El 17 de enero de 2023 entró en vigor la Directiva de Seguridad de las Redes y los Sistemas de Información (NIS2), una legislación de la Unión Europea que busca mejorar el nivel general de ciberseguridad. Esta normativa sustituye a la Directiva NIS original, establecida en 2016, y se aplica a un mayor número de sectores e industrias.
¿A quién afectará NIS2?
La Directiva NIS2 será obligatoria para empresas con más de 250 empleados o que tengan un volumen anual de facturación superior a 50 millones de euros. Además, se aplicará a operadores que presten servicios esenciales y proveedores de servicios digitales en la UE. Estos incluyen sectores como energía, transporte, salud, banca, finanzas y telecomunicaciones.
La normativa también afecta a organizaciones con sede fuera de la UE que ofrezcan sus servicios dentro del territorio europeo. Los Estados miembros deben mantener listas actualizadas de las entidades esenciales e importantes que operan en su jurisdicción.
¿Qué incluye el concepto de 'entidades esenciales'?
Las entidades esenciales son aquellas cuya interrupción podría afectar significativamente a la sociedad o al funcionamiento del Estado. Entre ellas se encuentran:
- Proveedores de energía
- Empresas de transporte
- Infraestructuras bancarias y financieras
- Fabricantes de productos sanitarios y farmacéuticos
- Infraestructuras de agua potable y aguas residuales
- Administración pública
- Servicios TIC
- Infraestructura digital, incluidos proveedores de servicios en la nube, centros de datos, sistemas DNS y redes públicas de comunicación.
¿Qué son las 'entidades importantes'?
Las entidades importantes son aquellas que no alcanzan el umbral de esenciales pero aún así tienen un impacto significativo en la sociedad. Entre ellas se incluyen:
- Servicios postales y de mensajería
- Gestión de residuos
- Fabricación de productos químicos
- Servicios de producción y transformación de alimentos
- Producción de electrónica, maquinaria y vehículos de motor
- Mercados en línea, motores de búsqueda y redes sociales
- Instituciones de enseñanza superior e investigación.
Consecuencias del incumplimiento de NIS2
Las empresas que no cumplan con los requisitos de la Directiva pueden enfrentar multas administrativas. Para las entidades esenciales, la sanción puede llegar hasta 10 millones de euros o el 2 % de su facturación anual mundial. Para las importantes, la multa máxima es de 7 millones de euros o el 1,4 % del volumen de negocios anual.
Requisitos clave de NIS2
La Directiva NIS2 establece una serie de requisitos que las organizaciones deben cumplir:
- Política de seguridad de la información: Las empresas deben evaluar el impacto potencial de un ciberataque y aplicar políticas de seguridad sólidas.
- Prevención, detección y respuesta ante incidentes: Se exige a las organizaciones que dispongan de estrategias de prevención y respuesta a incidentes, así como planes de prueba y formación del personal.
- Continuidad del negocio: Las empresas deben asegurarse de poder seguir operando en caso de ciberataque. Se promueve el uso de soluciones de copia de seguridad en la nube para minimizar interrupciones.
- Notificación de incidentes: Ambas categorías de organizaciones están obligadas a notificar a las autoridades pertinentes en caso de un ciberincidente significativo, siguiendo un calendario estricto.
- Seguridad de la cadena de suministro: Las empresas deben evaluar las vulnerabilidades de sus cadenas de suministro, incluidos los proveedores de almacenamiento de datos.
- Revelación de vulnerabilidades: Si una organización detecta una vulnerabilidad en su red, debe informarla a la autoridad competente. También debe permitir que el público reporte vulnerabilidades y actuar en consecuencia.
- Obligaciones de los equipos directivos: Los altos cargos pueden ser considerados personalmente responsables del incumplimiento de las NIS2 por parte de su organización.
- Colaboración: La Directiva fomenta el intercambio de datos entre autoridades y exige que éstas colaboren en la respuesta a incidentes. Se menciona la creación de la «Red de Organizaciones de Enlace para Crisis Cibernéticas» (EU-CyCLONe).
- Armonización normativa: La Agencia Europea para la Ciberseguridad (ENISA) se encargará de difundir nuevas normas entre los Estados miembros.
- Integración con normativas sectoriales: Se menciona la integración con directivas como DORA y CER.
- Seguridad en proveedores y cadena de suministro: La Directiva permite a las organizaciones exigir el cumplimiento de la normativa a sus proveedores si son considerados operadores críticos.
- Responsabilidad de la dirección: La responsabilidad del cumplimiento recae en los órganos directivos de la empresa.
- Promoción de la colaboración público-privada: Se propone crear las «Public-Private-Partnerships» especializadas en ciberseguridad para desarrollar estrategias nacionales en cada Estado Miembro.