Abogados de ciberseguridad y NIS2

Cuándo necesitas un abogado de ciberseguridad

• Estás sufriendo un ataque: ransomware, acceso no autorizado, robo de datos o caída de servicios. Lo urgente son los plazos de notificación.
• Te han engañado para pagar a una cuenta falsa con un correo suplantado, como en el fraude del CEO o el cambio de IBAN de un proveedor.
• Tu empresa opera en un sector incluido en NIS2 (energía, transporte, salud, agua, infraestructura digital, fabricación de ciertos productos, alimentación, residuos, servicios postales, proveedores digitales, entre otros) y no sabes si eres entidad esencial o importante.
• Un cliente obligado por NIS2 o por DORA te exige cláusulas de seguridad, auditorías y aviso de incidentes en el contrato.
• La dirección quiere entender su responsabilidad personal y qué tiene que aprobar y supervisar.
• Un proveedor tecnológico ha fallado y su incidente te ha causado pérdidas.

Para saber en pocos minutos si NIS2 te afecta y qué plazos tienes si hay un incidente, usa nuestro simulador de obligaciones NIS2.

Qué podemos conseguir

• Claridad sobre tu clasificación: si eres entidad esencial, importante o no estás incluida, y qué supervisión y multas te corresponden.
• Un marco documental defendible: política de seguridad aprobada por la dirección, gestión de riesgos, plan de respuesta a incidentes, continuidad de negocio y control de la cadena de suministro.
• Contratos con proveedores que incluyan medidas de seguridad, auditoría, aviso inmediato de incidentes y reparto de responsabilidades; lo trabajamos con contratos tecnológicos.
• Una respuesta ordenada al incidente, cumpliendo cada plazo de notificación y reduciendo el riesgo de sanción.
• Recuperar dinero tras un fraude por suplantación, actuando rápido frente al banco receptor y en el procedimiento penal.
• Reclamar daños a proveedores responsables y gestionar el siniestro con tu póliza de ciberriesgo; si la aseguradora lo rechaza, intervenimos con una reclamación a la aseguradora.
• Proteger a los administradores, que NIS2 obliga a aprobar las medidas, supervisarlas y formarse.

Cómo trabajamos ante un incidente

1. Primera llamada. Fijamos la hora en que se detectó el incidente: de ella dependen los plazos.
2. Preservación de evidencias. Indicamos a tu equipo técnico qué conservar antes de restaurar: registros, discos, correos y cronología. No hay que formatear sin hacer antes una copia forense.
3. Notificaciones. Preparamos la alerta temprana al CSIRT de referencia, como INCIBE-CERT para empresas o CCN-CERT para el sector público, y la notificación de la brecha a la AEPD si hay datos personales, con nuestra área de protección de datos.
4. Denuncia. Presentamos la denuncia ante la Policía o la Guardia Civil, con el apoyo de ciberestafas si hubo desvío de dinero.
5. Comunicación. Redactamos los mensajes a clientes, afectados y socios, y avisamos a la aseguradora en plazo.
6. Cierre. Preparamos el informe final, revisamos qué falló y proponemos cambios en contratos, políticas y formación.

Plazos y normativa clave

• Directiva (UE) 2022/2555, NIS2: amplía los sectores y las empresas obligadas, exige medidas de gestión de riesgos del artículo 21 e impone responsabilidad a los órganos de dirección.
• Notificación de incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
• Multas: hasta 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y hasta 7 millones o el 1,4 % para las importantes.
• RGPD: si hay datos personales afectados, notificación a la AEPD en 72 horas, distinta de la de NIS2.
• Reglamento (UE) 2022/2554, DORA: régimen específico de resiliencia operativa digital para entidades financieras y sus proveedores tecnológicos críticos, aplicable desde enero de 2025.
• Código Penal: el acceso ilícito a sistemas, los daños informáticos y la estafa informática son delitos, también cuando los comete un empleado o un antiguo proveedor.

Obligaciones de la dirección y de la cadena de suministro

NIS2 cambia el enfoque: la ciberseguridad deja de ser un asunto del departamento técnico y pasa a ser responsabilidad del consejo o de la gerencia. Los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y recibir formación específica, y pueden responder de los incumplimientos. En las entidades esenciales, la autoridad puede llegar a apartar temporalmente a directivos.

La directiva también obliga a controlar a los proveedores. Si tu empresa no está incluida pero presta servicios a una que sí lo está, recibirás cuestionarios, auditorías y cláusulas contractuales exigentes. Conviene negociarlas con criterio, para no asumir responsabilidades ilimitadas. Y si fabricas productos con elementos digitales, el Reglamento europeo de Ciberresiliencia añade obligaciones de notificación de vulnerabilidades desde septiembre de 2026. Los riesgos penales asociados se integran con el compliance penal de la empresa.

Documentación y honorarios

• Organigrama, plantilla y datos de facturación y balance, para determinar si te aplica NIS2.
• Sector y servicios que prestas, y lista de clientes obligados que te exigen medidas.
• Políticas de seguridad, planes de continuidad y registros de formación existentes.
• Contratos con proveedores tecnológicos y póliza de ciberriesgo, si la tienes.
• Si hay incidente: cronología, comunicaciones del atacante, registros técnicos y justificantes de transferencias.

La primera consulta es gratuita. Para la adaptación a NIS2 trabajamos con presupuesto cerrado por escrito y, si lo prefieres, una cuota de mantenimiento. En incidentes, te damos un presupuesto por fases desde la primera llamada y, en la recuperación de fondos o la reclamación de daños, podemos pactar una parte ligada al resultado.

Errores frecuentes ante un ciberataque

• Restaurar sistemas sin conservar evidencias, lo que impide probar qué pasó.
• Esperar a tener toda la información para notificar. Se notifica con lo que se sabe y se completa después.
• Confundir las notificaciones: la de NIS2 y la de la AEPD son distintas y pueden ser ambas obligatorias.
• No avisar a la aseguradora en el plazo de la póliza.
• Pagar a una cuenta nueva por un simple correo sin verificar por otro canal; compruébalo con el detector de fraude del cambio de IBAN.
• Firmar contratos tecnológicos sin cláusulas de seguridad ni aviso de incidentes.
• Dejar la ciberseguridad fuera de la agenda del consejo, cuando NIS2 la hace responsabilidad directa de la dirección.
• Negociar con los atacantes sin asesoramiento, sin valorar las consecuencias legales ni coordinarlo con la denuncia y la aseguradora.
• Ignorar a los afectados: si el riesgo para sus datos es alto, hay que comunicárselo sin dilación indebida, con recomendaciones claras.

Si estás sufriendo un incidente ahora, llámanos de inmediato: los plazos empiezan a correr desde la detección.