Hacer la del avestruz ya no va a ser posible para las empresas que han sufrido un ciberataque. Porque, para quien no cumpla, habrá multa. Mucha: hasta el 2% de la facturación o 10 millones de euros. Más el golpe reputacional. Y esto, ¿por qué? Por una directiva europea de la que cada vez las empresas van a oir hablar más: la NIS 2. Sigue leyendo, que te ponemos al tanto.
La NIS 2 o Network and Information Systems Directive 2 es la evolución de la primera directiva de ciberseguridad de la Unión Europea, aprobada en 2016. Su objetivo es elevar el nivel común de ciberseguridad en todos los estados miembros y armonizar la forma en que las organizaciones responden ante incidentes digitales. A #lasenes, que entre otras cosas nos dedicamos a la comunicación de crisis, esta directiva nos interesa porque incluye una serie de requisitos de comunicación. Informamos: hacer la del avestruz ya no va a ser posible para las empresas que han sufrido un ciberataque. Porque, para quien no cumpla, habrá multa. Mucha: hasta el 2% de la facturación o 10 millones de euros. Más el golpe reputacional.
La directiva debe ser desarrollada por cada estado miembro. En el caso de España, se está trabajando en ello: la NIS 2 debía incorporarse antes del 17 de octubre de 2024, plazo que no se cumplió. Existe un anteproyecto de ley (Ley de Coordinación y Gobernanza de la Ciberseguridad) que busca integrar la NIS 2 al ordenamiento nacional. Hasta que este anteproyecto finalice su tramitación parlamentaria y se promulgue como ley, no habrá sanciones. A 2 de octubre de 2025, ese es el escenario.
Pero, aunque la nueva ley española aún no esté aprobada, la directiva europea es un aviso a navegantes para que las empresas se vayan preparando para notificar y comunicar en caso de incidente. Lo que hoy parece voluntario, mañana será obligatorio.
Así que toca prepararse, porque cuando en comunicación de crisis esperamos a que algo pase para ponernos al tema, ya vamos tarde y mal.
Cada mes, Euskadi registra una media de 3.500 eventos relacionados con softwares maliciosos, lo que supone más de 40.000 posibles incidentes al año. Así lo señala Cyberzaintza, la Agencia Vasca de Ciberseguridad, que ha detectado un aumento del 48 % en los ciberataques entre 2022 y 2024. No es un problema de “grandes tecnológicas” ni de ciencia ficción: es un riesgo muy real para muchas organizaciones vascas.
En este contexto, la NIS 2 amplía considerablemente el número de sectores y empresas obligadas a cumplirla. Afecta tanto a entidades públicas como privadas, incluyendo pequeñas y medianas empresas que operan en sectores críticos: energía, transporte, banca, telecomunicaciones, salud, alimentación o química, entre otros.
Si tu empresa está ahí —o forma parte de la cadena de suministro de alguna que sí lo esté— más te vale tener un plan.
Dejando fuera de este artículo todos aquellos requerimientos que no son comunicativos, en el terreno informativo las organizaciones afectadas deben establecer políticas y procedimientos claros para la comunicación interna y externa en caso de incidentes de ciberseguridad. En fin, que la normativa viene a apoyar lo que quienes nos dedicamos a la comunicación decimos siempre: tras un ciberataque –como en cualquier otro escenario de crisis reputacional– toca comunicar de manera transparente, ordenada y profesional.
El artículo 23 de la NIS 2 recoge las obligaciones de comunicación tras un ciberataque.
Apunta que deben notificarse los “incidentes significativos” que afectan la prestación de servicios o causan daños relevantes.
Más allá de esta generalidad, la NIS 2 establece lo siguiente si ocurre un incidente:
Y no, no basta con contárselo a Cyberzaintza. Si el incidente puede perjudicar a tus clientes, también ellos tienen derecho a saberlo, informándoles de las medidas o soluciones que pueden aplicar en respuesta a la amenaza. Y si la autoridad competente lo considera necesario, tendrás que hacerlo público.
En fin, que, aunque el primer pensamiento que nos viene a la cabeza ante tanta normativa y complicación de la burocracia y los marcos regulatorios pueda ser “menudo rollazo”, como consultoras de comunicación #lasenes consideramos que se abre una oportunidad para profesionalizar la comunicación ante incidentes de ciberseguridad y, por extensión, a otros riesgos reputacionales.
Como en tantos otros ámbitos, es un criterio cuando menos recomendable no esperar a que se promulgue la ley, y que las organizaciones incluidas en el ámbito de NIS2 vayan preparándose para cumplir con los requisitos de la directiva, también en comunicación, aunque la ley nacional aún no esté en vigor.
Porque las empresas que comuniquen bien, y más allá del compliance, estarán mejor protegidas frente al daño reputacional. Por eso, el momento de revisar y reforzar los protocolos de comunicación y notificación es ahora, involucrando a toda la estructura corporativa y priorizando la transparencia y la preparación ante cualquier incidente.
Recuerda: el momento de actuar y prepararse no es cuando suena la alarma.
Es ahora.
El texto oficial está disponible aquí: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022L2555