Normativa NIS2: obligacions i requisits per a empreses

La NIS2 és una actualització de la primera regulació de ciberseguretat de la Unió Europea, la Directiva NIS, en vigor a Espanya des del 2021, mitjançant el Reial decret 43/2021, que regula la seguretat de les xarxes i els sistemes d’informació a empreses de sectors essencials.

Aquestes normatives van ser creades per millorar la seguretat en sectors essencials i protegir la societat i l’economia europea d’amenaces digitals cada cop més complexes i freqüents.

La Normativa NIS2 introdueix requisits més estrictes quant a ciberseguretat, incloent-hi més sectors i actors, estableix terminis més curts per a la notificació d’incidents i enforteix les sancions per a les empreses que no compleixin la normativa.

La NIS2 s’aplica a empreses i entitats de sectors essencials com l’energia, el transport, els serveis financers, la salut i el subministrament d’aigua, entre d’altres. A més, també afecta els proveïdors de serveis digitals com els serveis al núvol i les plataformes d’intercanvi de dades. Aquí podeu consultar la llista detallada.

Els requisits principals inclouen la implementació de mesures de ciberseguretat adequades, la notificació d’incidents de seguretat en un termini de 24 hores, la designació de responsables de la seguretat de la xarxa i els sistemes d’informació i la realització d’auditories de seguretat periòdiques. Aquí podeu consultar una llista de les principals obligacions de la NIS2.

La Directiva NIS2 considera el risc sistèmic, la qual cosa significa que les petites empreses, amb menys de 50 treballadors, si exerceixen un rol crític a la cadena de subministrament, s’hauran d’adaptar també a la NIS2.

Amb la NIS2, tens la responsabilitat d’avaluar i gestionar els riscos no només a la teva pròpia empresa, sinó també a la teva cadena de subministrament. És a dir, fins i tot si les teves operacions estan sota control, és possible que una fallada en un dels teus proveïdors posi en risc la cadena de subministrament, com un efecte dòmino.

Per tant, si la vostra empresa pertany a un d’aquests sectors considerats essencials, és recomanable que es posi al dia amb la NIS2, sense importar-ne el nombre de treballadors, ja que corres el risc que algun dels teus clients et demani acreditar que compleixes els seus requisits mínims de seguretat per continuar treballant amb tu.

Les empreses que no compleixin els requisits establerts per la NIS2 poden enfrontar-se a importants sancions econòmiques i, en casos greus, la interrupció de les activitats comercials. Les multes poden arribar fins al 2% de la facturació anual global.

Sota la NIS2, els incidents de seguretat que afecten la disponibilitat, la integritat o la confidencialitat dels serveis essencials han de ser notificats a les autoritats competents. Això inclou atacs cibernètics, fallades de seguretat i qualsevol altre incident que pugui afectar la prestació de serveis essencials o de confiança.

Sí, la NIS2 exigeix ​​que les empreses proporcionin formació contínua en ciberseguretat al personal. Això inclou tant els treballadors com els directius, per tal d’assegurar que tots comprenguin les polítiques i els procediments de seguretat.

Els proveïdors de serveis que són subcontractats per empreses de sectors essencials també han de complir els requisits de la NIS2. Les empreses han dassegurar que els seus proveïdors de serveis respectin les normatives de ciberseguretat per protegir la cadena de subministrament. Aquí pots llegir més informació sobre això.

Les empreses han d’implementar mesures de ciberseguretat basades en el risc, que incloguin controls d’accés, sistemes de detecció i prevenció d’intrusions, criptografia, gestió de vulnerabilitats, auditories i plans de resposta davant d’incidents, entre d’altres.

El compliment de la NIS2 és supervisat per les autoritats nacionals de ciberseguretat de cada país. A Espanya, s’ha aprovat l’ avantprojecte de llei de coordinació i governança de la Ciberseguretat i s’han establert les bases per al Centre Nacional de Ciberseguretat, clau per gestionar crisis i coordinar estratègies nacionals.

Aquest avantprojecte de llei també vol reforçar la col·laboració entre Interior, Defensa i Transformació Digital per garantir una resposta integral davant de ciberamenaces.