Directiva NIS2: Reforzar la ciberseguridad contra la ciberdelincuencia

En 2024, la ciberdelincuencia ha alcanzado un nivel sin precedentes, afectando a gobiernos e industrias de todo el mundo y amenazando la seguridad de datos e infraestructuras críticas. Según un informe de Cybersecurity Ventures, se espera que los costos de la ciberdelincuencia alcancen los 10,5 billones de dólares anuales para 2025, frente a los 3 billones de dólares en 2015{{Footnote.A74148}}.

Este aumento está impulsado por ciberataques cada vez más sofisticados, incidentes de ransomware y filtraciones de datos, y la frecuencia y la gravedad de los ataques aumentan cada año. El Informe de Riesgos Globales 2023{{Footnote.A74149}} del Foro Económico Mundial destaca que las amenazas cibernéticas se encuentran entre los principales riesgos globales, enfatizando la necesidad urgente de medidas sólidas de ciberseguridad.

Para combatir esta creciente amenaza, la Unión Europea ha introducido la Directiva NIS2, una actualización significativa de la Directiva NIS original (Network and Information Systems Directive o Directiva de Redes y Sistemas de Información) de 2016, con un mayor alcance que cubre infraestructuras más críticas y proveedores de servicios esenciales.

La Directiva NIS2 tiene como objetivo fortalecer la ciberseguridad de las infraestructuras críticas en toda la UE, garantizando una mayor resiliencia y una mayor protección contra las filtraciones de datos y las interrupciones causadas por los delicuentes.

El experto en seguridad David Clarke explica las diferencias clave entre NIS y NIS2

Alcance y cobertura: La Directiva NIS original se centró principalmente en los operadores de servicios esenciales y los proveedores de servicios digitales. NIS2 amplía su ámbito de aplicación para incluir entidades medianas y grandes de una gama más amplia de sectores, como la salud, el transporte, la energía, la banca y el gobierno. Esto significa que ahora se requiere que más organizaciones y entidades gubernamentales cumplan con estrictos estándares de ciberseguridad.

Requisitos de seguridad: NIS2 introduce requisitos de seguridad más detallados. Las organizaciones deben implementar medidas de gestión de riesgos, realizar evaluaciones de seguridad periódicas y adoptar estrategias de respuesta a incidentes. La directiva exige el uso de controles de encriptación y acceso para proteger los datos confidenciales.

Reporte de incidentes: La Directiva NIS original requería que las entidades informaran incidentes significativos sin demoras indebidas. NIS2 endurece este requisito, exigiendo que los incidentes se informen dentro de las 24 horas posteriores a la detección, lo que garantiza una respuesta más rápida a los ataques y las problemas asociados.

Supervisión y ejecución: NIS2 fortalece el papel de las autoridades nacionales en la supervisión y el cumplimiento. Las sanciones por incumplimiento también son más severas, con multas que pueden alcanzar hasta 10 millones de euros o el 2% de la facturación anual global de la empresa, lo que sea mayor.

Seguridad en la cadena de suministro: NIS2 enfatiza la importancia de asegurar la cadena de suministro crítica, requiriendo que las empresas y los gobiernos evalúen y gestionen los riesgos de ciberseguridad planteados por sus proveedores y prestadores de servicios.

¿Quién se verá afectado?

La ampliación del ámbito de aplicación de la NIS2 significa que se verán afectados un amplio abanico de sectores. Estos incluyen energía, transporte, banca, infraestructuras de mercados financieros, salud, suministro y distribución de agua potable, infraestructura digital, entidades gubernamentales y el sector aeroespacial. Las medianas y grandes empresas de estos sectores deben garantizar el cumplimiento de la nueva directiva a partir del 17 de octubre de 2024.

Posibles multas y sanciones

El incumplimiento de la Directiva NIS2 puede resultar en multas sustanciales. Las organizaciones que no cumplan con los estándares requeridos o no informen los incidentes con prontitud pueden enfrentar sanciones de hasta 10 millones de euros o el 2% de su facturación anual global. Estas estrictas sanciones resaltan la importancia de adherirse a la directiva para evitar daños financieros y de reputación.

¿No está en la UE?

Incluso aquellos que no tienen su sede en la UE se ven afectados por NIS2. Si su organización opera en, o con cualquier entidad de la UE – usted está sujeto a estas regulaciones – y cualquier sanción posterior por incumplimiento.