Formación en concienciación

La NIS2 es la segunda versión de la Directiva de la UE sobre la seguridad de las redes y sistemas de información. Es una norma que establece reglas sobre cómo las organizaciones de sectores clave deben proteger sus sistemas y datos digitales. Su objetivo es mejorar la ciberseguridad en toda la UE, garantizando que los servicios «esenciales» e «importantes» —como la energía, el transporte, la sanidad, la banca y los servicios digitales— adopten medidas claras para prevenir los incidentes de ciberseguridad, detectarlos con rapidez y recuperarse de ellos con eficacia.

La NIS2 se aplica a las medianas y grandes empresas de los sectores «esenciales» e «importantes», es decir, a lo que se considera infraestructura crítica. También se aplica a algunas organizaciones más pequeñas si prestan servicios críticos o forman parte de la cadena de suministro de los sectores mencionados anteriormente. Si su organización opera en los sectores de la energía, la sanidad, la infraestructura digital, el agua, la banca o muchos otros sectores similares, es probable que esté dentro del ámbito de aplicación.

Los requisitos mínimos de la NIS2 son los siguientes: • Políticas de análisis de riesgos y de seguridad de los sistemas de información. • Procedimientos de gestión de incidentes. • Planificación de la continuidad de las actividades, que incluya la gestión de copias de seguridad, la recuperación en caso de catástrofe y la gestión de crisis. • Seguridad de la cadena de suministro, que abarque las relaciones con los proveedores y prestadores de servicios directos. • Seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información, incluidas la gestión y la divulgación de vulnerabilidades. • Políticas y procedimientos para evaluar la eficacia de la gestión de riesgos de ciberseguridad. • Prácticas básicas de ciberhigiene y formación periódica en ciberseguridad. • Políticas y procedimientos relativos al uso de la criptografía y el cifrado. • Seguridad de los recursos humanos, políticas de control de acceso y gestión de activos. • Uso de soluciones de autenticación y comunicación seguras, como la autenticación multifactorial o continua, y de comunicaciones de voz, vídeo y texto seguras.

Medidas de gestión de riesgos — Todas las organizaciones deben adoptar un enfoque estructurado frente al riesgo de ciberseguridad. Esto incluye identificar las posibles amenazas, proteger los sistemas, detectar los problemas con antelación y estar preparadas para responder y recuperarse. Responsabilidad de la dirección — La alta dirección es directamente responsable de la ciberseguridad y las autoridades le exigen responsabilidades por los incumplimientos graves. Debe aprobar las estrategias de seguridad, asegurarse de que se adopten las medidas adecuadas y mantenerse informada mediante formación periódica. Notificación de incidentes — Las organizaciones deben notificar los incidentes de seguridad significativos a la autoridad nacional de ciberseguridad (CSIRT).

La NIS2 exige que todo el personal pertinente, incluida la dirección, reciba una formación básica y periódica en ciberseguridad (también denominada «ciberhigiene»). En el caso de la dirección, la formación es obligatoria. Los miembros del órgano de dirección deben completar cursos pertinentes sobre la gestión de los riesgos de ciberseguridad y se espera de ellos que promuevan la formación en toda la organización. No existen reglas estrictas sobre el formato o el contenido, pero la formación debe corresponderse con la función de la dirección de evaluar los riesgos y supervisar las medidas de ciberseguridad. El equipo directivo, en su conjunto, debe contar con las competencias necesarias para asumir las responsabilidades de ciberseguridad que impone la NIS2. Todas las actividades de formación deben documentarse, por ejemplo, con un certificado o una prueba escrita de participación.

La NIS2 exige que el personal reciba una formación en ciberseguridad acorde con su función y sus responsabilidades. Todas las organizaciones deben contar con una política clara que garantice que los empleados adquieran los conocimientos y las competencias adecuados para proteger los sistemas y hacer frente a las amenazas digitales. La dirección desempeña un papel central en este ámbito. Debe fomentar activamente que se ofrezca al personal una formación similar a la que recibe la propia dirección. La formación debe ser práctica y de fácil aplicación, y abarcar temas como la detección del phishing, el tratamiento seguro de los datos, el uso correcto de las contraseñas y el conocimiento de cómo actuar en caso de incidente. El objetivo debe ser crear una cultura en la que el aprendizaje y la concienciación sean continuos. Todas las actividades de formación deben planificarse, registrarse y someterse a seguimiento para garantizar su eficacia.

Porque, incluso con una tecnología sólida, el error humano sigue siendo uno de los mayores riesgos. La formación ayuda al personal a detectar las amenazas con antelación y a actuar de forma responsable. Para la dirección, se trata de una cuestión de responsabilidad. La formación demuestra a los reguladores que la empresa se toma en serio la seguridad y que adopta medidas reales para reducir los riesgos.

• Determinar si la organización está dentro del ámbito de aplicación. • Designar a una persona o un equipo responsable de la ciberseguridad. • Revisar las políticas y los procedimientos actuales. • Subsanar cualquier deficiencia de seguridad. • Establecer o mejorar los planes de notificación y respuesta a incidentes. • Iniciar una formación periódica en ciberseguridad. • Documentarlo todo para demostrar el cumplimiento. • Consultar a la autoridad nacional de ciberseguridad para obtener orientación local.

La NIS2 y el RGPD son normas distintas de la UE, pero coinciden en algunos aspectos, lo que significa que el trabajo que realice en una puede apoyar a la otra. Ambas exigen una seguridad sólida para los datos personales y los sistemas, y ambas requieren un enfoque basado en el riesgo. Por ejemplo, en su cumplimiento del RGPD ha cartografiado los flujos de datos personales y los activos utilizados para su tratamiento, lo que puede reutilizar para cartografiar los activos y procesos digitales de cara a la NIS2. De forma análoga, sus evaluaciones de riesgos para la protección de los datos personales también sirven de base para las evaluaciones de riesgos de ciberseguridad relativas a la prestación de servicios críticos, y su plan de respuesta a incidentes en el marco del RGPD puede constituir la base del requisito de la NIS2 de detectar los incidentes de seguridad, notificarlos y responder a ellos. Sus esfuerzos de cumplimiento del RGPD y de la NIS2 deben estar, sin duda, alineados para evitar duplicidades y reducir costes.