NIS2 y CER: Guía de Resiliencia Operativa y Continuidad de Negocio para Empresas Industriales 2026

Qué es NIS2 y CER y por qué afectan a tu planta

La Directiva NIS2 es la actualización de la anterior Directiva de Seguridad de Redes y Sistemas de Información (NIS1). Su objetivo es elevar el nivel de ciberseguridad en toda la Unión Europea, obligando a empresas de sectores críticos a implementar medidas de gestión de riesgos, reportar incidentes y demostrar una postura de seguridad proactiva. A diferencia de NIS1, NIS2 amplía drásticamente el ámbito de aplicación: pasa de cubrir sectores limitados (energía, transporte, banca, salud) a cubrir una lista mucho más amplia que incluye fabricación, procesamiento de alimentos, gestión de residuos, química, farmacéutica y muchos más.

El CER (Critical Entities Resilience) es la Directiva de Resiliencia de Entidades Críticas, aprobada en 2022. Su objetivo es que las entidades críticas identificadas por cada Estado miembro sean resilientes ante todo tipo de amenazas: ciberataques, desastres naturales, sabotaje, pandemias o disrupciones de cadena de suministro. El CER exige a estas entidades realizar evaluaciones de riesgo, planes de continuidad y ejercicios de respuesta periódicos.

Ámbito de aplicación y plazos clave

NIS2 clasifica a las empresas en dos categorías: entidades importantes (más de 250 empleados o facturación superior a €50M) y entidades relevantes (más de 50 empleados o facturación superior a €10M). Las entidades importantes tienen obligaciones más exigentes, pero ambas categorías deben cumplir con los requisitos de seguridad, gestión de riesgos y reporte de incidentes.

¿Qué sectores industriales están cubiertos por NIS2? Fabricación (todos los subsectores incluidos en la lista NACE C), procesamiento de alimentos, gestión de residuos, química, farmacéutica, distribución de agua, energía, transporte y postal. En España, el Gobierno publicará la lista definitiva de sectores afectados, pero la tendencia es clara: prácticamente toda empresa industrial de cierto tamaño estará en el ámbito.

Mapa de procesos críticos

El primer pilar de cualquier programa de resiliencia operativa es entender qué procesos de tu empresa no pueden parar sin consecuencias graves. No todos los procesos son críticos: un proceso crítico es aquel cuya interrupción provoca un impacto inaceptable en seguridad, medio ambiente, cumplimiento regulatorio, ingresos o reputación.

Cómo construir un mapa de procesos críticos en una planta industrial:

1. Inventario de procesos: listar todos los procesos operativos de la empresa: producción, mantenimiento, calidad, logística, aprovisionamiento, seguridad, medio ambiente, TI, financiero, RRHH.
2. Criterios de criticidad: definir la escala de impacto por cada dimensión: seguridad de personas, impacto ambiental, coste financiero, cumplimiento regulatorio, reputación, tiempo de recuperación.
3. Asignación de criticidad: cada proceso recibe una puntuación por dimensión. Los que superan un umbral definido son procesos críticos.
4. Mapeo de flujo: para cada proceso crítico, documentar el flujo de valor, los recursos necesarios, los puntos de decisión y los puntos de fragilidad.
5. Validación con equipo: el mapa debe ser validado por los responsables de área y, cuando aplique, por dirección general. Sin consenso, el mapa no sirve.

Resultado esperado: un documento que lista 8–15 procesos críticos (en una planta industrial típica de 100–300 empleados), con criterios de criticidad justificados, mapa de flujo y lista de recursos indispensables para cada uno. Este documento es la base de todo lo demás: planes de continuidad, evaluación de riesgos y gestión de proveedores.

Dependencias IT/OT

En plantas industriales modernas, la convergencia IT/OT es una realidad: los sistemas de información (ERP, MES, SCADA) dependen de la red corporativa, y los sistemas operativos tecnológicos (PLC, sensores, actuadores, robots) dependen de la red de planta. Un ciberataque en la red IT puede propagarse a la red OT, paralizando la producción. Y un fallo en un PLC puede interrumpir la cadena de datos del ERP, impidiendo gestionar pedidos o inventarios.

Elementos del análisis de dependencias IT/OT:

Dato: el 70% de los ciberataques a infraestructuras críticas en Europa en 2024 afectaron a la convergencia IT/OT. Las plantas industriales son objetivo prioritario porque un parón de producción tiene un coste por hora muy superior al de una oficina.

Proveedores críticos

NIS2 y CER obligan a evaluar no solo los riesgos internos, sino también los riesgos derivados de proveedores y socios tecnológicos. Un proveedor de componentes electrónicos que sufre un ciberataque puede dejar de suministrar durante semanas. Un proveedor de software de gestión que tiene una caída de servicio puede impedirte emitir albaranes. La resiliencia de tu cadena depende de la resiliencia de tus proveedores críticos.

Metodología de evaluación de proveedores críticos:

• Clasificación por criticidad: no todos los proveedores son críticos. Un proveedor es crítico si no tiene sustituto viable en un plazo de 30–90 días y si su interrupción afecta a un proceso crítico.
• Evaluación de riesgo del proveedor: ciberseguridad (¿tiene políticas de seguridad?), continuidad de negocio (¿tiene plan B?), dependencia geográfica (¿está en zona de conflicto o riesgo climático?), solvencia financiera (¿es estable?).
• Contratos con cláusulas de resiliencia: SLA con tiempos de respuesta ante incidente, derecho de auditoría, obligación de reportar brechas de seguridad y planes de contingencia compartidos.
• Diversificación y stock de seguridad: para proveedores críticos monopolistas, evaluar stock de seguridad, proveedores alternativos calificados y planes de producción sin ese suministro.
• Monitoreo continuo: no es un ejercicio puntual. Los proveedores cambian. Revisión trimestral de estado de proveedores críticos con indicadores de alerta temprana.

Escenarios de disrupción

NIS2 y CER no piden que preveas todo lo que puede pasar, pero sí que tengas escenarios de disrupción documentados con planes de respuesta. Los escenarios deben ser realistas, cuantificados y revisados periódicamente. Un escenario sin plan de respuesta es un diagnóstico sin acción.

Escenarios típicos en plantas industriales:

Para cada escenario, el plan debe incluir: desencadenante (qué activa el plan), equipo de respuesta (quién actúa), medidas inmediatas (qué hacer en las primeras 24 horas), plan de recuperación (cómo volver a la normalidad), comunicación (a quién informar y cómo) y recursos necesarios (qué stock, personal y proveedores alternativos se activan).

Planes de continuidad de negocio: de la teoría a la práctica

El plan de continuidad de negocio (PCN) es el documento que describe cómo la empresa mantendrá o recuperará sus procesos críticos ante una disrupción. NIS2 y CER exigen que exista, que sea probado y que se revise periódicamente. Pero en muchas plantas industriales, el PCN es un documento genérico de 40 páginas que nadie ha leído y que no ha sido probado en un ejercicio real.

Estructura de un PCN industrial efectivo:

1. Gobernanza: definición del comité de crisis, roles y responsabilidades, cadena de comando y mecanismos de activación del plan.
2. Mapa de procesos críticos: qué procesos deben mantenerse, en qué orden de prioridad y con qué nivel mínimo de servicio.
3. Estrategias de continuidad por proceso: para cada proceso crítico, la estrategia específica: redundancia de equipos, site alternativo, trabajo remoto, manualización de procesos automatizados, etc.
4. Recursos de respaldo: stock de seguridad, proveedores alternativos, personal de respaldo, sistemas de backup, equipos de emergencia.
5. Procedimientos de comunicación: quién informa a quién, en qué plazo, por qué canal y con qué mensaje. Incluye comunicación interna, a clientes, a autoridades y a medios.
6. Ejercicios y revisión: plan de ejercicios anuales o semestrales, con escenarios realistas, evaluación de resultados y actualización del plan según lecciones aprendidas.

Stock y capacidad crítica

Uno de los errores más comunes en plantas industriales optimizadas al máximo (Lean, Just-in-Time, coste cero de stock) es que no tienen margen de maniobra ante una disrupción. Si tu stock de materia prima cubre exactamente 3 días de producción y tu proveedor crítico para durante 2 semanas, no tienes opción. El stock de seguridad no es desperdicio: es seguro.

Cómo calcular el stock y la capacidad crítica:

• Stock de seguridad por proveedor crítico: calcular el plazo máximo de interrupción probable (no el mínimo) y el consumo diario. El stock de seguridad debe cubrir el tiempo necesario para activar un proveedor alternativo o reanudar el suministro.
• Capacidad de producción alternativa: ¿puedes transferir la producción de un proceso crítico a otra línea, otra planta o un proveedor externo? Documentar el lead time de activación y la capacidad disponible.
• Personal de respaldo: ¿cuántos operarios críticos tienes sin sustituto formado? Un plan de continuidad debe incluir personal de respaldo formado para operaciones críticas.
• Energía y servicios auxiliares: ¿tienes generador de emergencia? ¿Cuánto dura el combustible? ¿Hay almacenamiento de agua o gas de reserva? Evaluación de servicios críticos de infraestructura.
• Coste de mantener el colchón vs. coste de la interrupción: calcular el coste financiero del stock de seguridad y compararlo con el coste estimado de una parada del mismo plazo. El resultado suele sorprender: el colchón es mucho más barato que la interrupción.

Caso práctico: una empresa de componentes de automoción mantenía stock cero de un polímero especializado (JIT extremo). Cuando el único proveedor certificado tuvo un incendio, la línea de inyección paró durante 18 días. Coste de la parada: €340.000. El stock de seguridad que habría cubierto esas 3 semanas costaba €12.000. El ahorro de no tener stock durante 3 años previos: aproximadamente €8.000. La "optimización" había costado €320.000.

Gobernanza de riesgos

NIS2 exige que las empresas designen un responsable de ciberseguridad con capacidad de reportar directamente a la alta dirección. CER exige que las entidades críticas designen un responsable de resiliencia con capacidad de activar planes de respuesta. En la práctica, muchas empresas industriales españolas no tienen ni una figura ni la otra, o las tienen asignadas a roles que no tienen tiempo ni autoridad para actuar.

Estructura de gobernanza de riesgos recomendada para empresas industriales:

1. Comité de resiliencia / crisis: integrado por dirección general, operaciones, TI, seguridad, calidad, compras y RRHH. Se reúne trimestralmente para revisar riesgos y mensualmente en situación de alerta.
2. Responsable de ciberseguridad (CISO o equivalente): reporta a dirección general. Gestiona la postura de seguridad IT/OT, el plan de respuesta a incidentes y el cumplimiento de NIS2.
3. Responsable de continuidad de negocio: gestiona el mapa de procesos críticos, el PCN, los ejercicios de respuesta y la relación con proveedores críticos.
4. Responsables de área como respaldo: cada área crítica (producción, mantenimiento, logística) tiene un responsable designado con capacidad de tomar decisiones operativas en ausencia de su superior.
5. Auditoría interna de resiliencia: revisión anual independiente del estado de la resiliencia operativa, con informe a la dirección y al consejo si aplica.

KPIs de resiliencia

Si no se mide, no se gestiona. Un programa de resiliencia operativa necesita indicadores claros que permitan a la dirección saber si la empresa está más o menos preparada que el año anterior. Estos son los KPIs más útiles para plantas industriales:

Resiliencia Operativa y Procesos Críticos: nuestro servicio

En Induscor Partners ofrecemos la Resiliencia Operativa y Procesos Críticos: un programa integral que evalúa la resiliencia operativa de tu empresa frente a NIS2, CER y riesgos industriales reales. No es un servicio de ciberseguridad pura ni de consultoría de riesgos genérica: es un programa que parte de la operación, mapea los procesos críticos, evalúa las dependencias y diseña planes prácticos de continuidad.

Preguntas frecuentes sobre NIS2, CER y resiliencia operativa