Directiva NIS2

La Directiva NIS2 (Directiva (UE) 2022/2555) es la legislación actualizada de ciberseguridad de la UE que establece requisitos exhaustivos de seguridad e informes de incidentes para entidades esenciales e importantes en sectores críticos. En vigor a partir del 18 de octubre de 2024, la NIS2 amplía significativamente el alcance y la aplicación de su predecesora (NIS1), cubriendo más sectores e imponiendo obligaciones más estrictas.

¿Quién necesita cumplir con la NIS2?

La NIS2 se aplica a organizaciones que operan en la UE en 18 sectores críticos, categorizados como:

Entidades Esenciales (mayor criticidad):

• Energía (electricidad, petróleo, gas, hidrógeno)
• Transporte (aéreo, ferroviario, marítimo, por carretera)
• Banca e infraestructuras del mercado financiero
• Sector sanitario (proveedores de atención médica, laboratorios, fabricantes de dispositivos médicos)
• Agua potable y aguas residuales
• Infraestructura digital (puntos de intercambio de internet, proveedores de DNS, servicios en la nube, centros de datos)
• Administración pública
• Espacio

Entidades Importantes (criticidad moderada):

• Servicios postales y de mensajería
• Gestión de residuos
• Producción y distribución de productos químicos
• Producción y distribución de alimentos
• Fabricación (dispositivos médicos, electrónica, maquinaria, vehículos a motor)
• Proveedores digitales (mercados en línea, motores de búsqueda, redes sociales)
• Organizaciones de investigación

Los umbrales de tamaño varían según el estado miembro, pero generalmente se aplican a organizaciones medianas y grandes (50+ empleados o €10M+ de facturación anual). Las entidades pequeñas y microempresas pueden estar incluidas si prestan servicios críticos.

Requisitos básicos de seguridad

La NIS2 exige un conjunto integral de medidas de ciberseguridad en diez dominios:

1. Gestión de riesgos: Identificar y evaluar los riesgos de ciberseguridad para los sistemas de red e información
2. Gestión de incidentes: Detectar, responder y recuperarse de incidentes de seguridad
3. Continuidad del negocio: Gestión de copias de seguridad, recuperación ante desastres y gestión de crisis
4. Seguridad en la cadena de suministro: Evaluar y gestionar los riesgos de seguridad de proveedores y prestadores de servicios
5. Seguridad en la adquisición: Integrar la seguridad en la contratación de sistemas y servicios
6. Gestión de vulnerabilidades: Evaluar vulnerabilidades y desplegar parches y actualizaciones
7. Políticas y procedimientos: Documentar políticas de seguridad para el control de acceso, gestión de activos y autenticación
8. Criptografía y cifrado: Proteger la confidencialidad e integridad de los datos
9. Seguridad de recursos humanos: Políticas de control de acceso, formación y programas de concienciación
10. Autenticación multifactor y comunicaciones seguras: Implementar autenticación fuerte y sistemas de comunicación de emergencia cifrados

Obligaciones de notificación de incidentes

La NIS2 introduce plazos estrictos para la notificación de incidentes:

• Alerta temprana (24 horas): Notificar al CSIRT nacional o a la autoridad competente en un plazo de 24 horas tras tener conocimiento de un incidente significativo
• Notificación del incidente (72 horas): Presentar una evaluación inicial que incluya gravedad, indicadores de compromiso e impacto inicial
• Informe final (1 mes): Proporcionar un informe detallado con análisis de causa raíz, evaluación de impacto y medidas de remediación

Gobernanza y responsabilidad

La NIS2 enfatiza la responsabilidad del órgano de dirección:

• Responsabilidad a nivel de junta directiva: Los órganos de dirección deben aprobar las medidas de ciberseguridad y supervisar su implementación
• Responsabilidad personal: La dirección puede ser considerada personalmente responsable en caso de incumplimiento
• Requisitos de formación: La dirección debe participar en formación en ciberseguridad
• Autoridad de supervisión: Las autoridades nacionales pueden realizar inspecciones y auditorías in situ

Sanciones y aplicación

La NIS2 introduce sanciones armonizadas en toda la UE:

• Entidades esenciales: Hasta €10 millones o el 2% de la facturación anual global (según cuál sea mayor)
• Entidades importantes: Hasta €7 millones o el 1,4% de la facturación anual global (según cuál sea mayor)

Las sanciones pueden imponerse por no implementar medidas de seguridad, incumplir las obligaciones de notificación de incidentes o no cooperar con las autoridades.

Cómo ayuda ISMS Copilot

ISMS Copilot ofrece un apoyo integral para el cumplimiento de la NIS2:

• Guía específica del marco: Haz preguntas sobre artículos concretos de la NIS2, medidas de seguridad u obligaciones de notificación
• Generación de políticas: Crea políticas listas para auditoría que cubran los diez dominios de ciberseguridad
• Análisis de brechas: Sube documentación de seguridad existente para identificar brechas frente a los requisitos de la NIS2
• Evaluaciones de riesgos: Genera evaluaciones de riesgos alineadas con la NIS2 para sistemas y relaciones en la cadena de suministro
• Planificación de respuesta a incidentes: Desarrolla esquemas de clasificación de incidentes y flujos de trabajo de notificación alineados con los plazos de la NIS2
• Hoja de ruta de cumplimiento: Solicita orientación sobre la implementación según el tipo de organización y sector
• Organización del espacio de trabajo: Gestiona proyectos de NIS2 por separado de otras iniciativas de cumplimiento

La IA tiene conocimiento directo de la estructura y los requisitos de la NIS2, por lo que puedes hacer referencia a artículos o medidas de seguridad específicos en tus consultas.

Primeros pasos

Para comenzar a trabajar en el cumplimiento de la NIS2 en ISMS Copilot:

1. Crea un espacio de trabajo dedicado al cumplimiento de la NIS2
2. Pregunta a la IA si tu organización califica como entidad esencial o importante
3. Genera políticas fundamentales para los diez dominios de ciberseguridad
4. Sube políticas de ciberseguridad existentes para el análisis de brechas
5. Desarrolla un plan de respuesta a incidentes con flujos de trabajo de notificación conformes a la NIS2
6. Crea un proceso de evaluación de la seguridad en la cadena de suministro

Implementación por parte de los Estados miembros

Aunque la NIS2 establece requisitos mínimos, los Estados miembros de la UE pueden imponer obligaciones adicionales a través de leyes nacionales de transposición. Consulta la guía de tu autoridad nacional de ciberseguridad para conocer los requisitos específicos de cada país.

Recursos relacionados

• Texto oficial de la Directiva NIS2: EUR-Lex
• Guías y recursos de ENISA (Agencia de la Unión Europea para la Ciberseguridad)
• Contactos de CSIRT nacionales y autoridades competentes