La Directiva NIS2 establece requisitos específicos para los Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRT) con el fin de garantizar la alta disponibilidad de sus canales de comunicación. Estos requisitos se centran en la redundancia, la diversificación y la comunicación clara con las partes interesadas.
De acuerdo con el Artículo 11, Párrafo 1(a) de la Directiva NIS2, los CSIRT deben:
- Garantizar un alto nivel de disponibilidad de sus canales de comunicación: Esto subraya el papel crucial de una comunicación fiable en la respuesta a incidentes.
- Evitar puntos únicos de fallo: Los CSIRT deben implementar sistemas y procedimientos redundantes para evitar que un único punto de fallo interrumpa la comunicación. Esto podría incluir el uso de múltiples canales de comunicación, sistemas de respaldo e infraestructuras diversificadas.
- Mantener diversos medios para ser contactados y para contactar a otros en cualquier momento: Los CSIRT deben ofrecer diferentes formas que permitan a las entidades informar de incidentes, solicitar asistencia y recibir actualizaciones. Esto podría incluir líneas telefónicas, direcciones de correo electrónico, portales web y plataformas de comunicación seguras dedicadas.
- Indicar claramente y publicitar los canales de comunicación: Los CSIRT deben proporcionar información clara y accesible sobre sus canales de comunicación a su base de usuarios y socios. Esta transparencia asegura que las entidades sepan cómo contactar al CSIRT en caso de incidente. La publicación podría facilitarse a través de sitios web, campañas de sensibilización pública y foros de participación de las partes interesadas.
Estos requisitos ponen de relieve la importancia de una infraestructura de comunicación robusta y resiliente para una respuesta eficaz a los incidentes. Al implementar sistemas redundantes, canales de comunicación diversificados y prácticas de comunicación transparentes, los CSIRT pueden garantizar que son alcanzables y que pueden coordinar eficazmente las respuestas incluso durante un incidente grave de ciberseguridad. Para las organizaciones que deben verificar su posición respecto a estas obligaciones, un camino estructurado de adecuación a la NIS2 ayuda a mapear los requisitos aplicables y a definir las acciones concretas que se deben emprender. Se pueden encontrar más detalles sobre las obligaciones de designación ante los CSIRT en el artículo sobre la designación del referente CSIRT para los sujetos NIS y en el relativo a la distinción entre punto de contacto y referente CSIRT en la Determinación ACN n. 333017/2025.
[Callforaction-NIS2-Footer]