La Directiva NIS2 está destinada a influir significativamente en el futuro de la ciberseguridad en la UE. A continuación, se detalla cómo abordará las principales carencias de la anterior Directiva NIS, además de introducir una serie de nuevas medidas para reforzar la resiliencia informática. Para una referencia directa, también está disponible el documento oficial de la Directiva NIS2.

[Callforaction-NIS2]

El impacto de la Directiva NIS2

• Ámbito más amplio y estándares más elevados: La Directiva NIS2 amplía el ámbito de aplicación de las normativas sobre ciberseguridad, incluyendo un mayor número de sectores y entidades. Además, elimina la distinción entre operadores de servicios esenciales y proveedores de servicios digitales. Esto significa que más organizaciones estarán sujetas a los requisitos de ciberseguridad, lo que conducirá a un nivel general de seguridad informática más elevado en toda la UE. La directiva introduce también requisitos de seguridad más rigurosos, adoptando un enfoque de gestión de riesgos con una lista mínima de elementos de seguridad básicos que todas las entidades afectadas deben implementar. Esto contribuirá a armonizar las prácticas de ciberseguridad en la UE y a garantizar que las organizaciones adopten un enfoque más proactivo en la gestión de los riesgos informáticos.
  
• Notificación armonizada de incidentes: La Directiva NIS2 introduce un proceso de notificación de incidentes más detallado y armonizado, con plazos y requisitos claros para el contenido de las notificaciones. Esto contribuirá a mejorar la rapidez y la eficacia en la respuesta a los incidentes. Las autoridades nacionales deberán adoptar una visión más clara del panorama de las amenazas informáticas.
  
• Seguridad de la cadena de suministro: Reconociendo la importancia creciente de la seguridad de la cadena de suministro, la Directiva NIS2 incluye disposiciones específicas para abordar los riesgos informáticos en las cadenas de suministro y en las relaciones con los proveedores. Esto incluye requisitos para que las empresas individuales gestionen los riesgos de ciberseguridad en sus cadenas de suministro y para que los Estados miembros realicen evaluaciones de riesgo coordinadas de las cadenas de suministro críticas a nivel de la UE. Estas medidas contribuirán a mitigar el riesgo de ataques informáticos en cadena que podrían comprometer los servicios críticos.
  
• Supervisión y aplicación más rigurosas: La Directiva NIS2 introduce medidas de supervisión más estrictas para las autoridades nacionales. Entre ellas, una lista mínima de herramientas de supervisión y una diferenciación entre regímenes de supervisión para entidades esenciales e importantes. Esto garantizará que las autoridades nacionales dispongan de las herramientas necesarias para vigilar y hacer cumplir eficazmente la directiva. La directiva establece también una lista mínima de sanciones administrativas por el incumplimiento de las obligaciones de ciberseguridad. Se incluyen multas que pueden alcanzar hasta 10 millones de euros o el 2% del volumen de negocios anual global para las entidades esenciales. Estas medidas de aplicación más rigurosas tienen como objetivo disuadir a las organizaciones y animarlas a tomarse en serio la ciberseguridad.
  
• Mejora de la cooperación y el intercambio de información: La Directiva NIS2 pone un fuerte énfasis en la cooperación y el intercambio de información entre los Estados miembros y las instituciones de la UE. Esto incluye mecanismos para compartir información sobre amenazas, vulnerabilidades e incidentes informáticos, así como acciones de supervisión conjuntas y revisiones entre pares. La directiva también establece EU-CyCLONe, una red de organizaciones nacionales de enlace para la gestión de crisis informáticas que apoyará la gestión coordinada de los incidentes informáticos a gran escala y de las crisis. Estas medidas contribuirán a mejorar la postura colectiva de ciberseguridad de la UE y a dificultar que los atacantes exploten las vulnerabilidades a nivel transfronterizo.

Los desafíos de la Directiva

A pesar de que la Directiva NIS2 representa un paso adelante significativo para la ciberseguridad en la UE, permanecen algunos desafíos relacionados con su implementación y aplicación. Las fuentes y las discusiones previas destacan diversas cuestiones críticas, entre ellas:

• Determinar la equivalencia entre la Directiva NIS2 y las normativas sectoriales específicas de la UE.
• Identificar todas las entidades que entran en el ámbito de aplicación de la directiva.
• Garantizar que las entidades dispongan de los recursos y las competencias necesarias para implementar medidas de seguridad informática sólidas.
• Superar la reticencia en la aplicación de las sanciones por infracciones de seguridad.
• Asegurar una aplicación coherente de la directiva entre los Estados miembros.
• Establecer mecanismos eficaces para la cooperación y el intercambio de información.
• Mantenerse al día con un panorama de amenazas en continua evolución.

Abordar estos desafíos será fundamental para garantizar que la Directiva NIS2 alcance sus ambiciosos objetivos y contribuya a crear un entorno digital más seguro y resiliente para los ciudadanos y las empresas de la UE. Para las organizaciones que aún deben iniciar o consolidar su proceso de adaptación, un soporte estructurado para la conformidad NIS2 puede marcar la diferencia entre un proceso fragmentado y un plan de implementación realmente eficaz. También es útil verificar quién figura en la lista ACN de sujetos NIS2 y los plazos operativos para entender si su organización está involucrada y cuándo.

[Callforaction-NIS2-Footer]