Las organizaciones de toda la Unión Europea (UE) están obligadas en el cumplimiento de la Directiva sobre redes y sistemas de información (NIS2). El objetivo es desarrollar las capacidades en materia de ciberseguridad en toda la Unión Europea, reducir las amenazas para los sistemas de redes y de información utilizados para prestar servicios esenciales en sectores fundamentales, y garantizar la continuidad de dichos servicios en caso de incidentes.
La Directiva NIS2 amplía su ámbito de aplicación más allá de la Directiva NIS de la UE. Los principales cambios respecto a la NIS son:
1. Ampliación del ámbito de aplicación
NIS2 se ha ampliado para incluir sectores como correos y mensajería, alimentación, espacio y aguas residuales, así como numerosas empresas medianas con 50 o más empleados y unos ingresos superiores a 10 millones de euros. Se diferencian sectores de alta criticidad de otros sectores críticos y Entidades esenciales de Entidades importantes.
2. Responsabilidades de la administración
Los órganos de administración son responsables de aprobar las medidas para la gestión de riesgos de ciberseguridad adoptadas por su empresa, supervisar su aplicación y pueden ser considerados responsables en caso de infracción. Los miembros de los órganos de administración deben recibir formación para adquirir los conocimientos y competencias adecuados para identificar los riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su impacto en sus servicios.
3. Nuevos requisitos de ciberseguridad
Se incluyen nuevas obligaciones como la evaluación de la aplicación de medidas de seguridad, la realización de evaluaciones de riesgos y la notificación de incidentes.
4. Cadena de suministro
La gestión de riesgos de ciberseguridad se ha ampliado para incluir la seguridad de la cadena de suministro. Las organizaciones incluidas en el ámbito de aplicación de NIS2 deben valorar los puntos débiles específicos de cada uno de sus proveedores directos y prestadores de servicios para prevenir o minimizar el impacto de los incidentes en la cadena de suministro sobre los beneficiarios de sus servicios y sobre otros servicios.
5. Mayores multas
La directiva NIS2 establece importes máximos mayores que la directiva anterior de multas administrativas en caso de incumplimiento.
Las principales obligaciones y aspectos clave de NIS2 son:
• Medidas para la gestión de riesgos de ciberseguridad: Las entidades esenciales e importantes deben adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionales para gestionar los riesgos de ciberseguridad a los que se enfrentan y prevenir o minimizar el impacto de los incidentes en sus servicios y en servicios de terceros.
• Equipos directivos: La alta dirección tiene la responsabilidad última de la gestión de los riesgos de ciberseguridad en entidades esenciales e importantes.
• Notificación de Incidentes: Las Entidades esenciales e importantes deben notificar sin demora incidentes con impacto significativo. Ante un incidente de este tipo, se deberá notificar a la autoridad competente o al CSIRT (Computer Security Incident Response Team) de referencia.
• Supervisión: Las autoridades competentes ejercerán funciones de supervisión en relación con entidades sujeto obligado, disponiendo de competencias para someter a dichas entidades a dicha supervisión.
Carlos Bereciartua González.
Director Cyber Consulting Aon
