Qué es la Directiva NIS2 y cómo prepararse para ella

La NIS2 introduce un cambio significativo en la manera en la que se clasifican las organizaciones que deben cumplir con sus obligaciones de ciberseguridad y que comentaremos al detalle en el siguiente apartado.

Mientras que la Directiva NIS diferenciaba entre operadores de servicios esenciales y proveedores de servicios digitales, dejando que cada Esta Miembro de la UE decidiera qué entidades entraban en estas categorías, la NIS2 busca una mayor uniformidad y claridad. Ahora las organizaciones se dividen en: entidades esenciales e importantes, utilizando criterios como el sector en el que operan, su tamaño y su facturación anual. Esta clasificación es más clara y uniforme a nivel europeo, lo que reduce las inconsistencias en la aplicación por parte de cada Estado.

Esta normativa amplía significativamente su campo de acción en comparación con la versión anterior, principalmente mediante la identificación de nuevos sectores considerados de “alta criticidad” o “críticos”. Estos sectores son fundamentales para las actividades cotidianas y su interrupción podría tener un impacto severo en la vida económica y social.

Esta extensión ha hecho que muchas más organizaciones estén sujetas a cumplir con estas medidas.

El objetivo principal de esta directiva es elevar los niveles de seguridad en toda la UE, y para logarlo, han introducido criterios específicos de evaluación de riesgos, así como incrementar las exigencias en cuanto a las medidas de seguridad y la gestión de riesgos.

Uno de los aspectos clave es el enfoque en la seguridad de la cadena de suministro, pues cualquier vulnerabilidad en esta cadena puede comprometer la seguridad de todo el ecosistema.

También se refuerza la gestión de incidentes, exigiendo procedimientos más estrictos para la notificación de estos y la necesidad de informar de manera rápida y precisa.

Todo ello fomenta el desarrollo de un marco sólido para la notificación de incidentes y promueve una mayor colaboración público-privada, mejorando la capacidad de respuesta y la resiliencia ante posibles ciberamenazas.

NIS2 impone sanciones económicas más severas como medida disuasoria para las organizaciones que no cumplan con las medidas de gestión de riesgos o de notificación.

Estas podrán ir desde el 1,4% al 2% del volumen de negocio anual total a nivel mundial según el tamaño de la compañía.

Esta directiva actualizada ha ampliado considerablemente el alcance de la aplicación en comparación con la versión original de 2016. Además, la NIS2 introduce una nueva clasificación que divide los sectores de aplicación en dos categorías:

1. Sectores de alta criticidad:
   1. Energía
   2. Transporte
   3. Banca
   4. Infraestructura del mercado financiero
   5. Salud
   6. Agua
   7. Infraestructura digital
   8. Gestión de servicios TIC
   9. Entidades de la administración pública
   10. Espacio
2. Otros sectores críticos:
   1. Servicios postales y de mensajería
   2. Gestión de residuos
   3. Fabricación, producción y distribución de productos químicos
   4. Producción, procesamiento y distribución de alimentos
   5. Fabricación
   6. Proveedores digitales
   7. Investigación

Además de la clasificación por sectores, esta directiva también introduce una clasificación adicional de entidades específicas:

• Esencial:
  • Grandes entidades en sectores de alta criticidad (facturación anual superior a 50 millones de euros).
  • Autoridades de certificación, registradores de dominios de alto nivel y proveedores de DNS, independientemente del tamaño de la empresa.
  • Prestadores de telecomunicaciones, medianos a grandes (ingresos superiores a 10M).
  • Instituciones de la administración pública.
  • Cualquier entidad que pertenezca a un sector muy crítico o crítico que un Estado Miembro defina como “esencial”.
  • Entidades definidas como críticas según la Directiva (UE) 2022/2557.
• Importante:
  • Entidades medianas (ingresos de 10 a 50 millones) en sectores muy críticos.
  • Entidades medianas y grandes de otros sectores críticos.
  • Cualquier entidad definida por un Estado miembro como “importante”.

La categoría a la que pertenece cada entidad tiene unas implicaciones prácticas importantes, pues las actividades de las clasificadas como “esenciales” estarán sujetas a una supervisión mucho más estricta y proactiva, como redadas aleatorias, controles de seguridad esenciales y solicitudes de prueba de cumplimiento.

De hecho, en caso de incumplimiento de la NIS2, las entidades esenciales pueden enfrentarse a una multa de hasta 10 millones de euros o el 2% de su facturación global anual.

Por su parte, las entidades clasificadas como “importantes” están sujetas a controles un poco menos estrictos, aunque pueden enfrentarse a sanciones de hasta 7 millones o el 1,4% de facturación.

Para cumplir con todo ello, desgranamos los pasos recomendados a seguir:

• Evaluación previa: se debe realizar un análisis exhaustivo de los riesgos de ciberseguridad de la empresa en relación con los requisitos de la directiva, el cual permite identificar las brechas entre las prácticas actuales de la empresa y las obligaciones impuestas por la NIS2.
• Políticas de gestión: desarrollar políticas, procedimientos y planes alineados con los estándares de la directiva y ejecutar las acciones pertinentes identificadas en el diagnóstico.
• Concienciación y formación: fomentar una cultura de seguridad dentro de la organización, así como proporcionar formación continua a los empleados en materia de seguridad y buenas prácticas.
• Detección y respuesta: establecer mecanismos efectivos para detectar cualquier amenaza de manera temprana y planes de respuesta a incidentes seguridad.
• Pruebas y actualizaciones: todos los sistemas y sus componentes deben estar actualizados y parcheados de forma regular para garantizar que se mantengan resilientes frente a ciberataques.
• Supervisión y colaboración: supervisar de forma continua los sistemas para poder detectar y responder a posibles amenazas, así como mantener una colaboración activa con los organismos competentes en materia de ciberseguridad.