El 17 de enero de 2023 entró en vigor la nueva legislación de la UE para mejorar la ciberseguridad. La Directiva de Seguridad de las Redes y los Sistemas de Información (NIS2), pretende establecer un nivel mínimo de normas de ciberseguridad en toda Europa, y sustituye a la Directiva de Redes y Sistemas de Información (Directiva 2016/1148) establecida en 2016. La Directiva NIS2 es la legislación a escala de la UE sobre ciberseguridad. Proporciona medidas legales para aumentar el nivel general de ciberseguridad en la UE.
La legislación NIS original se formó en respuesta a las preocupaciones sobre la ciberseguridad y un panorama de amenazas cambiante, y los acontecimientos de los últimos años (la pandemia de COVID-19, la invasión de Rusia en Ucrania, un aumento continuo de los ataques de ransomware) han llevado a la UE a ampliar y fortalecer la Directiva original, dando lugar a NIS2.
El impacto de esta nueva Directiva podría ser tan significativo como el GDPR, por lo que debe estar al tanto de los próximos requisitos.
¿A quién afectará NIS2?
La Directiva NIS-2 será de obligado cumplimiento para empresas de más de 250 empleados y con un volumen de facturación anual de 50 millones de euros en adelante. Al mismo tiempo, también estarán obligados a su cumplimiento los operadores que presten servicios esenciales y los proveedores de servicios digitales que operan en la Unión Europea. Estos servicios incluyen, entre otros, servicios energéticos, transporte, salud, banca y finanzas, y servicios de telecomunicaciones.
NIS2 se aplica tanto a las organizaciones con sede en la UE como a las organizaciones con sede en otros lugares que prestan sus servicios dentro de la región. Los Estados miembros de la UE deben mantener una lista actualizada de todas las entidades esenciales e importantes que operan dentro de su jurisdicción.
Las entidades esenciales incluyen:
- Proveedores de energía
- Empresas de transporte
- Infraestructuras bancarias y de mercados financieros
- Fabricantes de productos sanitarios y farmacéuticos
- Infraestructuras de agua potable y aguas residuales
- Administración pública
- Servicios TIC
- Infraestructura digital, incluidos proveedores de servicios en la nube, centros de datos, sistemas de nombres de dominio (DNS) y redes públicas de comunicación.
Entre las entidades importantes figuran:
- Servicios postales y de mensajería
- Gestión de residuos
- Fabricación de productos químicos
- Servicios de producción y transformación de alimentos
- Producción de electrónica, maquinaria y vehículos de motor
- Mercados en línea, motores de búsqueda y redes sociales
- Instituciones de enseñanza superior e investigación.
¿Qué puede pasar con las empresas que no cumplan con la directiva?
Si las empresas no cumplen con los requisitos de NIS2, pueden tomarse una variedad de medidas de cumplimiento, que incluyen instrucciones vinculantes, una recomendación de una auditoría de seguridad y multas administrativas de hasta 10 millones de euros o el 2 % de la facturación anual mundial total de la empresa en el ejercicio anterior.
¿Cuáles son los nuevos requisitos de NIS2?
La Directiva NIS2 tiene un ámbito de aplicación más amplio que la NIS, se aplica a un mayor número de sectores e industrias y es más explícita a la hora de esbozar las medidas de ciberseguridad que exigirá a las organizaciones. La NIS2 también pretende aumentar la colaboración en materia de ciberseguridad entre los Estados miembros de la UE.
En la nueva legislación, las entidades esenciales tienen una serie de requisitos más rigurosos que las entidades importantes.
Las entidades esenciales pueden ser investigadas en cualquier momento mediante auditorías e inspecciones, mientras que las entidades importantes sólo serán investigadas después de un incidente.
Estos son los puntos clave de la NIS2:
- Política de seguridad de la información. Las organizaciones deben evaluar el impacto potencial de un ciberataque y ser proactivas en la gestión del riesgo, aplicando políticas de seguridad de la información sólidas.
- Prevención, detección y respuesta ante incidentes. Se exigirá a las empresas que dispongan de estrategias de prevención y respuesta a incidentes, que pongan a prueba estos planes y que formen al personal.
- Continuidad del negocio. Como parte de sus estrategias de respuesta a incidentes, las empresas deben asegurarse de que pueden seguir operando en caso de ciberataque. NIS2 se centra en soluciones de copia de seguridad en la nube para ayudar a las empresas a recuperar los datos perdidos y restablecer las operaciones con una interrupción mínima.
- Notificación de incidentes. La NIS2 estipula que ambas categorías de organizaciones están obligadas a notificar a las autoridades pertinentes en caso de que se produzca un ciberincidente significativo, y establece un calendario estricto para la notificación, que explicamos en la siguiente sección.
- Seguridad de la cadena de suministro. NIS2 exige a las empresas que evalúen las vulnerabilidades de sus cadenas de suministro, incluidos servicios como los proveedores de almacenamiento de datos. En pocas palabras, NIS2 exige a las empresas que tengan en cuenta no sólo su propia ciberseguridad, sino también la de los terceros con los que tratan.
- Revelación de vulnerabilidades. Si una organización encuentra una vulnerabilidad en su red, debe revelarla a la autoridad competente. Las organizaciones también deben proporcionar canales para que el público informe sobre vulnerabilidades, y están obligadas a actuar en consecuencia.
- Obligaciones de los equipos directivos. Los altos cargos y los equipos directivos pueden ser considerados personalmente responsables del incumplimiento de las NIS2 por parte de su organización.
- Multas por incumplimiento. Para las entidades esenciales, la multa por incumplimiento puede ser de hasta 10 millones de euros, o el 2% de la facturación anual mundial de la empresa. Para las entidades importantes, la multa es de hasta 7 millones de euros, o el 1,4% del volumen de negocios anual mundial.
- Colaboración. NIS2 fomenta el intercambio de datos entre autoridades y exige que éstas colaboren en la respuesta a incidentes. El objetivo es dar una respuesta a las amenazas a escala de la UE, en lugar de limitarse a respuestas nacionales o localizadas. Este énfasis en la colaboración incluye la creación de la «Red de Organizaciones de Enlace para Crisis Cibernéticas» (EU-CyCLONe), organismo centralizado para la gestión de incidentes.
- Ampliación del concepto de «entidades esenciales»: así, la actualización introduce nuevos sectores hasta la fecha no considerados como críticos.
- La incorporación de los «sectores importantes», un nuevo concepto que aglutina la gestión de residuos, el sector aeroespacial, los proveedores y fabricantes de servicios digitales, el sector alimentario (considerando desde su producción, transformación y distribución), servicios postales y aquellos dedicados a la generación y distribución de sustancias y productos químicos.
- Introducción de nuevos requisitos de seguridad en las organizaciones, inculcando la necesaria concienciación sobre la privacidad desde el diseño y por defecto, obligación de cifrado, requisitos en cuanto a la respuesta a incidentes, la certificación de servicios, sistemas y/o productos bajo el paraguas de esquemas europeos de certificación, acordes a la normativa europea.
- Armonización normativa entre los Estados Miembros: así, la Agencia de la Unión Europea para la Ciberseguridad (ENISA) se erige como responsable de la difusión de nuevas normas para la prevención, detección y respuesta a ciberataques entre los países miembros y sus autoridades competentes en la materia.
- Integración plena con normativa sectorial, como puede ser la Directiva para la Resiliencia Operativa Digital para el sector financiero (DORA) y la Directiva de Resiliencia de Entidades Críticas (CER).
- Refuerzo de las exigencias de seguridad en proveedores y la cadena de suministro: para ello, la Directiva NIS 2.0 permite a las organizaciones exigir a sus proveedores el cumplimiento de la normativa, en el supuesto de ser consideradas como operadores críticos.
- Responsabilidad de la dirección de la empresa: gracias a esta actualización, la responsabilidad del cumplimiento de las medidas de ciberseguridad recae en los propios órganos directivos de la empresa.
- Promoción de la colaboración público-privada: así, la nueva Directiva propone crear las Public-Private-Partnerships («PPPs», por sus siglas en inglés) especializadas en ciberseguridad, de cara a desarrollar estrategias nacionales de ciberseguridad en cada uno de los Estados Miembros.
Fuente y redacción: elhacker.net
