NIS2 multiplica el número de organizaciones sujetas a obligaciones de ciberseguridad y, por primera vez, hace responsable de forma personal a los órganos de dirección. El efecto sobre la contratación del ciberseguro ya se está notando.
Quién queda dentro
La directiva distingue entidades esenciales e importantes y extiende el ámbito a sectores que hasta ahora quedaban fuera: gestión de residuos, alimentación, fabricación, servicios postales, química y proveedores digitales, entre otros. El umbral general alcanza a medianas empresas, de modo que compañías que nunca se habían planteado un marco formal de ciberseguridad pasan a estar obligadas.
Las obligaciones que más cuestan de implantar
Análisis de riesgos documentado, gestión de incidentes, continuidad de negocio y copias de seguridad, seguridad de la cadena de suministro, y formación. La que más trabajo genera en la práctica es la de cadena de suministro: obliga a evaluar y exigir garantías a los proveedores, algo que la mayoría de organizaciones no tenía formalizado.
Notificación en plazos muy cortos
Alerta temprana en 24 horas, notificación con evaluación inicial en 72 horas e informe final en un mes. Estos plazos conviven con los del RGPD cuando hay datos personales implicados. Sin un protocolo escrito y un equipo de respuesta identificado de antemano, cumplirlos durante un incidente real es prácticamente imposible.
Qué cambia en el seguro
Dos efectos. El primero, que el cuestionario de suscripción se ha endurecido: doble factor en accesos remotos, copias inmutables y protección de endpoint gestionada son hoy condición de asegurabilidad, no una mejora de prima. El segundo, que la responsabilidad personal de la dirección introducida por NIS2 refuerza el papel del D&O junto al ciberseguro, porque son coberturas que responden a reclamaciones distintas.
