La Directiva NIS2 define requisitos específicos para las políticas de gestión de riesgos de ciberseguridad con el fin de estandarizar y fortalecer las prácticas de seguridad informática en toda la UE. Estos requisitos se aplican a las entidades clasificadas como “esenciales” o “importantes” según su rol, tamaño e impacto general en sectores y servicios vitales. Para comprender mejor el perímetro de aplicación, es útil partir del objetivo principal de la Directiva NIS2 y de quiénes forman parte de la lista de sujetos NIS2 gestionada por la ACN.

Elementos clave de las políticas de gestión de riesgos de ciberseguridad

La Directiva NIS2 exige a las empresas implementar un enfoque basado en la gestión de riesgos para la ciberseguridad, yendo más allá del simple cumplimiento normativo para promover una cultura de mitigación proactiva de los riesgos.

[Callforaction-NIS2]

Para lograr este objetivo, la directiva incluye una lista de diez elementos clave que deben abordarse dentro de estas políticas de gestión de riesgos:

• Análisis de riesgos y políticas de seguridad: Las empresas deben establecer procesos sistemáticos para identificar, analizar y documentar los riesgos de ciberseguridad específicos para sus operaciones y los servicios que ofrecen. Esto debe incluir la revisión y actualización periódica de las políticas de seguridad para abordar las amenazas y vulnerabilidades emergentes.
• Gestión de incidentes: Son esenciales procedimientos claros para la gestión de incidentes de ciberseguridad, enfatizando una respuesta rápida y eficaz para minimizar las interrupciones y los posibles daños. Esto incluye el establecimiento de canales de comunicación, rutas de escalada y procesos para la notificación, análisis, contención y erradicación de incidentes.
• Continuidad operativa y gestión de crisis: Las entidades deben establecer planes para garantizar la continuidad operativa en caso de interrupciones causadas por incidentes de ciberseguridad. Esto incluye medidas como procedimientos de copia de seguridad y recuperación ante desastres, así como estrategias para la gestión de crisis y la comunicación durante dichos eventos.
• Seguridad de la cadena de suministro: La NIS2 subraya la importancia de abordar los riesgos de ciberseguridad dentro de las cadenas de suministro, reconociendo su naturaleza cada vez más interconectada. Las empresas están obligadas a evaluar y gestionar los riesgos asociados a sus proveedores y prestadores de servicios, teniendo en cuenta factores como las prácticas de seguridad y la postura general de ciberseguridad de estas entidades externas.
• Adquisición, desarrollo y mantenimiento seguros: Las políticas deben incluir ciclos de desarrollo seguros para los sistemas internos y directrices para la adquisición de sistemas de terceros. Esto comprende procesos de gestión de vulnerabilidades para identificar, evaluar, corregir y mitigar las vulnerabilidades de software y hardware a lo largo de todo su ciclo de vida.
• Evaluación de la eficacia: Las evaluaciones regulares y sistemáticas de la eficacia de las medidas de gestión de riesgos de ciberseguridad son fundamentales para garantizar su adecuación frente a las amenazas en evolución. Esto implica la ejecución de revisiones periódicas, auditorías y ejercicios para evaluar el rendimiento de los controles de seguridad implementados e identificar áreas de mejora.
• Higiene cibernética básica y formación: Es esencial establecer y promover prácticas de ciberseguridad básicas para empleados y usuarios. Esto incluye la aplicación de políticas de contraseñas robustas, la implementación de controles de acceso, la promoción de hábitos de navegación segura y el aumento de la concienciación sobre las amenazas comunes de ciberseguridad, como el phishing y los ataques de ingeniería social.
• Uso de la criptografía: Proteger los datos sensibles en tránsito y en reposo es crucial. La directiva impone el uso de la criptografía y, cuando sea apropiado, del cifrado para garantizar la confidencialidad y la integridad de los datos. Esto puede incluir la implementación de protocolos de comunicación seguros, el cifrado de los repositorios de datos sensibles y el uso de firmas digitales para la autenticación y el no repudio.
• Seguridad de los recursos humanos y control de acceso: Las políticas deben cubrir verificaciones de antecedentes para los empleados, especialmente aquellos en posiciones sensibles, y la implementación de controles de acceso robustos para prevenir el acceso no autorizado a sistemas y datos críticos. Esto incluye el uso de mecanismos de autenticación fuertes, la limitación de los privilegios de usuario basados en el principio del mínimo privilegio y la implementación de la autenticación multifactor cuando sea apropiado.
• Sistemas de comunicación seguros: Utilizar canales de comunicación seguros, especialmente para la comunicación interna y la respuesta a incidentes, es fundamental para proteger la información sensible de accesos no autorizados e interceptaciones. Esto incluye el uso de plataformas de mensajería seguras, correo electrónico cifrado, sistemas de conferencia de voz y vídeo, y sistemas de comunicación de emergencia dedicados que sean resilientes y estén protegidos contra compromisos.

Aplicación y rol de la dirección

La directiva enfatiza la responsabilidad de la dirección respecto a la ciberseguridad, requiriendo su aprobación y supervisión en la implementación de las medidas de gestión de riesgos de ciberseguridad. Esto incluye garantizar que se asignen recursos adecuados a la ciberseguridad y promover una cultura de concienciación sobre la seguridad informática en toda la organización.

Estos requisitos reflejan un giro hacia prácticas de gestión de riesgos más proactivas y completas, reconociendo la naturaleza cambiante de las amenazas cibernéticas y la interconexión de las infraestructuras y servicios críticos. Al centrarse en estos elementos clave, la NIS2 tiene como objetivo establecer un nivel base más elevado de ciberseguridad en toda la UE, reforzando la resiliencia de los servicios esenciales y de la economía digital en su conjunto. Para las organizaciones que deben estructurar o verificar su propio camino de adecuación, el soporte para el cumplimiento de la Directiva NIS2 ofrecido por ISGroup cubre todo el ciclo: desde la evaluación inicial hasta la implementación de las medidas requeridas. El texto oficial de la Directiva NIS2 sigue siendo la referencia normativa de partida para cualquier análisis de requisitos.

[Callforaction-NIS2-Footer]