NIS2 y ciberseguridad, para dummies
De qué trata
Qué es la Directiva (UE) 2022/2555 (NIS2), a quién se aplica, qué tiene que ver con una gestora, un fondo o una entidad financiera, cómo se reparte el terreno con DORA y con la ISO/IEC 27001, y cómo preparar el cumplimiento, de cero y sin tecnicismos. Manual divulgativo.
Contenido (30 capítulos)
- Qué es NIS2 y por qué debería importarte
- Conceptos clave explicados desde cero
- ¿Estás dentro? Sectores, tamaño y establecimiento
- Entidades esenciales y entidades importantes
- El sector financiero dentro de NIS2: quién está y quién no
- DORA y NIS2: la norma especial gana a la general
- Quién entra en DORA y quién queda fuera
- En España: la transposición de NIS2, paso a paso
- La responsabilidad de la dirección: el órgano de gobierno manda
- Las diez medidas mínimas del artículo 21, una a una
- Proveedores y cadena de suministro: lo que NIS2 y DORA piden
- Notificar incidentes en NIS2: alerta, notificación e informe final
- Notificar incidentes en DORA: grave, cuatro horas y un solo canal
- Pruebas y evaluación de la eficacia: de la auditoría al TLPT
- Compartir información y vulnerabilidades: intercambio voluntario
- Supervisión: qué pueden hacerte las autoridades
- Sanciones: cifras y circunstancias
- NIS2, ISO/IEC 27001 y el Esquema Nacional de Seguridad
- Ciberseguridad y protección de datos: una brecha, varios avisos
- Casos resueltos: cuatro situaciones de una gestora
- Errores frecuentes y señales de alerta
- Si llega la autoridad: qué debes poder enseñar
- Los documentos que conviene tener
- Plan de acción en diez pasos
- Listas de comprobación
- Quién es quién en la ciberseguridad europea y española
- Modelo comentado de cláusulas de seguridad para proveedores TIC
- Modelo comentado de procedimiento de gestión de incidentes
- Preguntas frecuentes, glosario y cómo se ha verificado este manual
- Anexo. Herramientas de IA de uso general: riesgos y cómo usarlas bien
Muestra gratuita: la presentación
Para qué sirve este manual. Cuando se habla de ciberseguridad en el sector financiero suenan dos siglas que se confunden con facilidad: DORA y NIS2. Las dos exigen que una entidad proteja sus sistemas informáticos, gestione sus proveedores tecnológicos y avise de los incidentes graves. Pero no se aplican a las mismas entidades, no las vigilan las mismas autoridades y, en el caso de las gestoras, una de las dos manda y la otra queda en segundo plano. Este manual te explica, de cero y sin tecnicismos, qué es NIS2, a quién alcanza, qué tiene que ver con tu gestora, tu fondo o tu entidad, y cómo encaja con DORA y con la norma ISO/IEC 27001.
Es el hermano divulgativo de los demás tomos de «para dummies». Para entrar en detalle en el reglamento financiero tienes el manual DORA, para dummies; para el sistema de gestión de seguridad certificable, el manual Certificaciones ISO, para dummies; y para los datos personales, el Tomo XI.1, Protección de datos, para dummies. Aquí no se repite lo que ya está en ellos: se explica lo que NIS2 añade, lo que NIS2 cede a DORA y qué hacer con ambas.
NIS2 es la norma europea de ciberseguridad «para todos los sectores importantes». Para el sector financiero, DORA es la norma especial y, en lo que cubre, desplaza a NIS2. Una gestora autorizada que cumple DORA no tiene, en general, que cumplir además la parte equivalente de NIS2. Pero NIS2 sigue importando, porque alcanza a tus proveedores tecnológicos, a tu depositario si es un banco y a cualquier otro negocio que tengas en el grupo.
Qué no es este manual
No es asesoramiento jurídico ni sustituye a un abogado o a un experto en ciberseguridad. La transposición de NIS2 a la ley española sigue pendiente (capítulo 8): comprueba siempre el estado en el BOE y en la web del supervisor antes de tomar decisiones. No es una guía técnica de ciberseguridad: no te dice qué producto comprar ni cómo configurar un cortafuegos.
A quién se aplica este manual
La Directiva (UE) 2022/2555 se aplica por sectores (anexos I y II) y tamaño, y DORA es la norma especial del sector financiero. Esta es la lectura para cada tipo que gestiona Edilia Compliance.
| Tipo de entidad o vehículo | ¿Aplica? | Por qué |
|---|---|---|
| SGEIC y SGIIC | Por DORA | No están en el anexo I de NIS2; su resiliencia digital la regula DORA (art. 4 de NIS2 y art. 1.2 de DORA). |
| SGC y AV/SVB (empresas de servicios de inversión) | Por DORA | Su resiliencia digital la regula DORA (art. 2.1.e). |
| EAF | Por DORA | Su resiliencia digital la regula DORA (art. 2.1.e). |
| EAFN | Ni DORA ni NIS2 como tal | La CNMV dice que las EAFN no están sujetas a DORA; NIS2 solo alcanza a quien entre en sus anexos por actividad y tamaño. |
| SGFT | Solo si entra en un anexo | No figura en el art. 2 de DORA; NIS2 solo alcanza a quien entre en sus anexos por actividad y tamaño. |
| PSC/MiCA (proveedores de servicios de criptoactivos) | Por DORA | Su resiliencia digital la regula DORA (art. 2.1.f). |
| PSFP (financiación participativa) | Por DORA | Su resiliencia digital la regula DORA (art. 2.1.s). |
| Vehículos de capital riesgo: FCR, SCR, ECR, ECR-Pyme, EICC, FCRE (EuVECA), FESE (EuSEF) y FILPE (ELTIF) | Por su gestora | El vehículo no es una entidad de NIS2 ni de DORA: lo es su gestora. |
| Vehículos IIC: FI, SICAV, FIL, SIL, ETF, FIAMM, FII y SII | Por su gestora | El vehículo no es una entidad de NIS2 ni de DORA: lo es su gestora. |
| FT (fondos de titulización) | No | No figura en NIS2 ni en DORA. |
Los tipos y vehículos son los que Edilia Compliance da de alta (nueve tipos de entidad y diecisiete de vehículo). El detalle por tipo, obligación a obligación, está en el Tomo I.