Con NIS2, la seguridad pasa a ser algo que tiene que demostrar.

NIS2 es la segunda Directiva sobre Seguridad de las Redes y de la Información, la Directiva (UE) 2022/2555. Establece una base común de ciberseguridad en toda la Unión Europea y sustituye a la Directiva NIS original de 2016 con un ámbito más amplio, requisitos más estrictos y una responsabilidad real para la alta dirección.

El objetivo es sencillo: elevar el nivel de resiliencia cibernética de las organizaciones de las que depende la sociedad. Donde las normas antiguas cubrían un conjunto reducido de operadores, NIS2 incorpora sectores enteros y somete a cada organización a un estándar documentado de gestión de riesgos, notificación de incidentes y seguridad de la cadena de suministro.

NIS2 suele abarcar a organizaciones medianas y grandes de sectores designados, con excepciones para algunos proveedores críticos más pequeños. Un proveedor también puede recibir exigencias de un cliente sujeto a la directiva. Las obligaciones exactas dependen de la legislación nacional aplicable a la organización.

La directiva clasifica a las organizaciones en entidades esenciales (sectores como energía, transporte, banca, salud, agua, infraestructura digital y administración pública) y entidades importantes (incluidos los servicios postales, la gestión de residuos, la industria química, la alimentaria, la fabricación y los proveedores digitales). Ambas deben cumplir las mismas obligaciones de seguridad; la diferencia está sobre todo en el rigor con que se las supervisa.

NIS2 se articula en torno a las medidas de gestión de riesgos del artículo 21, unas obligaciones estrictas de notificación de incidentes y la responsabilidad de la dirección que fija el artículo 20. En la práctica se reduce a cinco cosas que tiene que hacer y poder demostrar.

• Medidas de gestión de riesgosAdopte medidas técnicas y organizativas en sus redes y sistemas de información: control de acceso, MFA, cifrado, aplicación de parches, copias de seguridad y continuidad de negocio.
• Notificación de incidentesNotifique los incidentes significativos con plazos estrictos: una alerta temprana en 24 horas, una notificación más completa en 72 horas y un informe final en un mes.
• Seguridad de la cadena de suministroEvalúe y gestione el riesgo cibernético que aportan sus proveedores y prestadores de servicios, porque un atacante que llega a través de un proveedor sigue siendo un incidente que usted debe notificar.
• Responsabilidad de la direcciónLa alta dirección debe aprobar y supervisar las medidas de riesgo y puede ser considerada responsable a título personal. La ciberseguridad pasa a ser una responsabilidad del consejo, no solo una tarea de TI.
• Cumplimiento continuoMantenga las evidencias al día. Los supervisores pueden solicitarlas en cualquier momento, así que la postura, las políticas y los registros de incidentes deben estar listos cuando se pidan, no reunidos después de la petición.

NIS2 entró en vigor en enero de 2023. Los Estados miembros debían incorporarla a su legislación nacional antes del 17 de octubre de 2024. La implantación y la aplicación varían según el país: consulte la ley y la autoridad competentes en el suyo.

Las sanciones son considerables. Las entidades esenciales pueden enfrentarse a multas de hasta 10 millones de euros o el 2 por ciento de la facturación anual mundial, la cifra que sea mayor; las entidades importantes, hasta 7 millones de euros o el 1,4 por ciento. Más allá de las multas, los supervisores pueden responsabilizar a la dirección a título personal, motivo por el que NIS2 ha pasado de ser un asunto de TI a un asunto del consejo. Para las organizaciones del sector financiero, NIS2 coexiste con DORA y sus propios requisitos de resiliencia operativa.