NIS2 & DORA

NIS2 y DORA son dos regulaciones europeas recientes que elevan las exigencias de ciberseguridad con obligaciones concretas y sanciones. NIS2 cubre sectores esenciales e importantes; DORA es específica del sector financiero. Ambas marcan la agenda de cumplimiento en la UE.

NIS2 (Directiva UE 2022/2555)

Qué      directiva de ciberseguridad para entidades ESENCIALES e IMPORTANTES
Sectores  energía, transporte, banca, salud, agua, infraestructura digital, admin pública,
          proveedores de servicios digitales, fabricación, correos, residuos... (amplía NIS1)
Clave    sustituye a NIS1 con más sectores, más obligaciones y sanciones reales
España   transpuesta a derecho nacional; supervisión por autoridades competentes

Obligaciones principales de NIS2

- medidas de gestión de riesgos (art. 21): políticas, IR, continuidad, cadena de suministro,
  cifrado, control de acceso, MFA, formación...
- NOTIFICACIÓN de incidentes significativos: alerta temprana en 24 h, notificación en 72 h,
  informe final en 1 mes
- RESPONSABILIDAD de la dirección (puede ser personalmente responsable)
- gestión de la cadena de suministro y proveedores

DORA (Reglamento UE 2022/2554)

Qué      resiliencia operativa DIGITAL del sector financiero (bancos, aseguradoras, inversión...)
Aplica   desde enero de 2025; es un REGLAMENTO (directamente aplicable, no se transpone)
Pilares  1) gestión de riesgos TIC  2) notificación de incidentes TIC
         3) pruebas de resiliencia (incl. TLPT/pentest avanzado para las grandes)
         4) riesgo de terceros TIC (proveedores críticos, incl. nube)
         5) intercambio de información

NIS2 vs DORA

NIS2   directiva (se transpone), horizontal (muchos sectores), base de ciberseguridad
DORA   reglamento (directo), vertical (financiero), foco en RESILIENCIA OPERATIVA
# para una entidad financiera, DORA prevalece como lex specialis en lo TIC

Implicaciones prácticas

- TLPT (Threat-Led Penetration Testing): pentest avanzado dirigido por inteligencia (DORA)
- registro y clasificación de incidentes con plazos estrictos (ligar con dfir-incidentes)
- due diligence y contratos con proveedores TIC/críticos (grc-riesgos)
- la dirección rinde cuentas: la ciberseguridad sube al consejo

Blue Team / GRC

Mapear la organización a NIS2 (¿esencial/importante?) y, si es financiera, a DORA.
Preparar la notificación de incidentes con los plazos (24 h/72 h/1 mes) en el plan de IR (Respuesta a incidentes).
Gestionar riesgo de terceros/cadena de suministro (Gestión de riesgos) como exige la norma.
Programa de pruebas de resiliencia (TLPT/pentest) y responsabilidad de dirección documentada.

Casos y sanciones reales

DORA aplicable desde enero de 2025 obligó a bancos y aseguradoras a formalizar resiliencia TIC y TLPT.
NIS2 amplió enormemente el número de entidades obligadas frente a NIS1.
Marcos de pentest dirigido por inteligencia (TIBER-EU) son la base del TLPT de DORA.

Checklist de prueba

Determinar aplicabilidad (NIS2 esencial/importante; DORA si financiera)
Medidas de gestión de riesgos del art. 21 NIS2 implantadas
Proceso de notificación con plazos (24 h/72 h/1 mes) en el IR
Gestión de riesgo de terceros/proveedores TIC
DORA: 5 pilares, incl. pruebas de resiliencia (TLPT)
Responsabilidad y reporte a dirección documentados
Alineación con marcos (Marcos (ISO 27001, NIST, ENS, CIS)) y RGPD (RGPD & privacidad)