La Directiva NIS2 reconoce la naturaleza cada vez más interconectada de los sistemas digitales y el impacto transfronterizo potencial de los incidentes de ciberseguridad. Establece diversos mecanismos para facilitar la cooperación y las acciones coordinadas entre los Estados miembros al abordar dichos incidentes. Para las organizaciones que entran en el ámbito de aplicación, comprender estas obligaciones es el primer paso hacia un camino estructurado de cumplimiento de la NIS2.

[Callforaction-NIS2]

Notificación de impactos transfronterizos

• La Directiva hace hincapié en la importancia de notificar oportunamente a las partes interesadas en caso de incidentes de ciberseguridad significativos, especialmente aquellos con potenciales impactos transfronterizos.
• El Artículo 23 de la Directiva exige a las entidades esenciales e importantes que incluyan información sobre cualquier impacto transfronterizo en las notificaciones de incidentes enviadas a su CSIRT o a la autoridad competente.
• Esta información ayuda a los CSIRT y a las autoridades competentes a evaluar la magnitud del incidente y a determinar si es necesario activar la cooperación transfronteriza.

Directiva NIS2: Intercambio de información y cooperación

• La Directiva NIS2 promueve el intercambio de información y la cooperación entre los Estados miembros a diferentes niveles.
• Grupo de Cooperación: La Directiva establece un Grupo de Cooperación, compuesto por representantes de las autoridades competentes de cada Estado miembro, para apoyar y facilitar la cooperación estratégica y el intercambio de información.
• Este Grupo desempeña un papel clave en el desarrollo de una comprensión común de las amenazas y vulnerabilidades informáticas, en el intercambio de mejores prácticas, en la coordinación de las respuestas políticas y en el fortalecimiento de la confianza entre los Estados miembros.
• Red de CSIRT: La Directiva crea una red de CSIRT nacionales para promover una cooperación operativa rápida y eficaz.
• Esta red facilita el intercambio de información técnica sobre incidentes, vulnerabilidades y medidas de mitigación, y apoya a los Estados miembros en la gestión de incidentes transfronterizos.
• La red también establece procedimientos para la solicitud y prestación de asistencia mutua entre los Estados miembros en la gestión de incidentes.
• Puntos de Contacto Únicos (SPOC): Cada Estado miembro debe designar un Punto de Contacto Único (SPOC). El SPOC actúa como punto de enlace central para la cooperación transfronteriza en materia de ciberseguridad.
• Los SPOC facilitan la comunicación y la coordinación entre las autoridades competentes, los CSIRT y otros organismos relevantes, tanto dentro de la UE como con terceros países y organizaciones internacionales.
• EU-CyCLONe: La Directiva establece la Red de Organización de Enlace para Crisis Cibernéticas Europeas (EU-CyCLONe) para apoyar la gestión coordinada de incidentes y crisis de ciberseguridad a gran escala a nivel operativo.
• EU-CyCLONe reúne a representantes de las autoridades de gestión de crisis informáticas de los Estados miembros. El objetivo es facilitar el intercambio de información, coordinar las actividades de respuesta y apoyar la toma de decisiones durante incidentes de mayor envergadura.

Asistencia mutua

• La Directiva NIS2 establece disposiciones para la asistencia mutua entre los Estados miembros en las actividades de investigación y respuesta a incidentes de ciberseguridad.
• El Artículo 37 permite a una autoridad competente de un Estado miembro solicitar asistencia a otro Estado miembro en los casos en que:
• Una entidad preste servicios en varios Estados miembros.
• Los sistemas de información y las redes de una entidad estén ubicados en varios Estados miembros.
• La autoridad solicitante puede pedir asistencia en la recopilación de información, la realización de investigaciones, la adopción de medidas de ejecución y otras actividades relacionadas con el incidente.
• La autoridad requerida debe prestar asistencia a menos que considere que no es competente, que la solicitud sea desproporcionada o que sea contraria a sus intereses nacionales fundamentales.

Acciones de supervisión conjunta

• La Directiva NIS2 prevé la posibilidad de llevar a cabo acciones de supervisión conjunta entre las autoridades competentes de diferentes Estados miembros en determinadas circunstancias.
• Cuando una entidad está establecida en varios Estados miembros, las autoridades competentes de esos Estados deben cooperar, prestar asistencia mutua y pueden realizar acciones de supervisión conjuntas.
• Esta disposición tiene como objetivo garantizar una aplicación coherente de los requisitos de la Directiva para las entidades que operan a nivel transfronterizo.

Directiva NIS2: Otros mecanismos de cooperación

• Además de los mecanismos específicos descritos anteriormente, la Directiva NIS2 fomenta una cooperación más amplia entre los Estados miembros en materia de ciberseguridad.
• La Directiva promueve el intercambio de mejores prácticas, el desarrollo de programas conjuntos de formación y ejercicios, y la creación de acuerdos bilaterales o multilaterales para fortalecer la cooperación en ciberseguridad.

La Directiva NIS2 establece un marco integral para abordar los incidentes de ciberseguridad transfronterizos y promover la cooperación entre los Estados miembros. Al reforzar los requisitos de notificación, establecer mecanismos de cooperación dedicados y facilitar la asistencia mutua, la Directiva pretende mejorar la capacidad colectiva de la UE para prevenir, detectar y responder a las amenazas informáticas que superan las fronteras nacionales. Para profundizar en el marco normativo de referencia, está disponible el documento oficial de la Directiva NIS2; para quienes deseen entender el origen de este sistema, es útil comenzar por cuál es el objetivo principal de la Directiva NIS2. Las organizaciones italianas que aún deban verificar su posición pueden consultar las indicaciones sobre ACN y la lista de sujetos NIS2.

Preguntas frecuentes sobre la gestión de incidentes transfronterizos NIS2

• ¿Qué debe incluir la notificación de un incidente con impacto transfronterizo?
• Según el Artículo 23 de la Directiva NIS2, la notificación debe contener información específica sobre cualquier impacto transfronterizo del incidente. Estos datos sirven al CSIRT o a la autoridad competente para evaluar si activar mecanismos de cooperación con otros Estados miembros.
• ¿Quién es el Punto de Contacto Único (SPOC) y cuál es su función?
• Cada Estado miembro debe designar un SPOC, que actúa como punto de enlace central para la cooperación transfronteriza en materia de ciberseguridad. El SPOC coordina la comunicación entre las autoridades competentes, los CSIRT y otros organismos relevantes, tanto dentro de la UE como con terceros países.
• ¿Qué hace EU-CyCLONe y cuándo se activa?
• EU-CyCLONe (Red de Organización de Enlace para Crisis Cibernéticas Europeas) apoya la gestión coordinada de incidentes y crisis de ciberseguridad a gran escala a nivel operativo. Se activa en escenarios de mayor envergadura, reuniendo a las autoridades de gestión de crisis informáticas de los Estados miembros para facilitar el intercambio de información y coordinar las respuestas.

[Callforaction-NIS2-Footer]