Directiva NIS2: claves de la nueva normativa de ciberseguridad en la UE

La ciberseguridad se ha convertido en una prioridad para empresas y gobiernos en un mundo cada vez más digitalizado. Con el aumento de ciberataques y vulnerabilidades en infraestructuras críticas, la Unión Europea (UE) ha dado un paso adelante con la nueva Directiva NIS2, una normativa que refuerza y amplía las obligaciones existentes en materia de seguridad online.

En este post vamos a hablar sobre lo que significa esta nueva regulación, a quién impacta, cómo afecta a las empresas, cuáles son sus requisitos y cómo puedes asegurarte de su cumplimiento.

¿Qué es NIS2?

La Directiva NIS2 (Network and Information Security 2) es la evolución de la normativa de ciberseguridad de la UE. Su objetivo es mejorar la resiliencia y la protección de infraestructuras críticas ante cualquier tipo de amenaza online. Se encarga de ampliar el alcance de la Directiva NIS original, imponiendo nuevos requisitos y estándares de seguridad que vamos a ir explicando, afectando así a más sectores y entidades.

Aunque solo se centra en la UE, también se aplica a todas las empresas que no sean de la UE, pero sí presten sus servicios a la economía europea. Por tanto, cualquier organización afectada debe comprender NIS2 para su cumplimiento.

¿Qué busca y qué exige a las empresas?

NIS2 busca establecer un nivel homogéneo de ciberseguridad en toda la UE introduciendo normas más estrictas que las que había hasta entonces, relacionadas principalmente con la gestión del riesgo y la repuesta ante incidentes.

Entre los requisitos y obligaciones más destacadas, están:

• La realización de evaluaciones periódicas de riesgos para identificar vulnerabilidades y establecer medidas correctivas.
• La implementación de medidas preventivas, y planes de continuidad de la actividad y recuperación ante incidentes para garantizar la operatividad en todo momento.
• La notificación de incidentes graves en un plazo determinado para obtener una respuesta rápida y eficaz.
• El control de la seguridad en la cadena de suministro, de manera que se pueda garantizar también que terceros cumplan con los estándares de ciberseguridad.
• La responsabilidad y participación activa de la dirección en la supervisión de cuestiones directamente relacionadas con la ciberseguridad.

Principales diferencias entre NIS y NIS2

Como hemos comentado, la Directiva NIS2 es una versión mejorada, ampliada y más estricta de la Directiva NIS de 2016, que trata reforzar las capacidades de ciberseguridad y la preparación para responder a incidentes de las entidades, introducir requisitos de seguridad más detallados, mejorar la preparación de la UE frente a ataques digitales, y remediar las deficiencias de la anterior Directiva NIS, la original.

Ahora bien, ¿qué incluye y cuáles son las diferencias clave?

• Ámbito de aplicación ampliado: esta nueva normativa afecta a muchos más sectores y empresas que veremos más adelante, incluyendo proveedores de servicios digitales, manufactura y sanidad, entre otros.
• Mayores sanciones: las multas pueden ascender hasta los 10 millones de euros o el 2 % de la facturación anual de una empresa.
• Requisitos de seguridad más específicos: para garantizar la seguridad online, NIS2 pone más énfasis en la gestión de riesgos y la respuesta a incidentes.
• Más cooperación entre los Estados miembros: fomenta el intercambio de información y la colaboración en materia de ciberseguridad.

Medidas de seguridad exigidas para las empresas

Todas las entidades afectadas por esta regulación deben implementar una serie de medidas obligatorias que garanticen la seguridad de sus datos y sistemas. Si es tu caso, aquí compartimos las cinco más importantes:

1. Autenticación multifactor para accesos críticos y protección contra accesos no autorizados.
2. Protección y cifrado de datos sensibles, con el fin de asegurar la confidencialidad y la integridad de toda información.
3. Supervisión y registro de actividad para detectar amenazas rápidamente y responder de forma proactiva.
4. Políticas de formación en ciberseguridad para empleados, promoviendo así una cultura de seguridad en el conjunto de la organización.
5. Evaluaciones de seguridad regulares que permitan garantizar la actualización constante frente a nuevas amenazas.

Aquí te dejamos información más detallada sobre las amenazas online más frecuentes. ¡Consulta nuestro blog!

¿Cómo y a quién afecta esta nueva normativa?

Ya hemos explicado desde el principio que uno de los aspectos diferenciadores de NIS2 es su ámbito de aplicación ampliado. En este sentido, es más grande el número de sectores consideradores críticos para la economía y la sociedad, lo que significa que entidades esenciales pertenecientes a sectores como energía, transporte, sanidad, agua potable y residuos, se ven afectados.

Además, otras entidades importantes que incluye son aquellas relacionadas con servicios digitales y telecomunicaciones, infraestructuras financieras, y fabricantes de productos electrónicos y médicos.

Si tienes una empresa y pertenece a alguno de los sectores mencionado, tenlo en cuenta para estar al día y evitar sanciones.

Consecuencias de no cumplir con NIS2: multas, sanciones y riesgos

El incumplimiento de la NIS2 puede conllevar la imposición de sanciones severas que afecten a la estabilidad financiera de tu empresa e, incluso, a su operativa. Por esta razón, es fundamental conocer cuáles son las principales consecuencias que se incluyen.

Multas económicas significativas

Si tu empresa está considerada como una entidad esencial en esta regulación, puedes enfrentarte a sanciones de hasta 10 millones de euros o el 2 % de la facturación anual global. En cambio, si es una entidad importante, pero no clasificada como esencial, puedes recibir multas de hasta 7 millones de euros o el 1,4 % de la facturación.

Esto afectaría notablemente a la situación financiera de tu negocio, lo que debería preocuparte y mantenerte alerta.

Suspensión temporal de servicios

Las autoridades pueden ordenar la interrupción temporal de las operaciones de tu empresa si no cumple con esta normativa, de manera que queda inactiva hasta nuevo aviso. Por ello, te recomendamos realizar un análisis exhaustivo que te permita identificar deficiencias y áreas de mejora.

Sanciones adicionales o complementarias

Si tienes una empresa que incumpla esto, puede verse sometida a auditorías obligatorias, recibir órdenes de cumplimiento e incluso ser requerida para notificar a los clientes de los riesgos que conlleva y a los que están expuestos por la falta de medidas de seguridad.

Responsabilidad personal de directivos

En caso de negligencias consideradas de carácter grave, son los propios directivos de la organización quienes se enfrentan incluso a sanciones personales como la inhabilitación para trabajar en la empresa con un cargo de directivo. Tenlo en cuenta para evitar este tipo de situaciones.

Daño reputacional

Más allá de lo que las sanciones económicas puedan afectar a la parte financiera de tu empresa, considera que el incumplimiento de NIS2 también repercute negativamente en la imagen de la empresa. Esto puede provocar la pérdida de clientes, socios y proveedores.

Al fin y al cabo, cumplir con NIS2 no solo es cuestión de evitar sanciones de este tipo, sino de fortalecer la seguridad online de tu empresa, reducir riesgos de sufrir ciberataques y mejorar la confianza depositada.

Claves para adaptar tu empresa a la Directiva NIS2

Si quieres garantizar el cumplimiento de NIS2, estos son los pasos que te recomendamos seguir en tu empresa:

1. Evaluar su postura actual en materia de ciberseguridad y detectar posibles vulnerabilidades existentes.
2. Crear una hoja de ruta y un plan de implantación detallados para abordar los requisitos de NIS2.
3. Actualizar y mejorar todas las políticas y los protocolos de gestión de riesgos e incidentes.
4. Formar internamente al equipo en buenas prácticas de seguridad digital.
5. Implementar controles técnicos, como la autenticación segura y el cifrado.
6. Supervisar a terceros para garantizar la seguridad en la cadena de suministro.
7. Realizar auditorías de manera periódica, con el objetivo de detectar posibles fallos de seguridad y deficiencias antes de que sean explotados.
8. Establecer un plan de respuesta ante incidentes con procedimientos claros de detección, contención y recuperación.

Te compartimos la Guía de Ciberseguridad de dinahosting para que aprendas todo sobre seguridad online y mantengas tus webs a salvo de amenazas. Aprovecha los más de 60 consejos que hemos incluido para ayudarte a proteger tu presencia online.

Como ves, la Directiva NIS2 supone un cambio significativo en el ámbito de la ciberseguridad, pero también permite que tu empresa, gracias a una buena planificación y el cumplimiento de esta regulación, pueda fortalecer su seguridad online y protegerse frente a amenazas.

Esperamos que con este post tengas más clara esta normativa. ¡Te leemos en comentarios! 🙂