NIS2 en BCC25: Navegando la fragmentación, los cambios culturales y el camino hacia la ciberresiliencia

Una mirada en profundidad a cómo la directiva insignia de ciberseguridad de Europa está pasando de política a práctica.

En el Barcelona Cybersecurity Congress 2025, una directiva resonó en ponencias, paneles y conversaciones informales: NIS2. Dos sesiones destacadas —una centrada en experiencias prácticas de implementación y otra en una visión regulatoria basada en datos— capturaron los desafíos multilaterales a los que se enfrentan las organizaciones al adaptarse a esta normativa. Aunque el plazo de aplicación ya ha vencido, la implementación de la directiva sigue siendo fragmentada, desigual y plagada de complicaciones reales. Mientras Europa avanza hacia un futuro digital más seguro, la comunidad de ciberseguridad reunida en Barcelona hizo balance del estado actual… y de lo que aún queda por hacer.

La Directiva NIS2 —siglas de la Directiva sobre la Seguridad de las Redes y Sistemas de Información— es el intento más ambicioso de la UE hasta la fecha para construir resiliencia cibernética en infraestructuras críticas y servicios esenciales. Sustituye a la Directiva NIS de 2016, ampliando su alcance a más sectores, acortando los plazos de notificación y aumentando la responsabilidad a nivel ejecutivo. Es una respuesta a un panorama de amenazas en evolución, pero también una prueba de fuego para la coordinación transfronteriza y la cultura organizacional.

Perspectivas organizativas sobre la implementación

Una de las sesiones más esperadas de BCC25, titulada “NIS2: Retos, Oportunidades y Experiencias en la Implementación de la Nueva Directiva”, reunió a representantes de instituciones públicas y privadas para debatir cómo se están adaptando las organizaciones a las nuevas exigencias.

El panel incluyó a David Esteban Haro (CISO, Ayuntamiento de Barcelona), Óscar López Santín (Responsable de Ciberseguridad, Grupo Agrolimen), y Javier Montoya Tomás (Director de Ciberseguridad, Continuidad y Riesgo, Aigües de Barcelona), con la moderación de Malu Ribalta Ribelles (Directora de Asuntos Públicos y Comunicación, ISMS Forum).

La proporcionalidad, principio central de la directiva, fue un tema recurrente. Está pensada para que las medidas de ciberseguridad se adapten al tamaño y perfil de riesgo de cada organización. Pero traducir ese principio en acciones concretas no es tarea fácil. Óscar López, de Agrolimen, resumió el dilema: “Tenemos muchos proveedores pequeños. No solo los auditamos—los ayudamos, incluso hacemos el trabajo de consultoría nosotros mismos. Es la única forma de garantizar la seguridad en toda la cadena de suministro. Pero es una tarea enorme. Hay que priorizar.”

Más allá de presupuestos y planes de cumplimiento, hubo un llamado a un cambio más profundo de mentalidad. David Esteban, del Ayuntamiento de Barcelona, insistió en que la ciberseguridad ya no puede vivir en un silo técnico. “El mayor reto es cultural,” afirmó. “El CISO debe hablar el lenguaje del negocio para lograr alineación y confianza.”

Javier Montoya, de Aigües de Barcelona, compartió cómo su equipo ha abordado este reto incorporando progresivamente al consejo directivo al diálogo, sin alarmismos. “Enmarcamos el riesgo en términos serenos y constructivos—no como amenazas ni miedo. Se trata de prepararse para lo que viene, no de entrar en pánico.”

El impacto de NIS2 varía según el sector. Para entidades financieras acostumbradas a marcos como DORA, el cambio se ha sentido como una formalidad de cumplimiento. Para las organizaciones sanitarias, es una tormenta: demasiadas normativas, pocos recursos, mucha exposición. Los fabricantes están en un punto intermedio, enfrentando la integración IT/OT y la creciente dependencia de tecnología de consumo en entornos industriales.

El panorama regulatorio europeo

En paralelo, la sesión “Estado de Implementación de la Directiva NIS2: Transposición Nacional, Nivel de Preparación de las Entidades y Aplicaciones Sectoriales”, presentada por Régis Cazenave de ECSO, ofreció una visión basada en datos del entorno regulatorio actual. Señaló que solo once Estados miembros de la UE habían transpuesto completamente la NIS2 a su legislación nacional. ECSO mantiene actualizado un rastreador de la transposición de la Directiva NIS2, que visualiza el estado de implementación en cada país de la UE. Subrayó la carga que supone la fragmentación en los requisitos de notificación de incidentes y presentó la hoja de ruta de ECSO hacia la coherencia: nueve recomendaciones clave que incluyen un mecanismo de reporte unificado a nivel europeo y el reconocimiento formal de estándares internacionales existentes. “De lo contrario,” advirtió, “las empresas se ven obligadas a rellenar informes distintos para cada país afectado por un mismo incidente.”

Los resultados de la encuesta de ECSO —basada en respuestas de 155 organizaciones en 23 países— brindaron una perspectiva interna sobre cómo se está viviendo la transición. Más de la mitad de los encuestados están regulados por primera vez bajo NIS2, enfrentando curvas de aprendizaje pronunciadas y presión operativa. Muchos reportaron dificultades para interpretar la directiva, desafíos de coordinación interna y falta de orientación nacional específica. La encuesta también reveló que en muchas organizaciones, los esfuerzos relacionados con NIS2 ya representan entre el 5% y el 10% del presupuesto de ciberseguridad—una señal de su peso e importancia.

Cazenave también hizo hincapié en la necesidad de armonizar la clasificación de incidentes en toda la UE. Los Estados miembros aplican criterios y plazos distintos para la notificación, desde ventanas de seis horas en Alemania hasta umbrales más amplios en otros países. Esto genera un mosaico normativo difícil de gestionar para las empresas transfronterizas. Las diferencias también se extienden a cómo se definen los sectores. Mientras algunos países han optado por una transposición mínima, otros han ampliado el alcance de la directiva para incluir sectores adicionales y organizaciones más pequeñas.

La hoja de ruta de ECSO no solo ofreció críticas, también propuso soluciones: fomentar herramientas armonizadas, aceptar el cumplimiento mediante estándares internacionales reconocidos como ISO 27001 y ofrecer apoyo adicional a las entidades pequeñas recién reguladas. El mensaje fue claro: el cumplimiento debe ser alcanzable y escalable.

Cerrando la brecha

Si bien los retos persisten, el mensaje de BCC25 fue realista y orientado al avance. El camino hacia el cumplimiento de NIS2 es desigual, su implementación incompleta y las herramientas dispersas. Pero la ambición —fortalecer la resiliencia digital de Europa— es compartida.

Ahora, la tarea es cerrar la brecha no solo entre países, sino entre la intención y la ejecución. En Barcelona, la conversación comenzó a tender ese puente.