta puede tener su perímetro razonablemente cuidado y, aun así, depender de un integrador con acceso remoto permanente, de un fabricante de SCADA que distribuye actualizaciones, o de firmware de PLC cuya procedencia nadie verifica. La norma sitúa esa dependencia dentro del alcance de las obligaciones: en la práctica, revisar contratos, exigir requisitos de seguridad a proveedores y dejar constancia documental de esa diligencia.
La figura del responsable de seguridad de la información en el anteproyecto
El anteproyecto obliga a designar un responsable de la seguridad de la información con funciones análogas a un CISO. Esta figura debe:
- Ser nombrada formalmente por el órgano de dirección.
- Quedar identificada ante la autoridad competente sectorial.
- Supervisar la aplicación del plan de medidas y el proceso de notificación de incidentes.
En medianas empresas industriales es habitual que esta responsabilidad recaiga en el responsable IT sin experiencia en redes OT, lo que genera fragilidad documental y operativa. El especialista OT que intervenga en el proyecto debe delimitar con precisión las responsabilidades IT y OT para que el nombramiento sea funcional, no únicamente formal ante la autoridad de control.
La distinción importa porque IT y OT no comparten ni prioridades ni herramientas. Un responsable IT tenderá a aplicar reglas de oficina —parcheo agresivo, reinicio para actualizar— que en una red de proceso pueden ser inviables o peligrosas: un PLC no se reinicia porque toque actualizar, y un HMI puede ejecutar un sistema operativo que ningún fabricante soporta ya. Cuando el responsable nombrado no entiende esas restricciones, el plan de medidas se construye sobre supuestos falsos y la primera inspección lo deja al descubierto. La salida razonable para una mediana empresa no suele ser contratar un CISO OT a tiempo completo, sino dotar al responsable designado de apoyo externo especializado. Una consultoría de ciberseguridad OT cubre ese hueco, sin desplazar la responsabilidad formal de quien la asume dentro de la empresa.
Plazos de notificación de incidentes y sanciones del anteproyecto NIS2
El anteproyecto adapta los plazos de la Directiva NIS2 para incidentes con impacto significativo:
- 24 horas desde la detección: alerta inicial al CSIRT competente.
- 72 horas: notificación con evaluación preliminar, gravedad estimada y medidas adoptadas.
- 30 días: informe final con análisis de causa raíz, impacto cuantificado y medidas correctoras.
Cumplir el plazo de 24 horas exige detectar el incidente antes. En entornos OT sin monitorización específica, el MTTD (mean time to detect) típico supera los 200 días según datos de ENISA. Una línea parada que no se correlaciona como incidente de ciberseguridad en tiempo real hace inviable el cumplimiento del plazo.
El problema de fondo es cultural antes que técnico. En muchas plantas, una parada se interpreta de entrada como un fallo de máquina o un error humano, y se moviliza a mantenimiento, no a seguridad. Si el origen es un ransomware o una manipulación de la lógica de control, esa atribución equivocada consume las primeras horas críticas y la ventana se agota antes de que nadie sospeche que hay un incidente notificable. Por eso el plazo no se cumple con un buen procedimiento de redacción de informes, sino con capacidad de detección: visibilidad de la red de proceso y un criterio claro para escalar una anomalía. El informe final, con análisis de causa raíz, solo es posible si existe trazabilidad de lo ocurrido.
Las sanciones previstas alcanzan hasta 10 M€ o el 2 % de la facturación mundial para entidades esenciales, y hasta 7 M€ o el 1,4 % para entidades importantes. La responsabilidad personal del órgano de dirección —por no aprobar ni supervisar el plan de medidas— es una novedad sustancial frente al régimen NIS1.
Esa responsabilidad personal cambia el cálculo para un comité de dirección: la exposición deja de ser un riesgo abstracto de la empresa y pasa a afectar a las personas físicas que la dirigen. Frente a una inspección, lo que protege al consejo no es haber comprado tecnología, sino poder mostrar un rastro de gobernanza —actas que aprueban el plan, un responsable nombrado por escrito, revisiones documentadas, formación impartida—. La diligencia se demuestra con papeles.
Coordinamos la propuesta técnica con el especialista OT verificado para tu caso
Cómo prepararse antes de la aprobación del anteproyecto NIS2
Esperar a la publicación en el BOE para empezar a moverse es la peor estrategia: los proyectos de ciberseguridad OT tienen plazos largos y la tecnología OT no se parchea de un día para otro. Una mediana empresa industrial puede avanzar de forma ordenada con una secuencia de pasos que no depende de la fecha exacta de entrada en vigor:
- Confirmar la clasificación. Determinar con criterio si la entidad es esencial, importante o queda fuera, considerando grupo empresarial y actividades secundarias. Es el paso que condiciona todos los demás.
- Levantar el inventario de activos OT. Censar PLCs, HMIs, SCADA, historiadores, accesos remotos y la topología de red real. Sin inventario no hay análisis de riesgo posible.
- Realizar un diagnóstico de partida. Una auditoría de ciberseguridad OT o un diagnóstico inicial sitúa la distancia entre el estado actual y lo que la futura norma exigirá, y prioriza por riesgo.
- Definir la gobernanza. Nombrar al responsable de seguridad, llevar el plan al órgano de dirección y dejar constancia documental de su aprobación.
- Cerrar los huecos estructurales. La segmentación de la red OT y la separación de zonas y conductos suelen ser la remediación de mayor impacto y mayor plazo; conviene empezarlas pronto.
- Construir capacidad de detección y notificación. Visibilidad de la red de proceso y un procedimiento de incidentes que reconcilie respuesta y continuidad de producción.
Encarar esta secuencia con marcos reconocidos ahorra retrabajo. La serie IEC 62443 ofrece un lenguaje de referencia para casi todas las medidas exigibles: la parte 3-3 para requisitos de sistema, la parte 4-2 para componentes. Un proyecto que se apoye en esa estructura llega a la aprobación de la norma con la mayor parte del camino recorrido y con entregables que resisten una auditoría.
fortiot no audita ni implanta: selecciona, dentro de su red de consultoras y especialistas OT verificados, el perfil que encaja con tu sector y tu tamaño, y te acompaña para que la propuesta sea proporcionada. El alcance de los servicios disponibles cubre desde el diagnóstico inicial hasta el plan de cumplimiento completo.
Preguntas frecuentes sobre el anteproyecto de ley NIS2
¿Cuándo entra en vigor el NIS2 en España?
La Directiva (UE) 2022/2555 fijó el 17 de octubre de 2024 como plazo máximo de transposición. España tramitó el anteproyecto con retraso. La fecha de entrada en vigor del texto definitivo depende de su publicación en el BOE. En ausencia de transposición completa, determinadas disposiciones de la Directiva pueden tener efecto directo conforme a la jurisprudencia del Tribunal de Justicia de la UE. Verifica el estado actualizado en boe.es antes de planificar el calendario de cumplimiento.
¿Qué es el anteproyecto de ley de Coordinación y Gobernanza de la Ciberseguridad?
Es el texto pre-legislativo mediante el que España incorpora la Directiva NIS2 al ordenamiento jurídico nacional. Fija la arquitectura institucional de la ciberseguridad nacional (CNCS, autoridades sectoriales, CSIRTs), clasifica las entidades obligadas en esenciales e importantes, establece las medidas técnicas exigibles y tipifica el régimen sancionador. Antes de convertirse en ley, el texto pasa por audiencia pública, dictamen del Consejo de Estado y aprobación en Consejo de Ministros.
¿Quién tiene que cumplir con la NIS2?
Las empresas con más de 250 empleados o más de 50 M€ de facturación anual en sectores críticos quedan clasificadas como esenciales. Las de 50 a 249 empleados o 10–50 M€ en esos mismos sectores, como importantes. Sectores afectados: energía, agua potable, aguas residuales, transporte, manufactura crítica, alimentación, farmacéutica, sanidad e infraestructuras digitales, entre otros. Los operadores designados como infraestructuras críticas son esenciales por defecto. Consulta el desglose detallado en a quién aplica NIS2.
¿Cuáles son las sanciones previstas en el anteproyecto NIS2?
Hasta 10 M€ o el 2 % de la facturación mundial anual para entidades esenciales; hasta 7 M€ o el 1,4 % para entidades importantes. Las infracciones se gradúan en muy graves, graves y leves. La responsabilidad personal de los miembros del órgano de dirección —por no aprobar el plan de medidas ni supervisar su ejecución— es el elemento más relevante frente al régimen NIS1: la sanción puede recaer sobre las personas físicas que componen el consejo, no solo sobre la entidad.
¿Cómo puede prepararse una mediana industria antes de la aprobación?
Empezando por confirmar su clasificación y levantar el inventario de activos OT, sin esperar a la publicación en el BOE. A partir de ahí, un diagnóstico de ciberseguridad OT sitúa la distancia frente a lo que exigirá la norma y prioriza por riesgo. La gobernanza —nombrar responsable y llevar el plan al órgano de dirección— y la segmentación de red son las actuaciones de mayor plazo, por lo que conviene iniciarlas pronto. Apoyarse en marcos como IEC 62443 reduce el retrabajo posterior.
Sin compromiso. Identifica al especialista OT verificado para tu postura frente al anteproyecto NIS2