Directiva NIS2

La Directiva NIS2 (Directiva (UE) 2022/2555) es la legislación de ciberseguridad actualizada de la UE que establece requisitos exhaustivos de seguridad y notificación de incidentes para entidades esenciales e importantes en sectores críticos. Con efecto a partir del 18 de octubre de 2024, la NIS2 amplía significativamente el alcance y la aplicación de su predecesora (NIS1), cubriendo más sectores e imponiendo obligaciones más estrictas.

¿Quién debe cumplir con la NIS2?

La NIS2 se aplica a las organizaciones que operan en la UE en 18 sectores críticos, categorizados como:

Entidades esenciales (mayor criticidad):

• Energía (electricidad, petróleo, gas, hidrógeno)

• Transporte (aéreo, ferroviario, marítimo, por carretera)

• Banca e infraestructuras del mercado financiero

• Sector sanitario (proveedores de salud, laboratorios, fabricantes de productos médicos)

• Agua potable y aguas residuales

• Infraestructura digital (puntos de intercambio de internet, proveedores de DNS, servicios en la nube, centros de datos)

• Administración pública

• Espacio

Entidades importantes (criticidad moderada):

• Servicios postales y de mensajería

• Gestión de residuos

• Producción y distribución de productos químicos

• Producción y distribución de alimentos

• Fabricación (productos médicos, electrónica, maquinaria, vehículos de motor)

• Proveedores digitales (mercados en línea, motores de búsqueda, redes sociales)

• Organizaciones de investigación

Los umbrales de tamaño varían según el Estado miembro, pero generalmente se aplican a medianas y grandes empresas (más de 50 empleados o facturación anual superior a 10 millones de euros). Las entidades pequeñas y microempresas pueden incluirse si prestan servicios críticos.

Requisitos básicos de seguridad

La NIS2 exige un conjunto integral de medidas de ciberseguridad en diez dominios:

1. Gestión de riesgos: Identificar y evaluar riesgos de ciberseguridad en las redes y los sistemas de información

2. Gestión de incidentes: Detectar, responder y recuperarse de incidentes de seguridad

3. Continuidad del negocio: Gestión de copias de seguridad, recuperación ante desastres y gestión de crisis

4. Seguridad de la cadena de suministro: Evaluar y gestionar los riesgos de seguridad provenientes de proveedores y prestadores de servicios

5. Seguridad en la adquisición: Integrar la seguridad en la contratación de sistemas y servicios

6. Gestión de vulnerabilidades: Evaluar vulnerabilidades y desplegar parches y actualizaciones

7. Políticas y procedimientos: Documentar políticas de seguridad para el control de acceso, gestión de activos y autenticación

8. Criptografía y cifrado: Proteger la confidencialidad e integridad de los datos

9. Seguridad de los recursos humanos: Políticas de control de acceso, formación y programas de concienciación

10. Autenticación multifactor y comunicaciones seguras: Implementar sistemas de autenticación sólida y comunicaciones de emergencia cifradas

Obligaciones de notificación de incidentes

La NIS2 introduce plazos estrictos para la notificación de incidentes:

• Alerta temprana (24 horas): Notificar al CSIRT nacional o a la autoridad competente en un plazo de 24 horas tras tener conocimiento de un incidente significativo

• Notificación del incidente (72 horas): Presentar una evaluación inicial que incluya la gravedad, indicadores de compromiso e impacto inicial

• Informe final (1 mes): Proporcionar un informe detallado con análisis de causa raíz, evaluación de impacto y medidas de remediación

Gobernanza y responsabilidad

La NIS2 enfatiza la responsabilidad del órgano de dirección:

• Responsabilidad a nivel directivo: Los órganos de dirección deben aprobar las medidas de ciberseguridad y supervisar su implementación

• Responsabilidad personal: La dirección puede ser considerada personalmente responsable por el incumplimiento

• Requisitos de formación: La dirección debe participar en formaciones de ciberseguridad

• Autoridad de supervisión: Las autoridades nacionales pueden realizar inspecciones y auditorías in situ

Sanciones y ejecución

La NIS2 introduce sanciones armonizadas en toda la UE:

• Entidades esenciales: Hasta 10 millones de euros o el 2% de la facturación anual global (lo que sea mayor)

• Entidades importantes: Hasta 7 millones de euros o el 1,4% de la facturación anual global (lo que sea mayor)

Se pueden imponer sanciones por no implementar medidas de seguridad, infracciones en la notificación de incidentes o falta de cooperación con las autoridades.

Cómo ayuda ISMS Copilot

ISMS Copilot ofrece un apoyo integral para el cumplimiento de la NIS2:

• Guía específica del marco: Realice preguntas sobre artículos específicos de la NIS2, medidas de seguridad u obligaciones de notificación

• Generación de políticas: Cree políticas listas para auditoría que cubran los diez dominios de ciberseguridad

• Análisis de brechas: Suba su documentación de seguridad actual para identificar brechas respecto a los requisitos de la NIS2

• Evaluaciones de riesgos: Genere evaluaciones de riesgos alineadas con la NIS2 para sistemas y relaciones en la cadena de suministro

• Planificación de respuesta a incidentes: Desarrolle esquemas de clasificación de incidentes y flujos de trabajo de notificación alineados con los plazos de la NIS2

• Hoja de ruta de cumplimiento: Solicite orientación para la implementación basada en el tipo de organización y sector

• Organización del espacio de trabajo: Gestione los proyectos de la NIS2 por separado de otras iniciativas de cumplimiento

La IA tiene conocimiento directo de la estructura y los requisitos de la NIS2, por lo que puede hacer referencia a artículos o medidas de seguridad específicos en sus instrucciones.

Primeros pasos

Para comenzar el trabajo de cumplimiento de la NIS2 en ISMS Copilot:

1. Cree un espacio de trabajo dedicado para el cumplimiento de la NIS2

2. Pregunte a la IA si su organización califica como entidad esencial o importante

3. Genere las políticas fundamentales para los diez dominios de ciberseguridad

4. Suba las políticas de ciberseguridad existentes para el análisis de brechas

5. Desarrolle un plan de respuesta a incidentes con flujos de trabajo de notificación que cumplan con la NIS2

6. Cree un proceso de evaluación de seguridad de la cadena de suministro

Implementación por los Estados miembros

Si bien la NIS2 establece requisitos mínimos, los Estados miembros de la UE de forma individual pueden imponer obligaciones adicionales mediante leyes nacionales de transposición. Consulte la guía de su autoridad nacional de ciberseguridad para conocer los requisitos específicos de su país.

Recursos relacionados

• Texto oficial de la Directiva NIS2: EUR-Lex

• Guía y recursos de ENISA (Agencia de la Unión Europea para la Ciberseguridad)

• Contactos del CSIRT nacional y autoridades competentes