Normativa NIS2: obligaciones y requisitos para empresas

La NIS2 es una actualización de la primera regulación de ciberseguridad de la Unión Europea, la Directiva NIS, en vigor en España desde 2021, mediante el Real Decreto 43/2021, que regula la seguridad de las redes y los sistemas de información en empresas de sectores esenciales.

Estas normativas fueron creadas para mejorar la seguridad en sectores esenciales y proteger a la sociedad y a la economía europea de amenazas digitales cada vez más complejas y frecuentes.

La Normativa NIS2 introduce requisitos más estrictos en cuanto a ciberseguridad, incluyendo más sectores y actores, establece plazos más cortos para la notificación de incidentes y fortalece las sanciones para las empresas que no cumplan con la normativa.

La NIS2 se aplica a empresas y entidades de sectores esenciales como la energía, el transporte, los servicios financieros, la salud y el suministro de agua, entre otros. Además, también afecta a los proveedores de servicios digitales como los servicios en la nube y las plataformas de intercambio de datos. Aquí puedes consultar la lista detallada.

Los principales requisitos incluyen la implementación de medidas de ciberseguridad adecuadas, la notificación de incidentes de seguridad en un plazo de 24 horas, la designación de responsables de la seguridad de la red y los sistemas de información, y la realización de auditorías de seguridad periódicas. Aquí puedes consultar una lista de las principales obligaciones de la NIS2.

La Directiva NIS2 considera el riesgo sistémico, lo cual significa que las pequeñas empresas, con menos de 50 trabajadores, si desempeñan un rol crítico en la cadenade suministro, deberán adaptarse también a la NIS2.

Con la NIS2, tienes la responsabilidad de evaluar y gestionar los riesgos no solo en tu propia empresa, sino también en tu cadena de suministro. Es decir, incluso si tus operaciones están bajo control, es posible que un fallo en uno de tus proveedores ponga en riesgo la cadena de suministro, como un efecto dominó.

Por lo tanto, si tu empresa pertenece a uno de estos sectores considerados esenciales, es recomendable que se ponga al día con la NIS2, sin importar su número de empleados, ya que corres el riesgo que alguno de tus clientes te pida acreditar que cumples con sus requisitos mínimos de seguridad para seguir trabajando contigo.

Las empresas que no cumplan con los requisitos establecidos por la NIS2 pueden enfrentarse a importantes sanciones económicas y, en casos graves, la interrupción de sus actividades comerciales. Las multas pueden alcanzar hasta el 2% de su facturación anual global.

 Bajo la NIS2, los incidentes de seguridad que afectan la disponibilidad, la integridad o la confidencialidad de los servicios esenciales deben ser notificados a las autoridades competentes. Esto incluye ataques cibernéticos, fallos de seguridad y cualquier otro incidente que pueda afectar a la prestación de servicios esenciales o de confianza.

 Sí, la NIS2 exige que las empresas proporcionen formación continua en ciberseguridad a su personal. Esto incluye tanto a los empleados como a los directivos, con el fin de asegurar que todos comprendan las políticas y los procedimientos de seguridad.

Los proveedores de servicios que son subcontratados por empresas de sectores esenciales también deben cumplir con los requisitos de la NIS2. Las empresas deben asegurarse de que sus proveedores de servicios respeten las normativas de ciberseguridad para proteger la cadena de suministro. Aquí puedes leer más información al respecto.

Las empresas deben implementar medidas de ciberseguridad basadas en el riesgo, que incluyan controles de acceso, sistemas de detección y prevención de intrusiones, criptografía, gestión de vulnerabilidades, auditorías y planes de respuesta ante incidentes, entre otros.

El cumplimiento de la NIS2 es supervisado por las autoridades nacionales de ciberseguridad de cada país. En España, se ha aprobado el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad y se han establecido las bases para el Centro Nacional de Ciberseguridad, clave para gestionar crisis y coordinar estrategias nacionales.

Este anteproyecto de ley también quiere reforzar la colaboración entre Interior, Defensa y Transformación Digital para garantizar una respuesta integral frente a ciberamenazas.