Cumplimiento Normativo Barcelona

La ciberseguridad ya no es un asunto exclusivo de las grandes tecnológicas o las infraestructuras críticas evidentes. Con la entrada en vigor de la Directiva (UE) 2022/2555 —conocida como NIS2—, el nuevo marco regulador europeo se extiende a sectores hasta ahora considerados periféricos en materia de ciberprotección. Entre ellos, destacan las constructoras e inmobiliarias que trabajan con la Administración Pública, obligadas ahora a cumplir exigencias específicas en la gestión de sus sistemas digitales. En este artículo te contamos cómo afecta la NIS2 a estas empresas, qué implica para sus contratos públicos y qué medidas deben adoptar desde ya para evitar sanciones y riesgos operativos. NIS2: nueva ciberseguridad obligatoria para sectores estratégicos La Directiva NIS2, que sustituye y amplía la anterior NIS de 2016, tiene como objetivo reforzar la resiliencia digital de sectores que, directa o indirectamente, sustentan el funcionamiento de los servicios esenciales de la sociedad. Entre los principales cambios de la NIS2 destacan: Ampliación del número de sectores y entidades cubiertas. Elevación de las exigencias técnicas y organizativas. Obligaciones formales y materiales de cumplimiento verificable. Régimen sancionador estricto, incluso para entidades subcontratadas. Responsabilidad directa de los órganos de dirección. En este nuevo marco, las empresas privadas que operan en contratos públicos con implicación digital o infraestructural relevante pasan a estar sujetas a obligaciones específicas. Es el caso de muchas constructoras e inmobiliarias, que trabajan con ayuntamientos, diputaciones, consorcios, empresas públicas o entes autonómicos. ¿Por qué afecta la NIS2 a constructoras e inmobiliarias? Las empresas del sector construcción e inmobiliario pueden quedar directamente afectadas por la NIS2 cuando: Ejecutan obras o servicios para administraciones públicas que afectan a infraestructuras críticas o esenciales (viales, edificios oficiales, sistemas de abastecimiento, saneamiento, etc.). Manejan o integran sistemas digitales vinculados a la prestación de servicios públicos (software de gestión energética, sensores IoT, control de acceso inteligente, etc.). Acceden o procesan información sensible vinculada a contratos públicos, como datos de catastro, urbanismo, trazabilidad de materiales o certificaciones técnicas. Actúan como proveedores tecnológicos o utilizan plataformas que interactúan con los sistemas digitales del sector público. Es decir, no se trata solo de grandes promotoras o constructoras nacionales. También pequeñas y medianas empresas pueden quedar obligadas por NIS2 si trabajan con el sector público y su actividad impacta en la seguridad digital de los servicios esenciales. Obligaciones clave que impone NIS2 a estas empresas 1. Medidas de ciberseguridad proporcionadas al riesgo Todas las entidades obligadas deben aplicar medidas técnicas y organizativas adecuadas, entre ellas: Evaluación continua de riesgos digitales. Protección de redes, sistemas y dispositivos conectados. Control de accesos y autenticación reforzada. Seguridad en la adquisición, desarrollo y mantenimiento de sistemas. Cifrado de datos críticos. Estas medidas deben aplicarse también a la cadena de suministro, lo que implica que las constructoras e inmobiliarias deben asegurar la seguridad digital de sus propios proveedores tecnológicos y de servicios. 2. Registro y respuesta a incidentes Las empresas deben contar con: Sistemas de monitorización y registro de eventos e incidentes. Protocolos de respuesta inmediata ante ciberataques. Procedimientos para mantener la continuidad del negocio. Los incidentes que comprometan la integridad, disponibilidad o confidencialidad de los sistemas deben ser notificados a la autoridad competente en un plazo máximo de 24 horas desde su detección. 3. Documentación y supervisión NIS2 exige que las entidades dispongan de: Política de ciberseguridad corporativa. Inventario de activos digitales y vulnerabilidades. Planes de continuidad y recuperación ante desastres. Informes y registros auditables para procesos de inspección. Estos requisitos se extienden también a empresas subcontratadas si su actividad impacta en el nivel de seguridad global del contrato público. 4. Formación y responsabilidad del órgano de dirección La directiva establece que la alta dirección es responsable directa del cumplimiento de las medidas de seguridad. Además, deberán asegurarse de que: Existen procedimientos formales de gestión del riesgo digital. Se imparte formación periódica y actualizada al personal con acceso a sistemas digitales. Se supervisan los contratos tecnológicos desde la óptica de la ciberseguridad. No basta con delegar en departamentos informáticos: la implicación debe ser estratégica.   Cómo impacta NIS2 en contratos públicos del sector Nuevas exigencias en licitaciones Ya se están incorporando cláusulas vinculadas a NIS2 en pliegos de contratación pública, especialmente en proyectos con componente tecnológico, de obra civil o infraestructuras sostenibles. Estas cláusulas pueden exigir: Certificados de cumplimiento de ciberseguridad. Planes de contingencia ante incidentes digitales. Evidencias de cumplimiento normativo. Evaluación de terceros subcontratados. No cumplir con NIS2 puede excluir a la empresa de licitaciones, limitar su capacidad de contratar o generar penalizaciones contractuales. Integración con el Esquema Nacional de Seguridad (ENS) Muchas administraciones exigen el cumplimiento del ENS a los proveedores que interactúan con sus sistemas digitales. NIS2 refuerza esta exigencia, de modo que las constructoras que aportan sistemas de control, monitorización o gestión de edificios deberán demostrar su adecuación a este esquema. Evaluación continua durante la ejecución del contrato No basta con cumplir requisitos iniciales. La empresa debe poder demostrar, durante toda la ejecución del contrato, que mantiene su nivel de ciberseguridad actualizado. Esto puede implicar auditorías, inspecciones técnicas o revisiones documentales. Ejemplos reales de riesgo en el sector Una constructora que gestiona sistemas de domótica en edificios públicos con acceso remoto a través de red. Una inmobiliaria que trabaja en colaboración con ayuntamientos en desarrollos urbanos y comparte bases de datos cartográficas y catastrales. Una empresa subcontratada que implementa sensores IoT en infraestructuras viarias para control del tráfico o eficiencia energética. En todos estos casos, un ataque informático podría comprometer la seguridad de servicios esenciales o datos sensibles, generando responsabilidad legal y operativa para la empresa. Medidas prácticas para garantizar el cumplimiento Te contamos cómo actuar con eficacia: 1. Diagnóstico inicial de exposición a NIS2 Identificación de contratos públicos vigentes o previstos. Análisis de activos digitales vinculados a esas actividades. Evaluación del nivel actual de ciberseguridad de la empresa. 2. Desarrollo de un plan de medidas organizativas Definir una política de seguridad formal. Establecer roles y responsabilidades claras. Documentar procedimientos de prevención y respuesta. 3. Refuerzo de las medidas técnicas Control de accesos y segmentación de red.

Los ciberataques ya no son un riesgo exclusivo de grandes empresas tecnológicas. En la actualidad, las compañías del sector del transporte —logística, operadores multimodales, distribución urbana o internacional— están entre los principales objetivos de amenazas digitales avanzadas. La nueva Directiva (UE) 2022/2555, conocida como NIS2, establece nuevas y exigentes obligaciones para proteger los sistemas críticos. Si gestionas operaciones logísticas, es crucial que conozcas en qué consiste esta normativa, cómo te afecta y qué pasos debes dar para cumplirla. Este artículo te guiará en todo lo que necesitas saber sobre NIS2 en empresas de transporte, con un enfoque claro, actualizado y orientado a la acción. La realidad del riesgo: un sector interconectado y expuesto Los sistemas logísticos actuales operan a través de plataformas digitales complejas: GPS, ERPs, sistemas de gestión de flotas, comunicación en tiempo real con proveedores y clientes, sensores IoT en almacenes… Esta hiperconectividad trae eficiencia, pero también vulnerabilidades críticas. Los ciberataques recientes a empresas de transporte han paralizado rutas, bloqueado almacenes y comprometido datos de millones de usuarios. La interrupción de la cadena de suministro no solo genera pérdidas económicas, sino que puede afectar a servicios esenciales, como el reparto de medicamentos, alimentos o componentes industriales. Por eso, la Directiva NIS2, cuyo cumplimiento será obligatorio en los Estados miembros, introduce medidas muy concretas y estrictas para proteger las infraestructuras críticas, incluidas las del transporte. ¿Qué es la Directiva NIS2 y por qué es clave para tu empresa? La Directiva NIS2 (Network and Information Security 2) es una norma europea que refuerza la ciberseguridad de los sectores estratégicos frente a amenazas graves, como ransomware, espionaje industrial, denegaciones de servicio o robo de información sensible. Sustituye a la anterior directiva NIS (2016) y amplía: El número de sectores afectados. La tipología de entidades obligadas. La exigencia técnica y organizativa. Las sanciones por incumplimiento. El sector transporte está explícitamente incluido como esencial, tanto por su papel en la economía como por el riesgo sistémico que supone un ataque a sus sistemas digitales. ¿Qué empresas de transporte están obligadas a cumplir NIS2? Operadores de transporte por carretera, ferroviario, marítimo y aéreo. Plataformas logísticas y operadores de infraestructura crítica. Empresas tecnológicas que presten servicios a este sector. Organizaciones públicas y privadas que gestionen sistemas esenciales de movilidad. No importa el tamaño de la empresa, sino el impacto que su actividad tiene en la cadena logística general. Por ello, muchas pymes del sector también estarán sujetas a NIS2. Requisitos que impone NIS2 en el sector transporte 1. Medidas técnicas y organizativas obligatorias Las empresas deben adoptar un nivel de seguridad adecuado al riesgo, incluyendo al menos: Políticas de análisis de riesgos y seguridad de la información. Gestión de incidentes cibernéticos. Continuidad de negocio y recuperación tras incidentes. Seguridad en la cadena de suministro. Ciberseguridad en el diseño de sistemas y su mantenimiento. 2. Notificación de incidentes en plazos estrictos Notificación inicial: en menos de 24 horas desde que se tiene conocimiento del incidente. Informe intermedio: a los 72 horas. Informe final: en los 30 días siguientes. Los ataques que afecten a operaciones logísticas, software de gestión de flotas, sistemas de comunicación o integridad de datos deben ser reportados a la autoridad competente. 3. Supervisión y sanciones Los Estados miembros establecerán autoridades nacionales de supervisión, con capacidad para: Realizar auditorías técnicas y documentales. Exigir medidas correctoras. Imponer sanciones de hasta 10 millones de euros o el 2 % del volumen de negocio global en caso de incumplimiento grave. 4. Responsabilidad directa de la alta dirección La directiva exige la implicación activa de los órganos de gobierno de la empresa en la gestión de la ciberseguridad. No es delegable. Además, establece formación obligatoria para directivos en materia de riesgos digitales. Cómo afecta realmente la NIS2 a tus operaciones logísticas Protección de software y sistemas críticos Los TMS, ERPs, sistemas de seguimiento de flotas, sensores en almacenes o aplicaciones de rutas inteligentes deben ser protegidos frente a vulnerabilidades, accesos no autorizados y caídas de servicio. Esto implica actualizaciones periódicas, test de penetración, autenticación reforzada y análisis continuo. Evaluación de terceros y proveedores La cadena de suministro digital es uno de los puntos más débiles. Si trabajas con plataformas logísticas, servicios en la nube, operadores de flota subcontratada o integradores tecnológicos, debes asegurarte de que cumplen también con estándares de ciberseguridad exigidos por NIS2. Planes de continuidad adaptados Un ciberataque puede paralizar los sistemas de gestión de envíos, reservas, rutas o aduanas. Por eso, NIS2 exige contar con planes documentados de continuidad operativa, con simulacros, responsables definidos y recuperación garantizada. Registro y trazabilidad de incidentes Toda empresa de transporte obligada por NIS2 debe tener sistemas de registro detallado de logs, auditoría interna y trazabilidad de acciones para reconstruir cualquier incidente y evitar su repetición. Medidas prácticas para cumplir NIS2 en empresas de transporte Te contamos cómo empezar a trabajar con garantías: 1. Diagnóstico inicial de ciberseguridad Análisis de activos digitales críticos. Identificación de vulnerabilidades. Evaluación de riesgos específicos del entorno logístico. Este diagnóstico debe quedar documentado y revisado periódicamente. 2. Diseño de un plan de medidas técnicas Implementación de firewalls, antivirus, autenticación multifactor. Monitorización continua de sistemas. Cifrado de comunicaciones. Control de accesos y privilegios. 3. Plan de respuesta a incidentes Definición de roles y procedimientos ante un ataque. Simulacros de ataque para evaluar la capacidad de reacción. Manual de comunicación interna y externa. 4. Formación y concienciación Programas de capacitación para directivos, técnicos y operativos. Simulaciones de phishing y ataques dirigidos. Políticas claras de uso de dispositivos y redes. 5. Supervisión de proveedores Evaluación de ciberseguridad en contratos. Auditorías externas si se prestan servicios tecnológicos críticos. Acuerdos de nivel de servicio que incluyan cláusulas de seguridad. Todas estas medidas deben formar parte del sistema organizativo y documental que exige la NIS2, y se pueden integrar eficazmente en un plan de cumplimiento estructurado. El enfoque debe ser proactivo, escalable y adaptado al tamaño y complejidad de la empresa. ¿Por qué es urgente actuar ahora? La transposición de la Directiva NIS2 al ordenamiento jurídico nacional se producirá en octubre