La Directiva NIS2 (Directiva (UE) 2022/2555) es una normativa europea destinada a mejorar la ciberseguridad en todos los Estados miembros de la Unión Europea, incluyendo España. Esta directiva actualiza y amplía los requisitos establecidos en la Directiva NIS original, introduciendo varias novedades importantes que las organizaciones deben cumplir.
Principales características de la NIS2:
- Ampliación del ámbito de aplicación: La NIS2 incluye una mayor variedad de sectores críticos, como la energía, el transporte, la salud, el agua potable, las infraestructuras digitales, la gestión de residuos, la industria alimentaria, y más. Esto asegura que más entidades que desempeñan funciones vitales para la sociedad y la economía estén sujetas a medidas de ciberseguridad más estrictas.
- Responsabilidades de los órganos de dirección: Los órganos de dirección de las entidades esenciales e importantes tienen la obligación de aprobar y supervisar la implementación de medidas adecuadas de gestión de riesgos de ciberseguridad. Además, deben recibir formación regular y proporcionar una similar a sus empleados para garantizar que todos estén preparados para gestionar riesgos de ciberseguridad.
- Obligaciones de notificación: Las entidades afectadas deben notificar incidentes de ciberseguridad significativos a las autoridades nacionales competentes sin demora indebida. Esto incluye un informe inicial dentro de las primeras 24 horas y un informe completo una vez que se haya gestionado el incidente.
- Sanciones por incumplimiento: La NIS2 impone sanciones significativas por no cumplir con los requisitos. Las multas pueden llegar hasta 10 millones de euros o el 2% del volumen de negocios anual global de la entidad infractora, lo que sea mayor. Esto subraya la importancia de cumplir con las medidas de seguridad establecidas.
- Diferenciación entre entidades esenciales e importantes: La directiva distingue entre entidades esenciales e importantes, basándose en su tamaño y criticidad. Las entidades esenciales, por ejemplo, incluyen grandes empresas en sectores críticos y medianas empresas que proporcionan servicios de comunicaciones electrónicas.
En España, la implementación de la NIS2 requiere la adaptación de la normativa existente, actualmente regulada por el Real Decreto-Ley 12/2018 y el Real Decreto 43/2021. Las autoridades competentes están trabajando en la trasposición de la directiva al marco legal español para asegurar su cumplimiento, cuya fecha límite será el 17 de octubre de 2024. A partir de ahí, se comenzarán a aplicar los controles descritos anteriormente, y se espera una adaptación completa normalizada a lo largo de 2025. Por ello, las organizaciones que deben cumplir esta normativa ya han empezado a implementar herramientas y controles a nivel tecnológico y presupuestario.
La implementación de Arexdata DSPM es fundamental, sobre todo gracias a sus sinergias con normativas como: ISO/IEC 27001 y ENS (Esquema Nacional de Seguridad), que son utilizadas como una base tecnológica para cumplir con los requisitos de la NIS2. Muchas de las prácticas y controles de seguridad recomendados por la ISO/IEC 27001 y ENS son aplicables bajo la NIS2, por ejemplo, el requerimiento de la Evaluación continua de riesgos y su Trazabilidad, así como la implementación de controles de seguridad como: Auditoría de repositorios de información, Clasificación de datos sensibles y Gestión de permisos, entre otras.
