NIS2 e IA: cómo se cruzan la Directiva de ciberseguridad y el Reglamento de IA

Contexto

La Directiva (UE) 2022/2555, conocida como NIS2, fija un nivel común de ciberseguridad en la Unión. Obliga a las entidades esenciales e importantes de ciertos sectores a gestionar sus riesgos y a notificar incidentes.

El Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA o AI Act) regula los sistemas de IA según su riesgo. Sus requisitos para el alto riesgo incluyen la ciberseguridad (art. 15).

No se sustituyen. Una empresa puede usar IA y, a la vez, ser entidad esencial o importante.

Qué cambia: dónde se cruzan

Qué cambia, por actor

Proveedores de IA de alto riesgo. Deben diseñar el sistema con ciberseguridad adecuada (art. 15 del RIA). Si además son entidades NIS2, aplican las medidas de gestión de riesgos de la Directiva a su organización.

Responsables del despliegue. Aplican el RIA al uso de cada sistema y NIS2 a su organización, si están incluidos. Un incidente puede activar los dos procedimientos de notificación.

Empresas que no son entidades NIS2. Pueden recibir exigencias de ciberseguridad por contrato de clientes que sí lo son, a través de la cadena de suministro.

Impacto en España

La Directiva debía transponerse a más tardar el 17 de octubre de 2024 y sus disposiciones se aplican desde el 18 de octubre de 2024 (art. 41). La transposición en España se tramita con el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. Su estado actual está pendiente de confirmar en una fuente oficial.

Qué hacer ahora

1. Comprueba si eres entidad esencial o importante con la norma española cuando se publique y con el sector en el que operas.
2. Añade la IA a tu inventario de activos y proveedores para tu análisis de riesgos de ciberseguridad.
3. Prepara un procedimiento de incidentes que distinga los plazos de cada norma. Ver el art. 73.
4. Revisa los requisitos de ciberseguridad de tus sistemas de alto riesgo. Ver los arts. 8 a 15.

Puntos abiertos

• Estado de la ley española de transposición y qué autoridades serán competentes: pendiente de confirmar.
• Sectores y tamaños concretos que quedarán dentro del ámbito en España.
• Coordinación de plazos entre los dos regímenes de notificación de incidentes.

Preguntas frecuentes

¿Si cumplo el Reglamento de IA ya cumplo NIS2?

No. Son normas distintas con ámbitos, autoridades y multas propias. Hay que cumplir las dos si ambas te afectan.

¿Una empresa pequeña está en NIS2?

Depende del sector y del tamaño. La Directiva incluye a las medianas empresas y a las que superen sus límites, y a algunas pequeñas y microempresas con criterios específicos.

¿Cuánto tiempo hay para notificar un incidente?

En NIS2, alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. En el Reglamento de IA, como máximo 15 días, con plazos más cortos en casos concretos.