Cada vez son más los ciberataques dirigidos a empresas, industrias y organizaciones de la Unión Europea, por lo que la ciberseguridad se ha convertido en uno de los temas estrella para todos los países de la eurozona.
La directiva NIS2 tiene como meta mejorar la ciberseguridad de las empresas de la UE, sobre todo, aquellas entidades esenciales e importantes como la banca, la salud, la energía y la Administración pública, entre otras. A continuación, veremos qué es la normativa NIS2
Índice
- Qué es la directiva NIS2
- Cuáles son las obligaciones de NIS2
- Por qué es importante para las empresas cumplir NIS2
- Qué sectores son los más afectados por la directiva NIS2
- Cómo cumplir con la normativa NIS2
¿Qué es la directiva NIS2?
La directiva NIS2 o Directiva 2022/2555 del Parlamento Europeo y del Consejo es una normativa específica en materia de ciberseguridad que es de aplicación en todos los países miembros de la Unión Europea. Entró en vigor en enero de 2023 y se trata de una actualización y mejora de la directiva NIS sobre seguridad en redes y sistemas informáticos que trata de armonizar las medidas a tomar en todos los países de la UE, con el objetivo de maximizar la protección de la infraestructura digital de la zona.
Con NIS2 se introducen obligaciones específicas para la gestión de crisis cibernéticas, proporcionando diversos mecanismos que permiten la interrelación entre los Estados miembros en estas situaciones. Uno de ellos son los puntos de contacto únicos como parte esencial de la infraestructura de la ciberseguridad europea, donde se mejora la cooperación e intercambio de información entre los países miembros.
¿Cuáles son las obligaciones de NIS2?
La directiva NIS2 o Directiva 2022/2555 del Parlamento Europeo y del Consejo es una normativa específica en materia de ciberseguridad que es de aplicación en todos los países miembros de la Unión Europea. Entró en vigor en enero de 2023 y se trata de una actualización y mejora de la directiva NIS sobre seguridad en redes y sistemas informáticos que trata de armonizar las medidas a tomar en todos los países de la UE, con el objetivo de maximizar la protección de la infraestructura digital de la zona.
Con NIS2 se introducen obligaciones específicas para la gestión de crisis cibernéticas, proporcionando diversos mecanismos que permiten la interrelación entre los Estados miembros en estas situaciones. Uno de ellos son los puntos de contacto únicos como parte esencial de la infraestructura de la ciberseguridad europea, donde se mejora la cooperación e intercambio de información entre los países miembros.
La nueva directiva implica el cumplimiento de una serie de requisitos en relación con la ciberseguridad que las empresas en el ámbito de su aplicación deben cumplir antes de una fecha límite (octubre de 2024).
- Evaluación y gestión de riesgos en ciberseguridad. Políticas y procedimiento de análisis de riesgos, publicación de vulnerabilidades conocidas y uso eficaz de sistemas avanzados de cifrado.
- Respuesta e informes sobre incidentes de ciberseguridad. Análisis y clasificación y gestión de incidentes, notificación de incidentes a las autoridades competentes en los plazos fijados, e implantación de medidas especialmente diseñadas para agilizar la respuesta y recuperación tras un incidente de ciberseguridad.
- Plan de continuidad de negocio. Procedimientos de backup, seguridad de las redes y gestión de crisis y protocolos de comunicación.
- Seguridad de la cadena de suministro. Garantizar la máxima seguridad en todas las etapas de la cadena de suministro.
- Mejora de la gobernanza. La dirección y supervisión de la ciberseguridad pasa a tener un papel relevante, con una participación activa en procesos como la aprobación de las políticas de seguridad, la formación y concienciación en materia de ciberseguridad, etc.
¿Por qué es importante para las empresas cumplir NIS2?
Es importante que las organizaciones obligadas a cumplir con la directiva NIS2 desarrollen un plan de implementación que les permita cumplir con sus diversas normas y exigencias. Los principales factores que hacen de esta directiva una norma clave para esas organizaciones y empresas son:
Maximizar su ciberseguridad
Estamos ante una directiva europea que busca maximizar la ciberseguridad en la zona euro, es decir, en toda la infraestructura de red e informática empresarial e industrial de los países miembros de la UE.
Las principales medidas que implementa NIS2 están enfocadas en la protección y la seguridad de datos, sistemas y redes, utilizando para ello la actualización de las organizaciones a las mejores prácticas en ciberseguridad reconocidas a nivel global (garantizando así la continuidad del negocio).
Evitar posibles sanciones
La directiva NIS2 incluye una serie de sanciones y multas para aquellas organizaciones que no cumplan con sus normas. La cuantía de las mismas puede llegar a ser muy elevada, suponiendo un gran castigo para aquellas empresas que infrinjan las nuevas normas.
Los tipos de sanciones que se pueden recibir son:
- Financieras. Para las entidades esenciales, la multa máxima es de 10 millones de euros o 2% del volumen de negocio anual global, y la máxima para las entidades importantes puede llegar a siete millones de euros o un 1,4% del volumen de negocio anual global.
- No financieras. Entre las que podemos encontrar auditorías obligatorias de control, prohibiciones temporales para prestar sus servicios, órdenes de cumplimiento para subsanar infracciones realizadas, instrucciones vinculantes a aplicar medidas de seguridad…
- Responsabilidad de directivos. Es importante destacar cómo esta nueva directiva hace hincapié en la gobernanza y responsabilidad en materia de ciberseguridad, introduciendo para ello nuevas medidas que responsabilizan a los altos cargos de fallos en seguridad.
Mejorar la reputación y confianza
Otro de los objetivos de la directiva NIS es elevar el nivel de confianza y fiabilidad de las organizaciones clave a nivel europeo, consiguiendo que los usuarios y empresas tengan la garantía de que sus servicios más importantes siempre estarán disponibles.
¿Qué sectores son los más afectados por la directiva NIS2?
Esta directiva indica que todas las entidades clasificadas como esenciales o importantes deben cumplir las normas de ciberseguridad.
Las organizaciones esenciales son críticas para el funcionamiento de la sociedad y economía europea e incluye a:
- Operadores en sectores críticos (energía, banca, sanidad, agua potable y residuales, infraestructuras digitales, mercados financieros…).
- Proveedores de servicios de confianza cualificados y registros de nombre de dominio.
- Entidades de la Administración pública del gobierno central.
Las organizaciones importantes según la NIS2 no tienen el carácter crítico de las esenciales, pero sí que tienen un gran impacto en la economía y sociedad, como, por ejemplo:
- Servicios postales.
- Entidades de gestión de residuos.
- Proveedores de servicios digitales.
- Fabricantes de alimentos, productos químicos, dispositivos médicos, equipos electrónicos…
- Organizaciones de investigación.
¿Cómo cumplir con la normativa NIS2?
Las medidas de gestión necesarias para cumplir con la normativa NIS2 implican priorizar la ciberseguridad en todas las decisiones y acciones de la organización.
Esquemas europeos de certificación
En el marco de esta directiva, la UE ha puesto especial interés en las certificaciones en ciberseguridad a través de los esquemas europeos de certificación. Estas certificaciones ayudan a cumplir con las normas que exige NIS2 en materia de ciberseguridad, garantizando que las empresas cumplen con todas ellas y garantizan un alto nivel de protección y seguridad de sus datos, redes y sistemas informáticos.
Implicación de los órganos directivos
Los altos cargos y directivos de las organizaciones tienen que cambiar su forma habitual de trabajo, incorporando la ciberseguridad como una de las claves de su gestión diaria. La directiva NIS2 hace especial énfasis en la importancia de la gobernanza y responsabilidad, imponiendo incluso responsabilidades directas a los directivos cuando se produce algún incidente de ciberseguridad en su organización.
Mejorar las políticas y procedimientos de seguridad
Una de las claves para cumplir con las exigencias de la NIS2 es revisar y actualizar las políticas de seguridad de la organización, adaptándola a las mejores prácticas reconocidas del sector.
Un claro ejemplo es el diseño y desarrollo de un plan de respuesta a incidentes y riesgos de ciberseguridad, que garantiza que la organización es ágil a la hora de prevenir y actuar antes este tipo de incidentes.
Apostar por la formación
Otro punto esencial para el cumplimiento de la nueva directiva NIS2 es invertir en formación en ciberseguridad, no solo para incrementar conocimientos y habilidades, sino para garantizar que siempre se esté actualizado en esta materia.
Estamos ante uno de los requisitos clave de esta directiva para lograr que las organizaciones y empresas esenciales e importantes eleven de forma notable su nivel de ciberseguridad.
Garantizar la comunicación a las autoridades competentes
Cuando se produce un incidente de ciberseguridad, la normativa NIS2 obliga a las organizaciones a comunicarlo a las autoridades competentes en un plazo concreto. Contar con procedimientos sólidos de comunicación para estos casos es fundamental para evitar posibles sanciones, además de estar preparados para posibles auditorías o inspecciones por parte de estas autoridades reguladoras.
Te hemos mostrado información valiosa sobre directiva NIS2 y cómo puedes implementarla de manera eficiente en tu empresa u organización. Cumplir con NIS2, no solo es una obligación legal para las organizaciones europeas esenciales e importantes, sino una práctica prudente que protege a la empresa, sus clientes y el mercado en general de los riesgos crecientes relacionados con la ciberseguridad.
Dominar esta extensa directiva no es una tarea sencilla, por lo que es importante realizar una formación especializada como la que ofrecemos en nuestros cursos InCompany para empresas. Accederás a temarios personalizados y a consultores senior con más de 10 años de experiencia profesional que te guiarán de forma eficiente por el proceso de aprendizaje.
Follow @FormadoresIT