¿Qué es NIS2?
La Directiva NIS2 (Directiva sobre Seguridad de Redes y Sistemas de Información) es una actualización de la normativa europea diseñada para fortalecer la ciberseguridad en la Unión Europea. Su objetivo principal es mejorar la resiliencia y la capacidad de respuesta ante ciberamenazas en sectores críticos y esenciales, estableciendo requisitos más estrictos para la protección de sistemas y datos.
La NIS2 representa un paso importante hacia una Europa más segura frente a las ciberamenazas. Las empresas afectadas deben prepararse para cumplir con estos nuevos requisitos, no solo para evitar sanciones, sino también para proteger sus operaciones y contribuir a la seguridad colectiva.
¿A quién aplica esta directiva?
Esta directiva, aplica a sectores críticos como la energía, el transporte, la salud, la finanza así como a servicios esenciales como proveedores de servicios digitales, administraciones públicas entre otros, para garantizar la resiliencia y la respuesta a incidentes digitales.
La NIS2 amplía su alcance respecto a su versión anterior (NIS1) y se aplica a una amplia gama de sectores, incluyendo:
- Sectores críticos: Energía, transporte, banca, infraestructuras digitales, salud, agua potable, y administración pública.
- Sectores esenciales: Servicios postales, gestión de residuos, fabricación de productos críticos (como medicamentos o componentes tecnológicos), y proveedores de servicios digitales.
Además, la directiva afecta tanto a empresas grandes como a medianas, independientemente de si son públicas o privadas, siempre que operen en los sectores mencionados.
Sectores Críticos:
- Energía: Electricidad, petróleo y gas.
- Transporte: Aéreo, ferroviario, marítimo y por carretera.
- Salud: Hospitales, clínicas y servicios médicos.
- Finanzas: Bancos, aseguradoras y mercados financieros.
- Agua y Saneamiento: Proveedores de agua potable y tratamiento de aguas residuales.
Proveedores de Servicios Digitales:
- Servicios en la Nube: Empresas que ofrecen almacenamiento y procesamiento de datos en línea.
- Mercados en Línea: Plataformas de comercio electrónico donde se compran y venden bienes o servicios.
- Motores de Búsqueda: Herramientas en línea para buscar información en internet.
Organismos Públicos:
- Administraciones Públicas: Entidades gubernamentales a nivel nacional, regional y local.
Extensión a la Cadena de Suministro
Más allá de los sectores críticos, la Directiva NIS2 extiende su aplicabilidad a la cadena de suministro, ya que reconoce que los riesgos de ciberseguridad no se limitan únicamente a las empresas individuales, sino que también pueden originarse en sus proveedores, socios comerciales o terceros. Por ello, la directiva establece requisitos específicos para gestionar los riesgos asociados a la cadena de suministro.
La NIS2 establece que las empresas no solo son responsables de su propia seguridad, sino también de garantizar que sus proveedores y socios no se conviertan en un eslabón débil. Esto implica:
- Colaboración con proveedores: Trabajar conjuntamente para identificar y mitigar riesgos en la cadena de suministro.
- Transparencia: Exigir a los proveedores que informen sobre incidentes de seguridad que puedan afectar a la empresa
¿Qué necesitan hacer las empresas para cumplir con la NIS2?
Para cumplir con la NIS2, las empresas deben adoptar medidas concretas, entre las que destacan:
- Evaluar riesgos: Identificar y analizar posibles amenazas a la seguridad de sus sistemas y datos.
- Implementar medidas de seguridad: Adoptar protocolos robustos, como cifrado de datos, gestión de accesos, y sistemas de detección de intrusiones.
- Notificar incidentes: Reportar cualquier ciberincidente significativo a las autoridades competentes en un plazo determinado.
- Formar a empleados: Capacitar al personal en prácticas de ciberseguridad para reducir riesgos humanos.
- Auditorías y cumplimiento: Realizar revisiones periódicas para asegurar que se cumplen los requisitos de la directiva.
Sanciones por incumplimiento
Las empresas que no gestionen adecuadamente los riesgos de la cadena de suministro podrían enfrentar sanciones económicas significativas, que pueden llegar hasta el 2% del volumen de negocios anual o 10 millones de euros (lo que sea mayor), dependiendo de la gravedad del incumplimiento.
FAQs
¿Qué novedades aporta?
- Amplía el ámbito de aplicación: más sectores, subsectores y tipos de entidades
- Afecta, en general, a medianas y grandes empresas de esos sectores.
- Afecta a ciertas entidades con independencia de su tamaño.
- Clasifica las entidades en esenciales e importantes con distintos regímenes de supervisión y sanciones.
- Incluye nuevas formas para que las entidades afectadas se identifiquen y registren.
- Las entidades en su ámbito han de gestionar sus riesgos de ciberseguridad, tomando medidas técnicas, operativas y organizativas.
- Fija plazos para que las entidades en su ámbito notifiquen incidentes significativos.
- Endurece las sanciones en caso de incumplimiento.
- Las entidades en su ámbito han de tener en cuenta los riesgos de su cadena de suministro TIC.
Al igual que el Reglamento General de Protección de Datos (GDPR), la NIS2 trata de armonizar las medidas y los enfoques en los Estados miembros de la UE para proteger la infraestructura digital, en este caso, las mejores prácticas para abordar la creciente avalancha de ciberataques.
¿Qué responsabilidades tienen las organizaciones?
La Directiva NIS2 tiene un alcance significativo en relación con la cadena de suministro, ya que reconoce que los riesgos de ciberseguridad no se limitan únicamente a las empresas individuales, sino que también pueden originarse en sus proveedores, socios comerciales o terceros. Por ello, la directiva establece requisitos específicos para gestionar los riesgos asociados a la cadena de suministro. Aquí te explico su alcance y grado de actuación:
1. Gestión de riesgos en la cadena de suministro
La NIS2 obliga a las empresas a evaluar y gestionar los riesgos de ciberseguridad que puedan surgir de sus relaciones con proveedores y terceros. Esto incluye:
- Evaluación de proveedores: Las empresas deben asegurarse de que sus proveedores y socios comerciales cumplen con estándares adecuados de ciberseguridad.
- Contratos seguros: Se recomienda incluir cláusulas específicas en los contratos con proveedores para garantizar el cumplimiento de prácticas de seguridad.
- Monitoreo continuo: Supervisar el desempeño de los proveedores en materia de ciberseguridad y responder ante posibles vulnerabilidades.
2. Responsabilidad compartida
La NIS2 establece que las empresas no solo son responsables de su propia seguridad, sino también de garantizar que sus proveedores y socios no se conviertan en un eslabón débil. Esto implica:
- Colaboración con proveedores: Trabajar conjuntamente para identificar y mitigar riesgos en la cadena de suministro.
- Transparencia: Exigir a los proveedores que informen sobre incidentes de seguridad que puedan afectar a la empresa.
3. Medidas específicas para proveedores críticos
En el caso de proveedores que ofrecen servicios o productos críticos (como software, hardware o infraestructuras digitales), la NIS2 exige:
- Certificaciones y estándares: Que los proveedores cumplan con normas de seguridad reconocidas, como ISO 27001 o equivalentes.
- Auditorías: Realizar evaluaciones periódicas para verificar el cumplimiento de los requisitos de seguridad.
4. Notificación de incidentes en la cadena de suministro
Si un incidente de ciberseguridad en la cadena de suministro afecta a una empresa cubierta por la NIS2, esta debe notificarlo a las autoridades competentes. Esto incluye:
- Incidentes significativos: Aquellos que puedan interrumpir servicios esenciales o causar daños considerables.
- Plazos específicos: La notificación debe realizarse en un tiempo determinado, según la gravedad del incidente.
5. Sanciones por incumplimiento
Las empresas que no gestionen adecuadamente los riesgos de la cadena de suministro podrían enfrentar sanciones económicas significativas, que pueden llegar hasta el 2% del volumen de negocios anual o 10 millones de euros (lo que sea mayor), dependiendo de la gravedad del incumplimiento.
La NIS2 amplía la responsabilidad de las empresas más allá de sus propias operaciones, incluyendo la cadena de suministro. Esto significa que las organizaciones deben adoptar un enfoque proactivo para garantizar que sus proveedores y socios cumplan con los estándares de ciberseguridad requeridos. La gestión segura de la cadena de suministro no solo es un requisito legal, sino también una medida esencial para proteger la continuidad del negocio y la seguridad de los datos.
