NIS2 es la segunda versión de la Directiva de la UE sobre Seguridad de las Redes y de la Información. Es una ley que establece normas sobre cómo las organizaciones de sectores clave deben proteger sus sistemas y datos digitales. Su objetivo es mejorar la ciberseguridad en toda la UE garantizando que los servicios “esenciales” e “importantes” -como la energía, el transporte, la sanidad, la banca y los servicios digitales- adopten medidas claras para prevenir los ciberincidentes, detectarlos rápidamente y recuperarse de ellos con eficacia.

El NIS2 se aplica a empresas medianas y grandes de sectores “esenciales” e “importantes”, básicamente lo que se caracteriza como infraestructuras críticas.

También se aplica a algunas organizaciones más pequeñas si prestan servicios críticos o forman parte de la cadena de suministro de los sectores anteriormente mencionados. Si tu organización pertenece a los sectores de la energía, la sanidad, las infraestructuras digitales, el agua, la banca o muchos otros similares, es probable que estés dentro del ámbito de aplicación.

Encuentra todos los sectores cubiertos por el NIS2 en este artículo.

Los requisitos mínimos del NIS2 son los siguientes:

• Políticas de análisis de riesgos y seguridad de los sistemas de información.
• Procedimientos de gestión de incidentes.
• Planificación de la continuidad de la actividad, incluyendo:
  • Gestión de copias de seguridad
  • Recuperación en caso de catástrofe
  • Gestión de crisis
• Seguridad de la cadena de suministro, que abarca las relaciones con los proveedores directos y los proveedores de servicios.
• Seguridad en la adquisición, desarrollo y mantenimiento de redes y sistemas de información, incluido el tratamiento y divulgación de vulnerabilidades.
• Políticas y procedimientos para evaluar la eficacia de la gestión de riesgos de ciberseguridad.
• Prácticas básicas de ciberhigiene y formación periódica en ciberseguridad
• Políticas y procedimientos para el uso de criptografía y cifrado.
• Seguridad de los recursos humanos, políticas de control de acceso y gestión de activos.
• Uso de herramientas de autenticación y comunicación seguras, siempre que sea apropiado, como por ejemplo
  • Autenticación multifactor o continua.
  • Comunicación segura de voz, vídeo y texto.
  • Sistemas de comunicación de emergencia seguros.

Medidas de gestión de riesgos

Todas las organizaciones deben adoptar un enfoque estructurado del riesgo de ciberseguridad. Esto incluye identificar posibles amenazas, proteger los sistemas, detectar los problemas a tiempo y estar preparados para responder y recuperarse. Estas medidas deben incluir los requisitos mínimos que acabamos de mencionar, y abarcar medidas de seguridad técnicas y organizativas.

Responsabilidad de liderazgo

Los altos directivos son directamente responsables de la ciberseguridad, y las autoridades les exigen responsabilidades por los fallos graves. Deben aprobar las estrategias de seguridad, asegurarse de que se aplican las medidas adecuadas y mantenerse informados mediante formación periódica.

Notificación de incidentes

Las organizaciones deben notificar los incidentes de seguridad significativos a la autoridad nacional de ciberseguridad (CSIRT).

NIS2 exige que todo el personal pertinente, incluida la dirección, reciba formación periódica y básica sobre ciberseguridad (también llamada “ciberhigiene”).

Para la dirección, la formación es obligatoria. Los miembros del órgano de dirección deben completar los cursos pertinentes sobre gestión de riesgos de ciberseguridad y se espera que promuevan la formación en toda la organización.

No hay reglas estrictas de formato o contenido, pero la formación debe coincidir con el papel de la dirección en la evaluación de los riesgos y la supervisión de las medidas de ciberseguridad. El equipo directivo, en su conjunto, debe tener las competencias necesarias para asumir las responsabilidades de ciberseguridad en el marco de la NIS2.

La formación pertinente puede incluir cursos generales de ciberseguridad, talleres de gestión, certificaciones en normas reconocidas, o formación interna realizada para el liderazgo.

Todas las actividades de formación deben documentarse, por ejemplo con un certificado o una prueba escrita de participación.

La NIS2 exige que el personal reciba una formación en ciberseguridad que se ajuste a su función y responsabilidades. Todas las organizaciones deben tener una política clara que garantice que los empleados adquieren los conocimientos y habilidades adecuados para proteger los sistemas y hacer frente a las amenazas digitales.

El liderazgo desempeña un papel central en esto. Deben fomentar activamente que se ofrezca al personal una formación similar a la que recibe la dirección. Esto refuerza que concienciar al personal y crear hábitos seguros es una responsabilidad del liderazgo.

La formación debe ser práctica y fácil de aplicar, y debe abarcar temas como la detección del phishing, el manejo seguro de los datos, el uso correcto de las contraseñas y saber qué hacer en caso de incidente. Puede impartirse mediante e-learning, talleres o sesiones internas.

Hay que centrarse en crear una cultura en la que el aprendizaje y la concienciación sean continuos. Todas las actividades de formación deben planificarse, registrarse y ser objeto de seguimiento para garantizar su eficacia.

Porque incluso con una tecnología potente, el error humano sigue siendo uno de los mayores riesgos. La formación ayuda al personal a detectar las amenazas a tiempo y a actuar con responsabilidad. Para la dirección, se trata de responsabilidad. La formación demuestra a los organismos reguladores que la empresa se toma en serio la seguridad y adopta medidas reales para reducir los riesgos.

• Identifica si la organización está dentro del ámbito de aplicación.
• Designa a una persona o equipo responsable de la ciberseguridad.
• Revisa las políticas y procedimientos actuales.
• Rellena las lagunas de seguridad.
• Establece o mejora los planes de notificación y respuesta a incidentes.
• Inicia una formación periódica en ciberseguridad.
• Documéntalo todo para demostrar el cumplimiento.
• Consulta a tu autoridad nacional de ciberseguridad para obtener orientación local.

La NIS2 y el RGPD son leyes diferentes de la UE, pero se solapan, lo que significa que tu trabajo en una puede servir de apoyo a la otra. Ambas exigen una fuerte seguridad para los datos y sistemas personales, y ambas exigen un enfoque basado en el riesgo.

Por ejemplo, en tu cumplimiento del RGPD has mapeado los flujos de datos personales y los activos utilizados para tratar los datos, que puedes reutilizar para mapear los activos y procesos digitales para NIS2.

Del mismo modo, tus evaluaciones de riesgos para la protección de datos personales también alimentan las evaluaciones de riesgos de ciberseguridad para la prestación de servicios críticos, y tu plan de respuesta a incidentes conforme al RGPD puede servir de base para el requisito NIS2 de detectar, notificar y responder a incidentes de seguridad.

Es casi imposible cumplir el RGPD sin que el personal reciba formación sobre protección de datos y seguridad de la información, por lo que ya cubre aspectos básicos de seguridad, como el control de acceso y la formación de concienciación sobre la suplantación de identidad. Esto puede ampliarse para cumplir los requisitos del NIS2 con poco esfuerzo adicional. Las políticas sobre controles de acceso, encriptación y canales de comunicación seguros también son compatibles con ambas leyes.

Tus esfuerzos de cumplimiento del RGPD y del NIS2 deben estar definitivamente alineados para evitar duplicidades y reducir costes.