Directiva NIS2: impacto en servicios de transferencia en 2026

La Directiva NIS2 (UE 2022/2555), transpuesta en la legislación nacional de los estados miembros antes del 17 de octubre de 2024 y en aplicación activa durante 2026, incorpora los servicios de transferencia de archivos a las categorías de "infraestructura digital" y "proveedores digitales" cuando sirven a entidades esenciales o importantes. Para los proveedores de transferencia de archivos, NIS2 exige una gestión documentada de riesgos de ciberseguridad conforme al Artículo 21, revisiones de seguridad en la cadena de suministro, una alerta temprana de 24 horas para incidentes significativos conforme al Artículo 23, y responsabilidad personal de los órganos de dirección, con multas potenciales de hasta 10 millones de euros o el 2% del volumen de negocio global. Los usuarios de estos servicios heredan las obligaciones de la cadena de suministro.

A quién cubre realmente NIS2

NIS2 amplió significativamente el ámbito de la anterior directiva NIS. Las entidades esenciales incluyen energía, transporte, banca, sanidad, agua potable e infraestructura digital (registros DNS, registros TLD, proveedores cloud, centros de datos, redes de distribución de contenidos). Las entidades importantes añaden servicios postales, gestión de residuos, química, alimentación, fabricación y proveedores digitales como motores de búsqueda, mercados en línea y redes sociales. Un servicio de transferencia de archivos cae a menudo bajo las definiciones de "proveedor de servicios gestionados" o "proveedor de servicios de seguridad gestionados" del Anexo II, convirtiéndolo en una entidad importante. Incluso los proveedores más pequeños que están por debajo de los umbrales de tamaño quedan incluidos cuando un estado miembro los designa como críticos.

Medidas de gestión de riesgos del Artículo 21

Las diez medidas del Artículo 21(2) conforman un conjunto básico de controles de seguridad. Los proveedores de transferencia de archivos deben implementar políticas sobre análisis de riesgos y seguridad de los sistemas de información, gestión de incidentes, continuidad de negocio y gestión de crisis, seguridad en la cadena de suministro, seguridad en la adquisición y desarrollo de sistemas y redes, políticas para evaluar la eficacia, ciberhigiene básica y formación, criptografía y cifrado, seguridad de recursos humanos y control de acceso, y autenticación multifactor. Para un servicio de transferencia, eso se traduce en entregables concretos: un SGSI documentado, AES-256-GCM para los archivos almacenados, TLS 1.3 para el transporte, MFA para el acceso administrativo, pruebas de penetración anuales y un programa de formación para desarrolladores y personal de soporte.

Plazos de notificación de incidentes

El Artículo 23 establece los plazos más estrictos que los reguladores hayan impuesto jamás a los servicios digitales. Para un incidente significativo, la entidad envía una alerta temprana en 24 horas, una notificación completa del incidente en 72 horas y un informe final en un mes. Una brecha en un servicio de transferencia de archivos que exponga archivos de clientes normalmente calificaría como significativa si afecta a muchos usuarios o interrumpe el servicio. El plan de respuesta a incidentes del proveedor necesita roles con nombre, una cadena de escalada disponible 24/7 y plantillas predactadas para el CSIRT nacional. ENISA publica orientaciones sobre qué cuenta como significativo, con criterios de referencia como número de usuarios afectados, duración y alcance geográfico.

Las obligaciones de la cadena de suministro fluyen en ambas direcciones

El Artículo 21(2)(d) de NIS2 menciona explícitamente la seguridad de la cadena de suministro. Las entidades esenciales e importantes deben evaluar la ciberseguridad de sus proveedores directos. Un hospital que usa un proveedor de transferencia de archivos debe evaluar las prácticas de seguridad de ese proveedor, obtener compromisos contractuales sobre controles de seguridad y notificación de incidentes, y supervisar el cumplimiento. En paralelo, el proveedor evalúa a sus propios suministradores: proveedores cloud como AWS, OVHcloud, Scaleway o Hetzner, más CDNs, plataformas de observabilidad y proveedores de identidad. Las Evaluaciones de Riesgo Coordinadas de la UE, publicadas por la Comisión y ENISA, señalan preocupaciones de la cadena de suministro específicas del sector. La evaluación de 2024 sobre telecomunicaciones y cloud es el modelo a seguir.

Responsabilidad personal de los órganos de dirección

El Artículo 20 hace personalmente responsables a la alta dirección. Los directivos de las entidades en alcance deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su implementación y completar formación regular. En algunos estados miembros, como Alemania (mediante NIS2UmsuCG) y Francia (mediante la transposición LOI PROPRE), las sanciones personales e inhabilitaciones de directores están contempladas para negligencias graves. Los consejos de administración de proveedores cloud y SaaS que atienden a clientes de infraestructura crítica incluyen ahora la ciberseguridad como punto permanente en el orden del día, a menudo con el CISO informando directamente o a través del comité de auditoría.

Certificación y garantía

NIS2 fomenta el uso de esquemas europeos de certificación de ciberseguridad conforme a la Ley de Ciberseguridad (UE 2019/881). El esquema EUCC para productos TIC y el próximo esquema EUCS para servicios cloud ofrecen marcas de garantía en los niveles "básico", "sustancial" y "alto". Los servicios de transferencia de archivos orientados a compradores regulados están obteniendo SOC 2 Tipo II, ISO 27001, ISO 27701 para privacidad y certificaciones nacionales como SecNumCloud de Francia o C5 de Alemania. El efecto práctico: los proveedores sin al menos ISO 27001 están siendo eliminados de las listas de preselección en contrataciones de compradores regulados en toda la UE.

Coordinación transfronteriza y jurisdicción

Un servicio de transferencia de archivos con sede en Irlanda que atiende a clientes en toda la UE trata con una autoridad supervisora principal en Irlanda bajo la regla del "establecimiento principal" de NIS2 para proveedores digitales. Pero las notificaciones de incidentes pueden seguir debiéndose a la autoridad donde se produjo un impacto significativo. El Grupo de Cooperación y la Red de CSIRTs coordinan los incidentes transfronterizos. Los proveedores establecen relaciones con su CSIRT nacional con antelación, ya que el primer informe de incidente no es el momento de averiguar los canales de contacto. Los contactos de la Red de CSIRTs de ENISA son públicos.

Pasos prácticos para proveedores y compradores de transferencia

Para los proveedores en 2026, los requisitos innegociables: una evaluación de brechas conforme al Artículo 21 documentada y revisada por el consejo, un responsable de respuesta a incidentes con una rotación 24/7, un inventario de proveedores verificado con cláusulas de seguridad, una página de confianza y cumplimiento publicada que mencione la preparación para NIS2, y un informe de prueba de penetración de un proveedor cualificado en los últimos 12 meses. Para los compradores, solicita a los proveedores: su autoevaluación NIS2, su contacto CSIRT nacional, su lista de subencargados, su SLA de notificación de brechas y las especificaciones criptográficas de su producto. La medida de seguridad de la cadena de suministro del Artículo 21(2)(d) convierte estas preguntas en parte de la diligencia debida, no en opcionales.

HexaTransfer cifra los archivos del lado del cliente con AES-256-GCM, aloja en infraestructura de la UE y publica su política de respuesta a incidentes. Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.

NIS2 no inventó nuevas prácticas de seguridad. Las hizo obligatorias, añadió responsabilidad personal de la dirección y acortó los plazos. Los servicios de transferencia que ya aplicaban programas de seguridad disciplinados principalmente tuvieron que documentar lo que hacían. Los que no, afrontaron dos años de ingeniería urgente. Para los compradores en 2026, la pregunta no es si tu proveedor conoce NIS2, sino si puede demostrarlo por escrito cuando te lo pida tu regulador.