Qué significa la Directiva NIS 2 de la UE para las empresas

La Directiva NIS 2 de la UE tiene como objetivo elevar la ciberseguridad en Europa a un nuevo nivel. Endurece los requisitos de seguridad para las empresas y amplía el alcance a sectores adicionales. De este modo, la UE reacciona a los crecientes riesgos de los ciberataques y promueve una mayor armonización de las normas de seguridad dentro de los Estados miembros.

Introducción a la Directiva NIS 2

La Directiva de la UE sobre seguridad de redes y sistemas de información, más conocida como NIS 2, es la sucesora de la primera Directiva NIS de 2016. Fue desarrollada para responder a las crecientes amenazas a la ciberseguridad dentro de la UE, que se vieron agravadas, en particular, por la creciente digitalización y la pandemia de COVID-19. La nueva Directiva NIS 2 fue adoptada el 16 de enero de 2023, y los Estados miembros tienen hasta el 17 de octubre de 2024 para transponerla a la legislación nacional.

Los principales objetivos de la Directiva NIS 2 son aumentar los requisitos de seguridad en la UE, optimizar la notificación de incidentes de seguridad y armonizar las normativas de sanción entre los Estados miembros. Esto se logra ampliando el ámbito de aplicación de la directiva a más sectores y entidades. La directiva tiene como objetivo obligar a todos los actores relevantes, tanto públicos como privados, a un alto nivel de ciberseguridad. Esto logrará una mayor armonización de las normas de seguridad dentro de la UE para mejorar la protección de los servicios críticos y garantizar una mayor resiliencia frente a los ciberataques.

La Directiva NIS 2 garantiza que la UE esté preparada tecnológica y regulatoriamente para afrontar los desafíos de la ciberseguridad, incluso en un mundo cada vez más digitalizado. En un momento en que las amenazas de los ciberdelincuentes son cada vez más complejas y agresivas, garantizar un alto nivel de seguridad mediante especificaciones claras y requisitos estrictos es crucial. Esto se aplica no solo a las infraestructuras críticas, sino también a una amplia gama de empresas que prestan servicios esenciales para la vida social.

¿Por qué es necesaria la NIS 2?

La Directiva NIS 2 surgió como respuesta a las crecientes amenazas a la ciberseguridad. El COVID-19 y la digitalización han aumentado la dependencia de las infraestructuras digitales y, con ello, también el riesgo de ciberataques. Las amenazas del ransomware y otros ciberataques han alcanzado un nivel industrial que hace necesario estandarizar y mejorar las normas de ciberseguridad dentro de la UE. Los ataques a infraestructuras y empresas críticas pueden tener efectos devastadores y consecuencias de gran alcance para la sociedad. Por lo tanto, la adaptación y ampliación de la directiva es un paso esencial para hacer frente mejor a estas amenazas.

Otro elemento central de la Directiva NIS 2 es el refuerzo de la ciberseguridad dentro de las cadenas de suministro. Esto significa que no solo las infraestructuras críticas deben protegerse, sino también sus proveedores y prestadores de servicios, para minimizar los riesgos en toda la cadena de suministro. Esto es de particular importancia, ya que muchas empresas trabajan estrechamente con socios y proveedores y, por lo tanto, pueden surgir posibles lagunas de seguridad que los atacantes podrían explotar. Una cadena de suministro estable y segura es crucial para minimizar los riesgos para todos los actores implicados y garantizar que la ciberseguridad se considere de forma integral.

La Directiva NIS 2 también tiene como objetivo fomentar una cultura de ciberseguridad en toda la UE. Esto no solo significa la introducción de acciones técnicas y organizativas, sino también la promoción de la cooperación entre los Estados miembros de la UE. La creación de Equipos Nacionales de Respuesta a Incidentes de Seguridad Informática (CSIRTs) y la designación de autoridades nacionales responsables de la estrategia de ciberseguridad y la gestión de crisis contribuyen a crear una infraestructura de seguridad sólida. Los CSIRTs son responsables de la respuesta rápida a los incidentes y de la coordinación con otros países para minimizar el impacto de los ataques y aumentar la seguridad.

La Directiva NIS 2 también exige la creación de un grupo de cooperación que apoye la colaboración y el intercambio de información entre los Estados miembros. Este grupo promueve una cooperación estratégica y garantiza que la UE pueda adaptarse rápidamente a nuevas amenazas. El intercambio de información entre los Estados miembros permite identificar y combatir las amenazas más rápidamente y ayuda a crear una base de seguridad común. A través de estas medidas, la UE se vuelve más resistente a los ataques y puede responder mejor a las ciberamenazas.

Innovaciones esenciales de la Directiva NIS 2

Ámbito de aplicación ampliado

La Directiva NIS original cubría una serie de sectores críticos, incluidos la sanidad, la energía, el transporte y la infraestructura digital. La Directiva NIS 2 amplía este ámbito de aplicación a 18 sectores, incluida la administración pública, la investigación, el espacio y la cadena de suministro alimentaria. Esta ampliación es necesaria porque muchos de los sectores considerados críticos hoy en día no estaban suficientemente cubiertos por la legislación anteriormente. El ámbito de aplicación ampliado garantiza la protección de diversas infraestructuras importantes, lo que refuerza la resiliencia de la sociedad europea.

Entre los sectores recién cubiertos también se incluyen áreas como la gestión de residuos, el espacio, la cadena de suministro de alimentos y los proveedores de servicios postales públicos. Estos sectores son de vital importancia para la vida cotidiana y el bienestar general de los ciudadanos. La ampliación del ámbito de aplicación garantiza que no solo las infraestructuras críticas clásicas, sino también otros servicios importantes para la vida pública estén protegidos. Esto es particularmente importante para garantizar que las medidas de ciberseguridad sean lo más completas posible y cubran todos los posibles puntos de ataque.

Otro aspecto importante de la Directiva NIS 2 es la distinción entre entidades “esenciales” e “importantes”. Las entidades esenciales son empresas cuyos servicios son de importancia central para la vida social y cuya interrupción podría tener graves consecuencias. Las entidades importantes también son de gran importancia, pero el impacto potencial de una interrupción es menos amplio. Esta distinción permite desplegar los recursos específicamente donde más se necesitan y aplicar los requisitos de seguridad más estrictos a las áreas más vulnerables.

Nuevos requisitos de ciberseguridad

La Directiva NIS 2 prevé una serie de nuevos requisitos, entre ellos:

1. Medidas de gestión de riesgos: Se deben tomar las medidas técnicas, organizativas y operativas adecuadas para controlar los riesgos de las redes y los sistemas de información. Estas medidas incluyen el análisis de riesgos, la implementación de políticas de seguridad y la garantía de copias de seguridad y gestión de crisis. También se exigen análisis de vulnerabilidades y pruebas de penetración periódicos para garantizar que los posibles vectores de ataque puedan identificarse y corregirse a tiempo.
2. Obligaciones de notificación: En caso de incidentes, debe realizarse una notificación inicial a las autoridades nacionales en un plazo de 24 horas, seguida de actualizaciones adicionales en un plazo de 72 horas. El objetivo es identificar las amenazas más rápidamente y promover la cooperación a escala de la UE en la gestión de incidentes. Las empresas deben asegurarse de que toda la información relevante para la seguridad se registre y se notifique con detalle para que las autoridades responsables tengan una imagen completa de la situación.
3. Responsabilidad de la dirección: La dirección es directamente responsable del cumplimiento de los requisitos de la NIS 2. Las infracciones pueden dar lugar a elevadas multas o, en casos extremos, incluso a la prohibición temporal de ejercer funciones directivas. Esto tiene por objeto garantizar que la dirección de la empresa se tome en serio la ciberseguridad y apoye proactivamente las acciones adecuadas. La responsabilidad personal de la dirección sirve de incentivo para garantizar que las medidas de seguridad necesarias no sólo se planifiquen, sino que también se apliquen realmente.
4. Certificación y Auditoría: El cumplimiento de los requisitos debe demostrarse mediante auditorías periódicas o auditorías de seguridad. Aunque no se exige una certificación explícita, puede serlo por la legislación nacional. Las auditorías son un instrumento esencial para revisar y, si es necesario, adaptar la aplicación de las medidas de ciberseguridad. Se recomienda utilizar normas de seguridad como ISO/IEC 27001 para garantizar que las medidas de ciberseguridad cumplen las mejores prácticas reconocidas internacionalmente.

Sanciones por incumplimiento

La Directiva NIS 2 establece sanciones elevadas en caso de incumplimiento de los requisitos. Para las “entidades esenciales” se prevén multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, la cantidad que sea mayor. Para las “entidades importantes” son posibles sanciones de hasta 7 millones de euros o el 1,4 % del volumen de negocio anual. Estas elevadas sanciones tienen por objeto obligar al cumplimiento de los requisitos de seguridad y garantizar que la ciberseguridad se considere una prioridad. Además de las sanciones económicas, también pueden derivarse responsabilidades personales y consecuencias legales para la dirección de la empresa, especialmente en caso de infracciones graves.

Cómo Sophos ayuda con el cumplimiento de la NIS 2

Sophos ofrece una variedad de soluciones que apoyan el cumplimiento de la Directiva NIS 2. Estas incluyen, entre otras:

• Sophos Phish Threat: Una herramienta para la formación de empleados que realiza ataques de phishing simulados para aumentar la seguridad en el lugar de trabajo. A través de la formación continua, los empleados están capacitados para reconocer los ataques de phishing y protegerse proactivamente contra ellos, lo que representa una de las medidas más efectivas contra las ciberamenazas. Artículo del blog sobre Sophos Phish Threat
• Sophos Managed Detection and Response (MDR): Monitorización 24/7 del entorno de seguridad que detecta y responde a incidentes antes de que puedan tener un impacto negativo. Sophos MDR combina tecnologías avanzadas con experiencia humana para garantizar que las amenazas se identifiquen y neutralicen de manera oportuna.
• Sophos Firewall: Proporciona una protección de red completa adaptada a los requisitos de la Directiva NIS 2, y permite detectar y detener las amenazas de forma temprana. El Sophos Firewall ofrece información detallada sobre el tráfico de red y permite un control preciso del flujo de datos para aislar posibles amenazas.
• Sophos Cloud Optix: Una herramienta que monitorea continuamente los entornos en la nube y asegura que se cumplan los estándares de configuración para evitar manipulaciones. Con Sophos Cloud Optix, las empresas pueden asegurarse de que sus recursos en la nube cumplan siempre las mejores prácticas de seguridad y que los riesgos potenciales se identifiquen a tiempo.
• Sophos XDR (Extended Detection and Response): Permite a los analistas detectar, analizar y responder a las amenazas en todas las principales superficies de ataque. Sophos XDR recopila y correlaciona datos de diversas fuentes y proporciona una imagen completa de la postura de seguridad de una empresa, lo que permite una respuesta rápida a los incidentes.

Las soluciones Sophos cubren muchos de los requisitos estipulados en la Directiva NIS 2 y ayudan a estar óptimamente preparados para posibles amenazas. Con estas soluciones de protección integral, se puede asegurar que se implementen las precauciones necesarias para cumplir con la directiva y, al mismo tiempo, se fortalezca la situación general de seguridad de la empresa.

Más información en la página web de Sophos NIS-2.

¿Qué hay que hacer?

Para asegurar el cumplimiento de la Directiva NIS 2, se deben tomar varias medidas clave:

1. Análisis de los requisitos: Se debe asegurar que la propia empresa entra en la categoría de entidad “esencial” o “importante” y evaluar qué procedimientos son necesarios para cumplir con los requisitos de la Directiva NIS 2. Este análisis debe ser exhaustivo y sistemático para identificar vulnerabilidades e iniciar los pasos necesarios para remediarlas.
2. Implementación de estrategias: Deben implementarse los pasos técnicos, organizativos y operativos necesarios. Esto incluye la realización de análisis de riesgos, el establecimiento de políticas de seguridad y la implementación de una gestión de emergencias y la formación regular de los empleados. La formación de los empleados es una parte importante de la estrategia de seguridad, ya que el componente humano a menudo representa la mayor vulnerabilidad.
3. Uso de herramientas adecuadas: Se deben utilizar herramientas de seguridad de TI adecuadas, como las de Sophos, para cumplir los requisitos de la directiva y garantizar la protección de la empresa. Las herramientas utilizadas deben actualizarse periódicamente y su eficacia debe revisarse para garantizar que pueden hacer frente a las últimas amenazas.
4. Revisión y adaptación periódicas: El panorama de la ciberseguridad cambia constantemente, por lo que es importante realizar revisiones periódicas de las medidas de seguridad y adaptarlas si es necesario. Las empresas deben asegurarse de que están al día con la última tecnología y mejorar continuamente sus estrategias de seguridad para estar siempre un paso por delante de las nuevas amenazas.

Últimas palabras

La Directiva NIS 2 representa un paso importante hacia la mejora de la ciberseguridad en Europa. Ahora deben tomarse las precauciones necesarias para garantizar que se cumplan los nuevos requisitos y se mejore la protección de las redes y los sistemas. Esto es particularmente importante, ya que las amenazas en el espacio digital siguen aumentando y solo pueden combatirse eficazmente mediante un enfoque conjunto y coordinado.

Con el apoyo integral de soluciones como las de Sophos, se puede superar este desafío y garantizar que se cumplan los requisitos de la directiva y se refuerce la seguridad general de la empresa. La implementación de la Directiva NIS 2 es una oportunidad para revisar y mejorar la propia arquitectura de seguridad, con el fin de no solo cumplir los requisitos legales, sino también hacer que la empresa en su conjunto sea más resistente a las ciberamenazas.