Muchas empresas saben que la Directiva NIS2 existe. Han oído hablar de nuevas obligaciones en ciberseguridad, de posibles sanciones y de plazos de adaptación. Sin embargo, una idea peligrosa sigue muy presente: “ya reaccionaremos cuando toque”. El problema es que, en gestión de riesgos y ciberseguridad, el retraso no es neutral. Esperar ya es una decisión… y suele ser una decisión de riesgo legal, operativo y reputacional.
La Directiva NIS2 no es solo una norma más: redefine el nivel de diligencia exigible a empresas esenciales e importantes en materia de gestión de riesgos, continuidad de negocio, seguridad en la cadena de suministro y responsabilidad de la alta dirección.
El mayor error: pensar que NIS2 es solo una fecha en el calendario
NIS2 no es un evento puntual, sino un cambio profundo en cómo las organizaciones deben gestionar la ciberseguridad y los riesgos operativos. INCIBE advierte que la mayoría de incidentes graves no se producen por falta de tecnología, sino por carencias organizativas: ausencia de procesos, responsabilidades poco claras y falta de visibilidad real sobre los riesgos.
Muchas empresas cometen tres errores recurrentes:
- Reducir NIS2 a un problema “legal” o “de IT”.
- Confiar en que habrá prórrogas o aplicación laxa.
- Pensar que bastará con implantar controles rápidos al final.
Este enfoque ignora un hecho clave: cuando llegue la exigencia formal, el margen de maniobra ya será mínimo.
Lo que no se está haciendo (y debería preocupar)
Sin necesidad de hablar aún de certificaciones o grandes proyectos, hay señales claras de falta de preparación:
- No existe una visión clara de los riesgos reales: muchas organizaciones no saben qué servicios son críticos ni qué impacto tendría un incidente grave.
- La cadena de suministro sigue siendo una incógnita: proveedores clave sin evaluación de riesgos ni requisitos de seguridad formales.
- Responsabilidades difusas: no está claro quién decide, quién responde y quién rinde cuentas ante un incidente.
- Gestión reactiva de incidentes: se actúa cuando ocurre el problema, no antes.
La AEPD recuerda que la diligencia debida no se demuestra cuando ocurre una brecha, sino antes, mediante medidas preventivas y evaluables.
El retraso ya es un riesgo en sí mismo
Esperar no solo aumenta el riesgo técnico, sino también el riesgo legal y reputacional. NIS2 refuerza la responsabilidad de la alta dirección y exige evidencias claras de gestión del riesgo. No saber “dónde estás” implica no poder justificar decisiones, prioridades ni inversiones.
Además, cuanto más se retrasa la acción:
- Más costosa es la corrección.
- Más desordenada es la implantación.
- Menor es la capacidad de priorizar con criterio.
En la práctica, muchas empresas acabarán reaccionando bajo presión, con soluciones parciales y poco sostenibles.
El primer paso real: evaluar antes de actuar
Antes de hablar de certificaciones, herramientas o grandes programas, hay una acción clave que marca la diferencia: una evaluación inicial de NIS2.
Esta evaluación permite:
- Identificar brechas reales frente a los requisitos de la Directiva.
- Detectar riesgos críticos antes de que se conviertan en incidentes.
- Priorizar acciones con lógica de negocio, no por intuición.
- Dar a la dirección una visión clara y accionable del punto de partida.
No se trata de “cumplir por cumplir”, sino de tomar decisiones informadas.
NIS2 no empieza cuando llega la fecha límite de transposición o supervisión efectiva, empieza cuando una organización decide entender su situación real en materia de ciberseguridad, gobernanza y gestión de riesgos. Retrasar ese análisis es asumir un riesgo innecesario. Una evaluación inicial permite ganar tiempo, control y capacidad de decisión. Si quieres saber dónde estás y qué deberías priorizar de verdad, desde Gesprodat ayudamos a las organizaciones a abordar NIS2 con un enfoque práctico y estructurado, integrando análisis de riesgos, gobernanza y cumplimiento normativo en una metodología clara y orientada a resultados. Porque prepararse no es una cuestión de calendario, sino de responsabilidad y visión empresarial. Y ahora, además, lo apoyamos con nuestra plataforma SaaS Governance para que todo el compliance y seguridad de la información estén unificados a un solo clic.