ciberseguridad y cifra
NIS2
El 17 de octubre de 2024 marca un punto de inflexión en las medidas de ciberseguridad en la Unión Europea. Con la transposición de la Directiva NIS2 (Directiva 2022/2555), las organizaciones, tanto públicas como privadas, se verán obligadas a reforzar sus estrategias de ciberseguridad
¿Qué es NIS2?
La Directiva NIS2, sucesora de la Directiva inicial sobre seguridad de las redes y sistemas de información (NIS), es una normativa fundamental para reforzar la ciberseguridad y proteger las infraestructuras críticas en toda la Unión Europea (UE). Esta nueva regulación ha subsanado las deficiencias de su predecesora y ha ampliado su alcance, reforzando la obligación de notificar incidentes y mejorando la capacidad de gestión de crisis de las organizaciones.
NIS2 establece los requisitos de ciberseguridad que deben cumplir los Estados miembros de la UE, basada en la anterior Directiva 2016/1148 (NIS1) de seguridad en las redes y sistemas de información. Además, deroga la directiva 2016/1148 y modifica el reglamento 910/2014 sobre la identificación electrónica y servicios de confianza para transacciones electrónicas en el mercado interior.
Para comprender la importancia de NIS2 se necesita entender el panorama digital actual europeo, en el cual contamos con infraestructura digital muy extensa, compleja y que está presente en todas las facetas de la vida, comercio y bienestar. Esta infraestructura e interconexión permite una eficiencia, crecimiento y avances tecnológicos exponenciales, generando a su vez nuevas ciberamenazas y vulnerabilidades de las que nos debemos proteger.
¿Cuáles son los objetivos de NIS2?
Los principales objetivos de NIS2 son reforzar la ciberseguridad en la Unión Europea, garantizando que las organizaciones adopten medidas efectivas para proteger infraestructuras críticas y servicios esenciales. También está focalizada en mejorar la forma en la que la Unión Europea previene, gestiona y responde a los incidentes de ciberseguridad, apostando por una planificación adecuada.
La directiva también busca mejorar la cooperación entre los Estados miembros, facilitando el intercambio de información para una mejor gestión de las amenazas e incidentes de ciberseguridad. Además, NIS2 amplía su ámbito de aplicación para incluir a más sectores e industrias, tanto públicas como privadas, con el fin de aumentar la resiliencia frente a los ciberataques. Asimismo, establece un marco de sanciones claras para incentivar el cumplimiento de las normativas y garantizar la seguridad en todo el territorio europeo.
¿A qué empresas afecta NIS2?
La Directiva NIS2 se aplica a entidades públicas y privadas de un total de 18 sectores, ampliando el alcance de las organizaciones obligadas a cumplir con la normativa, y afectando a organizaciones que antes no estaban reguladas. Estos sectores se han clasificado en 2 grupos, pudiendo ser de alta criticidad o de otros sectores críticos:
- Energía
- Banca
- Infraestructuras de mercados financieros
- Sanidad
- Transporte, infraestructura digital
- Aguas potables
- Aguas residuales
- Administración pública
- Gestión de servicios TIC
- Espacio
Otros sectores críticos
- Investigación
- Química
- Alimentación
- Servicios postales
- Proveedores digitales
- Fabricación
- Gestión de residuos
¿Cuáles son las posibles sanciones de NIS2?
Las organizaciones pueden enfrentarse a sanciones económicas significativas si no cumplen con las obligaciones de la NIS2. Las sanciones varían en función de la gravedad del incidente, negligencia, tamaño, recursos e incluso antecedentes organizacionales con respecto a casos de la misma naturaleza.
Multas administrativas
Los Estados miembros deben establecer el nivel máximo de las multas para garantizar la disuasión. La NIS2 sugiere que las multas deben ser «efectivas, proporcionadas y disuasorias».
Las multas pueden llegar hasta un máximo de:
- 10 millones de euros
- 2% del volumen de negocios global anual de la empresa afectada
La multa que se impondrá será la que suponga una cuantía mayor de entre estas dos opciones.
Sanciones para la administración
La NIS2 introduce sanciones que pueden dirigirse no solo a la empresa como tal, sino también a los directivos y responsables que no tomen medidas adecuadas.
Inspecciones y medidas correctivas
Las autoridades nacionales designadas para supervisar el cumplimiento de la NIS2 tienen el poder de realizar inspecciones a las empresas y organizaciones.
Si detectan incumplimientos, pueden ordenar medidas correctivas y sancionar a quienes no las implementen de manera adecuada o en el plazo indicado.
Sanciones por incumplimiento de notificaciones
La NIS2 establece obligaciones estrictas de notificación de incidentes. Se deberá informar rápidamente de cualquier incidente grave que afecte a sus redes y sistemas de información dentro de los plazos establecidos.
