Hacer la del avestruz ya no va a ser posible para las empresas que han sufrido un ciberataque. Porque, para quien no cumpla, habrá multa. Mucha: hasta el 2% de la facturación o 10 millones de euros. Más el golpe reputacional. Y esto, ¿por qué? Por una directiva europea de la que cada vez las empresas van a oir hablar más: la NIS 2. Sigue leyendo, que te ponemos al tanto.
La NIS 2 o Network and Information Systems Directive 2 es la evolución de la primera directiva de ciberseguridad de la Unión Europea, aprobada en 2016. Su objetivo es elevar el nivel común de ciberseguridad en todos los estados miembros y armonizar la forma en que las organizaciones responden ante incidentes digitales. A #lasenes, que entre otras cosas nos dedicamos a la comunicación de crisis, esta directiva nos interesa porque incluye una serie de requisitos de comunicación. Informamos: hacer la del avestruz ya no va a ser posible para las empresas que han sufrido un ciberataque. Porque, para quien no cumpla, habrá multa. Mucha: hasta el 2% de la facturación o 10 millones de euros –máximos previstos para determinadas entidades esenciales, no una sanción general para cualquier empresa–. Más el golpe reputacional.
La directiva debe ser desarrollada por cada estado miembro y debía incorporarse a la legislación española antes del 17 de octubre de 2024, pero ese plazo no se cumplió. En octubre de 2025, cuando publicamos este artículo, España todavía estaba trabajando en el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. La transposición seguía pendiente y, con ella, la aplicación del nuevo régimen de obligaciones y sanciones previsto por la NIS2, sin perjuicio de la normativa de ciberseguridad ya vigente.
Pero, aunque la nueva ley española aún no esté aprobada, la directiva europea es un aviso a navegantes para que las empresas se vayan preparando para notificar y comunicar en caso de incidente. Lo que hoy parece voluntario, mañana será obligatorio.
Así que toca prepararse, porque cuando en comunicación de crisis esperamos a que algo pase para ponernos al tema, ya vamos tarde y mal.
Cada mes, Euskadi registra una media de 3.500 eventos relacionados con softwares maliciosos, lo que supone más de 40.000 posibles incidentes al año. Así lo señala Cyberzaintza, la Agencia Vasca de Ciberseguridad, que ha detectado un aumento del 48 % en los ciberataques entre 2022 y 2024. No es un problema de “grandes tecnológicas” ni de ciencia ficción: es un riesgo muy real para muchas organizaciones vascas.
En este contexto, la NIS 2 amplía considerablemente el número de sectores y empresas obligadas a cumplirla. Afecta tanto a entidades públicas como privadas, incluyendo pequeñas y medianas empresas que operan en sectores críticos: energía, transporte, banca, telecomunicaciones, salud, alimentación o química, entre otros.
Si tu empresa está ahí —o forma parte de la cadena de suministro de alguna que sí lo esté— más te vale tener un plan.
Dejando fuera de este artículo todos aquellos requerimientos que no son comunicativos, en el terreno informativo las organizaciones afectadas deben establecer políticas y procedimientos claros para la comunicación interna y externa en caso de incidentes de ciberseguridad. En fin, que la normativa viene a apoyar lo que quienes nos dedicamos a la comunicación decimos siempre: tras un ciberataque –como en cualquier otro escenario de crisis reputacional– toca comunicar de manera transparente, ordenada y profesional.
La directiva establece obligaciones de notificación para las entidades sujetas a la normativa cuando sufren incidentes significativos, es decir, aquellos que provocan o pueden provocar perturbaciones operativas graves, pérdidas económicas considerables o perjuicios importantes a otras personas.
En estos casos, la NIS2 contempla varios plazos:
En las primeras 24 horas: envío de una alerta temprana a la autoridad competente o al equipo de respuesta a incidentes correspondiente.
En un máximo de 72 horas: notificación del incidente con una primera evaluación de su gravedad e impacto.
En el plazo de un mes desde la notificación inicial: presentación de un informe final sobre el incidente, sus consecuencias y las medidas adoptadas.
Pero la comunicación no termina en las autoridades. La directiva también contempla que, en determinadas circunstancias, las organizaciones deban informar a las personas destinatarias de sus servicios sobre amenazas o incidentes que puedan afectarles. Incluso puede exigirse la comunicación pública de un incidente significativo.
Los procedimientos concretos y las autoridades competentes en España deberán atender a la normativa aplicable y a la transposición de la directiva
En fin, que, aunque el primer pensamiento que nos viene a la cabeza ante tanta normativa y complicación de la burocracia y los marcos regulatorios pueda ser “menudo rollazo”, como consultoras de comunicación #lasenes consideramos que se abre una oportunidad para profesionalizar la comunicación ante incidentes de ciberseguridad y, por extensión, a otros riesgos reputacionales.
Como en tantos otros ámbitos, es un criterio cuando menos recomendable no esperar a que se promulgue la ley, y que las organizaciones incluidas en el ámbito de NIS2 vayan preparándose para cumplir con los requisitos de la directiva, también en comunicación, aunque la ley nacional aún no esté en vigor.
Porque las empresas que comuniquen bien, y más allá del compliance, estarán mejor protegidas frente al daño reputacional. Por eso, el momento de revisar y reforzar los protocolos de comunicación y notificación es ahora, involucrando a toda la estructura corporativa y priorizando la transparencia y la preparación ante cualquier incidente.
Recuerda: el momento de actuar y prepararse no es cuando suena la alarma.
Es ahora.
El texto oficial está disponible aquí: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022L2555