La directiva de la Unión Europea (UE) sobre redes y sistemas de información (NIS) se estableció en julio de 2016. Esta directiva, propuesta por la Comisión Europea (UE), tenía como objetivo mejorar el nivel de ciberseguridad en los Estados miembros de la UE. Se centró en fortalecer la colaboración entre los Estados miembros y las organizaciones, alineándose con las medidas de ciberseguridad. Su ámbito de aplicación abarca dos categorías: operadores de servicios esenciales (OES) y determinados proveedores de servicios digitales (DSP).

Sin embargo, debido a la falta de responsabilidad y a la dependencia de las decisiones de cada estado miembro, la Comisión Europea anunció su plan de acción para reemplazar la Directiva NIS por un marco más seguro, junto con la incorporación de requisitos más estrictos.

Por lo tanto, el 16 de enero de 2023, la Directiva (UE) 2016/1148 (NIS 1) fue sustituida por la Directiva (UE) 2022/2555, conocida como NIS 2.

Cambios clave en la Directiva NIS2

“NIS2”, la versión más reciente del NIS, establece requisitos de ciberseguridad más estrictos para las distintas organizaciones de los estados miembros de la UE, con fecha límite el 17 de octubre de 2024. Su objetivo es fortalecer la ciberseguridad y la resiliencia de las infraestructuras críticas y los proveedores de servicios digitales en la UE.

Los principales cambios introducidos en la directiva NIS2 para establecer un mayor nivel de ciberseguridad en el espacio tecnológico en constante evolución son los siguientes:

1. Ampliación del ámbito de aplicación

El NIS2 amplía su alcance de siete sectores a dieciocho en función del impacto que tienen en la economía y la sociedad, junto con su interconexión y su nivel de digitalización.

El alcance incluye todas las organizaciones medianas y grandes en los sectores seleccionados en función del tamaño de la organización en términos de número de empleados e ingresos generados.

2. Nuevas categorizaciones

El NIS2 elimina la distinción entre Operadores de Servicios Esenciales (OES) y ciertos Proveedores de Servicios Digitales (PSD). En su lugar, las organizaciones se clasifican según su importancia y, por lo tanto, se dividen en dos categorías: 'esencial' e 'importante'

Para el 17 de abril de 2025, estas entidades esenciales e importantes deberán estar registradas. Los Estados miembros de la UE deben identificarlas y permitirles registrarse. Esto implica que las entidades deben determinar si entran en el ámbito de aplicación mencionado en la Directiva NIS2.

3. Introducción de la gestión de la rendición de cuentas

La NIS2 introdujo el concepto de rendición de cuentas y establece que la dirección de las organizaciones bajo su alcance será responsable del nivel de seguridad que poseen. Esto incluye la realización de evaluaciones de riesgos, el establecimiento de políticas de seguridad, la seguridad de los sistemas de información, la gestión de incidentes, la continuidad del negocio y la seguridad de la cadena de suministro. Por lo tanto, los miembros del equipo directivo de una organización son responsables de cumplir con los requisitos de gestión de riesgos de ciberseguridad.

4. Introducción de multas

La directiva NIS2 otorga a las autoridades la facultad de imponer multas a las organizaciones que la incumplan. El detalle de las multas impuestas es el siguiente:

Tipo de entidad	Multa máxima (€)	Multa máxima (% de la facturación anual mundial)
Entidades esenciales	Al menos 10,000,000 €	Al menos 2%
Entidades importantes	Al menos 7,000,000 €	Al menos 1.4%

5. Informe de incidentes

NIS2 introduce requisitos más estrictos para el proceso de notificación de incidentes, incluyendo el detalle de los informes. La organización que experimenta un incidente de ciberseguridad no solo debe informarlo al Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT) local, sino también notificar a los clientes si se ven afectados.

En caso de “incidentes significativos”, la entidad debe notificar a los clientes en fases, incluyendo una “alerta temprana” dentro de las 24 horas siguientes al descubrimiento del incidente.

6. La creación de la plataforma del Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT)

Esta plataforma se desarrolló para mejorar la colaboración entre los Estados miembros de la UE cuando se enfrentan a incidentes de ciberseguridad.

La Base de Datos Europea de Divulgación de Vulnerabilidades fue creada por la Agencia de la Unión Europea para la Ciberseguridad (ENISA), que actúa como un repositorio central para compartir información sobre las vulnerabilidades de ciberseguridad identificadas, advirtiendo así a los Estados miembros que mejoren su postura de seguridad en consecuencia.

7. Mejora de la ciberseguridad en las cadenas de suministro

Este cambio clave afecta a muchos proveedores que no están dentro del ámbito de aplicación de la directiva NIS 2, pero que prestan servicios a una entidad que sí lo está. Establece que las entidades son las únicas responsables del nivel de ciberseguridad en su cadena de suministro, incluida la gestión de los riesgos de ciberseguridad.

NIS1 vs. NIS2: ¿Cuál es la diferencia?

Categoría	NIS1	NIS2
Cumplimiento	No existen multas claramente definidas ni mecanismos de aplicación estrictos.	Introduce sanciones financieras: hasta 10 millones de euros o el 2 % de los ingresos globales anuales para entidades esenciales. Hasta 7 millones de euros o el 1.4 % para entidades importantes.
Colaboración	Incluye un grupo de cooperación y una red de CSIRT (equipos de respuesta a incidentes de seguridad informática).	Fortalece el rol de los CSIRT, haciéndolos más proactivos en la respuesta a incidentes y ofreciendo orientación y retroalimentación. Fortalece la cooperación mediante el desarrollo de políticas de vulnerabilidad y directrices de riesgo sectoriales, y mejorando el intercambio de información sobre amenazas.
Informes	Faltaban plazos estrictos para reportar incidentes de seguridad. Los formatos y procedimientos de reporte variaban.	Establece plazos claros para las advertencias, notificaciones e informes de seguridad. Estandariza los procedimientos de generación de informes para garantizar la coherencia entre las entidades.
Responsabilidad	No asignó explícitamente la responsabilidad a la alta dirección por los riesgos de ciberseguridad. Riesgos de la cadena de suministro No fueron abordados directamente.	Requiere que la alta dirección (por ejemplo, los miembros de la junta directiva) supervise la gestión de riesgos de ciberseguridad, garantizando la rendición de cuentas al más alto nivel. NIS2 responsabiliza a las organizaciones de los riesgos derivados de proveedores externos.

¿Cuáles son los requisitos criptográficos en el NIS 2?

La directiva NIS 2 garantiza que los requisitos que establece para las organizaciones sean siempre justos y no exista ninguna irregularidad. Por lo tanto, los requisitos para las organizaciones más grandes reflejan su papel en la sociedad, y las organizaciones más pequeñas no se ven afectadas desproporcionadamente.

Por lo tanto, la NIS2 exige que las diversas entidades esenciales e importantes cumplan con el número mínimo de requisitos. Al igual que en las cuatro áreas de enfoque de esta directiva mencionadas anteriormente, las siguientes medidas le ofrecerán una visión general de los requisitos mínimos de esta directiva. Estos incluyen:

Evaluaciones de riesgos y políticas de seguridad para sistemas de información.
Políticas y procedimientos para evaluar la eficacia de las medidas de seguridad.
Políticas y procedimientos para el uso de la criptografía y, cuando sea pertinente, cifrado.
Un plan para manejar incidentes de seguridad.
Seguridad en torno al desarrollo de adquisiciones y la operación de sistemas. Esto implica contar con políticas para gestionar y reportar vulnerabilidades.
Formación en ciberseguridad y prácticas de higiene informática básica.
Procedimientos de seguridad para empleados con acceso a datos sensibles o importantes, incluyendo políticas de acceso a datos. Las organizaciones afectadas también deben tener una visión general de todos los activos relevantes y garantizar su correcto uso y gestión.
Un plan para gestionar las operaciones comerciales durante y después de un incidente de seguridad. Esto implica que las copias de seguridad deben estar actualizadas. También debe existir un plan para garantizar el acceso a los sistemas de TI y sus funciones operativas durante y después de un incidente de seguridad.
El uso de autenticación de múltiples factores, soluciones de autenticación continua, encriptación de voz, video y texto, y comunicación de emergencia interna encriptada cuando sea apropiado.
Seguridad en las cadenas de suministro y la relación entre la empresa y sus proveedores directos. Las empresas deben elegir medidas de seguridad que se ajusten a las vulnerabilidades de cada proveedor directo. A continuación, deben evaluar el nivel general de seguridad de todos los proveedores.

A continuación se muestran los artículos clave que mencionan los estándares de cifrado y las medidas de ciberseguridad bajo la directiva NIS2.

Los aspectos clave de la NIS2: artículos 20, 21 y 23

Los artículos 20, 21 y 23 constituyen los pilares fundamentales de la directiva NIS2 y abarcan las áreas de gobernanza, gestión de riesgos y notificación de incidentes, respectivamente. Una organización que cumple con los requisitos establecidos en estos artículos mejora su resiliencia en ciberseguridad. Analicemos estos artículos en detalle.

Artículo 20

El artículo 20 de la Directiva NIS 2 se centra en la gobernanza de los órganos de administración de los Estados miembros. Su objetivo es garantizar que la dirección de las entidades, tanto esenciales como importantes, aplique medidas de ciberseguridad. Establece que deben aprobar y supervisar las medidas de ciberseguridad para que sus organizaciones cumplan los requisitos. En caso de incumplimiento, serán responsables.

Además, se deben tener en cuenta los siguientes puntos para garantizar que sus organizaciones se alineen con los requisitos establecidos en este artículo.

Los equipos de gestión deben recibir capacitación en ciberseguridad para adquirir conocimientos y comprender los riesgos cibernéticos y las mejores prácticas que deben seguir para crear una infraestructura segura.
Los empleados que trabajan en diversas entidades esenciales e importantes también deben recibir capacitación especializada que les permita identificar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad.

Sin embargo, la responsabilidad de los funcionarios y empleados públicos se determinará según las leyes nacionales de cada país, y no por esta normativa específica. En resumen, los órganos de gestión de entidades privadas esenciales e importantes serán responsables de las fallas de ciberseguridad, pero las normas para las instituciones públicas, como las agencias gubernamentales, difieren.

Artículo 21

Este artículo se centra en las prácticas de gestión de riesgos de ciberseguridad que deben seguir ambas entidades, importantes y esenciales. Se establece que las organizaciones deben implementar medidas de seguridad sólidas para proteger su infraestructura de las ciberamenazas, desde las redes hasta los sistemas de información. Estas medidas deben estar en consonancia con la tecnología más reciente, los estándares pertinentes y el nivel de riesgo al que se enfrenta la organización. Además, se deben considerar diversos factores, como el tamaño de la organización, la exposición a los riesgos y el impacto que estos puedan tener.

El artículo también describe prácticas específicas para lograr un mayor nivel de seguridad en toda la organización. Estas incluyen políticas de riesgo e incidentes, gestión de copias de seguridad, planes de continuidad del negocio y entrenamiento en ciberseguridadAdemás, las entidades deben evaluar sus cadenas de suministro para identificar vulnerabilidades, incluidas las prácticas de ciberseguridad y los procedimientos de desarrollo seguro de los proveedores, y asegurarse de que sigan prácticas sólidas de ciberseguridad.

El artículo 21 establece las siguientes medidas para que la organización se adhiera a la directiva NIS 2. Estas son las siguientes:

Políticas sobre análisis de riesgos y seguridad de los sistemas de información.
Manejo de incidentes.
Continuidad del negocio, como gestión de copias de seguridad, recuperación ante desastres y gestión de crisis.
Seguridad de la cadena de suministro, incluidos los aspectos relacionados con la seguridad de las relaciones entre cada entidad y sus proveedores directos o prestadores de servicios.
Seguridad en la adquisición, desarrollo y mantenimiento de redes y sistemas de información, incluyendo el manejo y divulgación de vulnerabilidades.
Políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad.
Prácticas básicas de higiene cibernética y capacitación en ciberseguridad.
Políticas y procedimientos relativos al uso de la criptografía y, cuando corresponda, del cifrado.
Seguridad de recursos humanos, políticas de control de acceso y gestión de activos.
El uso de autenticación multifactor o continua y sistemas seguros de comunicación de voz, video, texto y emergencia dentro de la entidad, según corresponda.

Artículo 23

El artículo 23 de la Directiva NIS2 detalla las obligaciones de notificación. Establece que los Estados miembros son responsables de informar a los Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRT) sobre los incidentes de ciberseguridad que puedan afectar a los servicios de la organización o causar daños financieros o a la reputación.

Para alinearse con los requisitos del Artículo 23, las organizaciones deben considerar los siguientes aspectos clave:

Se debe proporcionar una alerta temprana dentro de las 24 horas posteriores al incidente para concienciar y notificar en un plazo de 72 horas. Posteriormente, se debe presentar un informe final detallado en el plazo de un mes, que incluya la descripción del incidente ocurrido, su gravedad, impacto, etc.
En caso de que un solo incidente afecte a varios países, la información debe compartirse entre ellos de manera efectiva para mejorar la coordinación.
Las autoridades que tratan estos informes también deben responder rápidamente y proporcionar la retroalimentación y la orientación necesarias.
Cada tres meses, la agencia de ciberseguridad de la UE, ENISA, guardará y analizará los datos del incidente para mejorar las políticas de ciberseguridad.

Las áreas de enfoque clave del cumplimiento de NIS2

La directiva NIS 2 incluye la adición de requisitos para las cuatro áreas clave de su organización, a saber, gestión, informes adecuados a las autoridades, estrategias para la gestión de riesgos y establecimiento de planes para la continuidad del negocio.

Vamos a explorarlos en detalle.

1. Gestión

Es responsabilidad exclusiva de los miembros de la organización conocer los requisitos establecidos por la directiva. Esta establece que la dirección debe identificar los riesgos cibernéticos de la organización y abordarlos para cumplir con los requisitos. De no hacerlo, podría resultar en sanciones para la dirección e incluso la inhabilitación temporal para ejercer funciones directivas.

2. Informe adecuado de incidentes

Este requisito establece que las organizaciones deben tener planes establecidos para garantizar que, en caso de incidentes, se informen directamente a las autoridades competentes.

Alerta temprana, es decir “dentro de las 24 horas”, se debe informar una advertencia indicando que ha ocurrido un incidente de ciberseguridad.
Se debe proporcionar una evaluación inicial junto con todos los detalles relevantes del incidente dentro de las 72 horas.
Se debe presentar a las autoridades un informe final en el plazo de un mes, que describa todos los detalles del incidente ocurrido, su causa y las medidas adoptadas por la organización para mitigarlo. Este informe también incluye la gravedad y las consecuencias del incidente, así como el tipo de amenaza que lo provocó.

3. Estrategias para la gestión de riesgos

Este requisito exige la implementación de medidas técnicas, operativas y organizativas para gestionar los riesgos en toda la infraestructura de la organización. Estas incluyen el establecimiento de políticas de análisis de riesgos, una mayor seguridad de la red, la gestión de incidentes, los controles de acceso y la mejora de... cadena de suministro seguridad y políticas sobre el uso de criptografía. Establece que los riesgos de ciberseguridad deben gestionarse en función del tipo de riesgos a los que se enfrentan, considerando factores como el tamaño de la entidad, la exposición a los riesgos y la gravedad potencial de los incidentes.

4. Establecimiento de planes de continuidad del negocio

Las organizaciones deben establecer estrategias para lograr la continuidad del negocio en caso de incidentes cibernéticos. Estos planes deben incluir la creación de un equipo de respuesta a incidentes, procedimientos a seguir en caso de emergencia y copias de seguridad para la recuperación del sistema.

Pasos para lograr el cumplimiento de NIS2

El cumplimiento normativo no se limita a cumplir los requisitos establecidos por la directiva, sino también a fortalecer la resiliencia frente a las crecientes y cambiantes amenazas de ciberseguridad. Por lo tanto, las organizaciones que se alinean con NIS 2 no solo cumplen los requisitos, sino que también mejoran su seguridad general.

Para prepararse para el cumplimiento de la NIS2, una organización debe seguir un enfoque gradual. Este enfoque consta, en líneas generales, de seis pasos, que son los siguientes:

1. Identificación de riesgos de ciberseguridad

Este paso se refiere a la identificación de diversos riesgos de ciberseguridad en la infraestructura crítica de su organización, generalmente a cargo del Director de Seguridad de la Información (CISO). La directiva NIS2 exige el establecimiento de medidas eficaces para mitigar y gestionar los riesgos, así como la implementación de procedimientos, tecnologías y sistemas adecuados para identificarlos y mitigarlos adecuadamente.

2. Evaluación de su postura de seguridad

La evaluación de la postura de seguridad se refiere al proceso de revisión de las políticas y tecnologías existentes para evaluar la eficacia de las estrategias de su organización para mitigar los riesgos. También incluye la identificación de vulnerabilidades, seguida de un análisis exhaustivo para comprender su impacto.

3. Proteger el acceso privilegiado

Los usuarios privilegiados de su organización son los principales objetivos del acceso no autorizado a datos confidenciales, lo que provoca filtraciones de datos e incluso interrupciones del servicio. Para evitarlo, NIS2 recomienda minimizar el acceso privilegiado, implementar controles de acceso como la autenticación continua y mantener registros de acceso para detectar amenazas y responder eficazmente a incidentes.

4. Fortalezca sus defensas contra el ransomware

Para fortalecer las defensas de su organización contra el ransomware, es necesario capacitar a los empleados sobre los ataques de phishing y contar con procesos seguros y establecidos para el respaldo de datos. Esto también incluye el fortalecimiento de los endpoints mediante controles de acceso y segmentación de la red para mejorar la resiliencia y garantizar que la organización pueda recuperarse rápidamente de diversos ataques de ciberseguridad.

5. Adoptar una estrategia de confianza cero

Las medidas de seguridad tradicionales son ineficaces para los servicios en la nube y los modelos híbridos. Por lo tanto, es fundamental adoptar una estrategia de confianza cero, ya que asume que los riesgos pueden provenir de cualquier usuario y dispositivo. Para ello, se deben implementar procesos de autenticación para cada entidad, como la identidad del usuario, el tipo de dispositivo, la ubicación y la frecuencia de acceso. Esto garantiza la seguridad de todos los sistemas y de los datos confidenciales de la organización.

6. Inspeccionar la cadena de suministro de software

Este paso garantiza la inspección y protección de todo el ciclo de vida del desarrollo de software, desde la creación del código hasta su implementación y distribución. Esto incluye la aplicación de una gestión estricta de identidad y acceso para un código fuente seguro y la implementación de procedimientos de seguridad automatizados.

Impacto de NIS2 en las empresas

La directiva NIS2 establece requisitos de seguridad más estrictos que afectan a empresas e industrias de toda la UE. Para cumplir con los requisitos de esta directiva, las organizaciones deben mejorar su estrategia de seguridad general, implementar estrategias de gestión de riesgos y establecer mecanismos ágiles de notificación de incidentes. A continuación, se detallan los riesgos del incumplimiento y las ventajas de cumplirlo.

Riesgos de incumplimiento

El incumplimiento de los requisitos de NIS 2 resulta en una ciberresiliencia ineficaz, lo que aumenta la probabilidad de incidentes cibernéticos en su organización. Sin medidas de seguridad efectivas, aumenta la posibilidad de infracciones, ataques de ransomware y fugas de datos. Esto implicaría que las organizaciones se enfrentaran a altos costos de recuperación, multas regulatorias y complicaciones legales.

Además, esta gestión de los gastos generales financieros podría generar pérdidas de ingresos y afectar la reputación de la organización. Además, las brechas de seguridad pueden provocar interrupciones operativas, lo que reduce la productividad y afecta su éxito a largo plazo.

Beneficios del cumplimiento

Una organización que cumple con la directiva NIS 2 establece estabilidad operativa y garantiza la protección de datos críticos en toda su infraestructura. Al implementar esta medida de seguridad proactiva, puede reducir el riesgo de ciberamenazas, como filtraciones de datos y ataques de ransomware.

Cumplir con la NIS2 permite a una organización estar digitalmente segura, garantizando la protección de su infraestructura, cadenas de suministro y datos críticos. Por lo tanto, al alinear sus requisitos con la directiva NIS 2, una organización no solo protege sus operaciones, sino que también fortalece la confianza de sus clientes.

¿Qué pasa si no se cumple con la norma NIS2?

Si una organización no cumple con los requisitos de la directiva NIS2, podría enfrentarse a graves consecuencias. Conozcamos más al respecto.

1. Sanción económica

Las organizaciones que no cumplan con los requisitos de la directiva NIS 2 tendrán que enfrentarse a enormes sanciones según la categoría a la que pertenezcan.

Empresas esenciales: Las entidades pertenecientes a este tipo serán multadas con hasta 10 millones de euros o el 2% de sus ingresos anuales globales.
Empresas importantes: Las entidades pertenecientes a este tipo de k recibirán multas de hasta 7 millones de euros o el 1.4% de sus ingresos anuales globales.

2. Complicaciones legales

Además de las multas, si una organización no cumple con la directiva NIS 2, los miembros del equipo directivo de esa organización serán considerados responsables de no adherirse a los requisitos y podrán enfrentar acciones legales en su contra.

3. Pérdida de confianza

El incumplimiento también puede generar una pérdida de confianza por parte de los clientes, socios e incluso partes interesadas, lo que resulta en un daño a la reputación de la organización.

¿Cómo puede ayudar la CE?

La directiva NIS2 se estableció para mejorar las prácticas de ciberseguridad en los diversos sectores críticos, y el primer paso crucial para lograr y mantener el cumplimiento de la NIS2 es una evaluación exhaustiva de riesgos y un análisis de brechas. servicios de asesoramiento en cifrado incluir minucioso auditorías y el evaluaciones Identificar las brechas en diversos procesos que pueden exponer a su organización a riesgos de cumplimiento. Así es como podemos ayudarle: 

1. Al revisar las políticas existentes de la infraestructura de su organización

Esto implica identificar sus capacidades de cifrado actuales y comprender si existen limitaciones en sus sistemas. También examinamos su seguridad general para garantizar una visión completa de su infraestructura, considerando los diversos casos de uso asociados a su organización.

2. Evaluar las brechas e identificar las vulnerabilidades

Esto incluye identificar las deficiencias en sus políticas actuales con respecto a los estándares de la industria para garantizar el cumplimiento de los requisitos de seguridad y cumplimiento. Para ello, realizamos talleres para debatir sobre sus aplicaciones actuales, fomentando la colaboración entre los miembros del equipo y recabando información valiosa. Además, creamos un cuestionario de evaluación para obtener información importante sobre sus prácticas de cifrado. Por lo tanto, mediante esta evaluación, identificamos las capacidades de cifrado de datos existentes e identificamos áreas específicas de mejora.

3. En la implementación de la hoja de ruta

Tras completar con éxito la evaluación, le proporcionaremos un informe detallado que incluye resúmenes de nuestros hallazgos y recomendaciones para cada uno de ellos. Este informe describe una estrategia para implementar las capacidades necesarias y garantizar que esté bien preparado para mejorar sus prácticas de cifrado. Además, nuestro hoja de ruta Le ayudará a cumplir con los estándares de la industria y alinearse con las mejores prácticas para mejorar la protección de datos y ayudarle a alinearse de acuerdo con sus requisitos de cumplimiento.

Conclusión

La Directiva NIS2 es un elemento clave en la acción de la Unión Europea para reforzar la ciberseguridad y proteger sus servicios esenciales. Establece una directriz clara para los Estados miembros, fomenta la colaboración y se centra en la seguridad de la cadena de suministro en la región.

Para las organizaciones, NIS2 es más que una simple regulación. Es una oportunidad para mejorar su gestión de los riesgos cibernéticos. Adopten prácticas sólidas de gestión de riesgos, prepárense para la respuesta a incidentes y creen marcos de gobernanza sólidos. Las empresas no solo protegerán sus sistemas, sino que también generarán confianza en sus clientes y contribuirán a un entorno digital más seguro.

Puede resultar abrumador conocer y cumplir con estos nuevos requisitos, pero la buena noticia es que no tendrá que hacerlo solo. Contacte con nuestro equipo para empezar hoy mismo.