La normativa europea sobre ciberseguridad
R
- 2024-05-29
4 min
La Directiva NIS2 es la pieza fundamental de la legislación europea en el ámbito de la ciberseguridad. Sus medidas pretenden garantizar la seguridad de las redes y sistemas de información en el conjunto del territorio de la UE, algo esencial en tiempos de digitalización y con los ‘ciberdelitos’ en auge, tanto en grandes empresas como en pymes.
La Directiva NIS2 se publicó a finales de 2022 y establece la obligación para todos los Estados miembros de adoptar una Estrategia Nacional de Seguridad. Serán ellos quienes decidan cómo llevar a la práctica las normas y objetivos de la NIS2. Los diferentes países comparten un Grupo de Cooperación internacional que facilita la colaboración y el intercambio de información y una red de equipos europea pensada para dar respuesta a incidentes de seguridad informáticos (red CSIRT).
Con todo ello se está trabajando y avanzando en la legislación sobre ciberseguridad en cada territorio. Según lo acordado, las principales medidas ya deberían estar aplicándose en octubre de 2024.
A quién va dirigida la Directiva NIS2
Esta directiva se dirige, principalmente, a las empresas consideradas como esenciales o importantes. Son definidas por cada país, aunque la normativa europea ya apunta y define de manera general qué se consideran servicios esenciales, proveedores de servicios digitales, además de sectores, subsectores e infraestructuras estratégicas y críticas.
Por ejemplo, un servicio esencial es aquel que resulta necesario para el mantenimiento de las funciones sociales básicas, la salud, la seguridad, el bienestar social y económico de los ciudadanos o el eficaz funcionamiento de las administraciones públicas. Y para la provisión de esos servicios esenciales se requieren operadores que hagan uso de infraestructuras y/o redes que se entienden como críticas.
Por otro lado, varios sectores figuran en la lista que recoge el ámbito de aplicación de la NIS2: energía, transporte, banca, mercados financieros, sanidad, suministro de agua e infraestructuras digitales.
Cómo afecta a las pymes
Aunque no sean catalogadas como empresas esenciales, las pymes también deberían adoptar varias medidas en materia de ciberseguridad y, en particular, determinadas prácticas de ‘ciberhigiene’:
- Seguir los principios de “confianza cero”.
- Realizar actualizaciones de software.
- Configurar de manera segura los dispositivos.
- Segmentar la red.
- Implantar la gestión de identidades y acceso.
- Concienciar a los/as usuarios/as y organizar formaciones para su personal.
- Sensibilizar sobre las ‘ciberamenazas’, phishing o técnicas de ingeniería social
SCUDO y la NIS2
¿Sabías que todas estas medidas a las que se refiere la Directiva NIS2 están cubiertas con SCUDO, la ciberseguridad integral de R empresas para las pymes?
Scudo permite a las pymes contar con una solución de seguridad digital integral muy completa y con las prestaciones más avanzadas.
Se trata de una herramienta pensada y orientada especialmente a pymes y negocios, basada en herramientas tecnológicas punteras, buenas prácticas y mediante la que siempre cuentas con el respaldo continuo de un equipo de expertos.
Principales medidas
Una vez definido a quién y cómo aplica, es hora de llevar a la práctica las medidas que pone sobre la mesa la Directiva NIS2. Estas acciones tendrán en cuenta todos aquellos peligros que amenacen los sistemas de redes e información y su entorno físico. De manera general, se establecen unos mínimos necesarios, relativos a los siguientes aspectos:
- Políticas de seguridad de sistemas de información y análisis de riesgos.
- Seguridad en la adquisición, desarrollo y mantenimiento de redes e información.
- Gestión de incidentes.
- Continuidad de las actividades (incluye, por ejemplo, la gestión de copias de seguridad).
- Seguridad de la cadena de suministro, teniendo en cuenta también a proveedores o prestadores de servicios directos.
- Prácticas básicas de ‘ciberhigiene’ como los principios de “confianza cero”, actualizaciones de software, configuración de dispositivos, segmentación de la red, gestión de la identidad o acceso a la concienciación de usuarios/as, con especial atención a los sistemas de aprendizaje automático y a las soluciones basadas en Inteligencia Artificial.
- Formación en ciberseguridad.
- Políticas y procedimientos relativos a la utilización de criptografía y cifrado.
- Seguridad de recursos humanos y activos.
- Soluciones de autenticación multifactorial o continua, comunicaciones de voz, vídeo y texto seguras.
Además, la normativa introduce conceptos como el Indicador de peligrosidad, que diferencia entre crítico, muy alto, alto, medio y bajo y determina la potencial amenaza que supondría la materialización de un incidente en los sistemas de información o comunicación del ente afectado, y el Indicador de Impacto de un ‘ciberincidente’, evaluando sus consecuencias en actividades, activos o individuos.
Novedades de la nueva directiva
La Directiva NIS2 sustituye a la primera Directiva NIS1 (publicada en 2016) y va un paso más allá en cuanto al refuerzo de requisitos de seguridad y la manera de abordarla en las cadenas de suministro. Al mismo tiempo, simplifica las obligaciones de notificación de incidentes e introduce normas, medidas de supervisión y requerimientos más estrictos y sanciones armonizadas en toda la UE.
También amplía el alcance cubierto por NIS1, al obligar efectivamente a más entidades y sectores a tomar medidas. Ahora incluye a administraciones públicas, sector espacial o subsector del hidrógeno, además de entidades importantes y cadenas de suministro.
El objetivo es aumentar el nivel de ciberseguridad en Europa a largo plazo.
En concreto, la Directiva NIS2 identifica varios objetivos:
- Aumentar el nivel de ‘ciberresiliencia’ de todas las entidades públicas y privadas que cumplen funciones importantes para la economía y la sociedad en la Unión Europea.
- Reducir las incoherencias en materia de resiliencia en los sectores ya cubiertos por la Directiva NIS1.
- Mejorar el nivel de conocimiento conjunto de la situación y la capacidad colectiva para prepararse y responder a los ataques.
Con esta Directiva NIS2, Europa quiere hacer frente a los ‘ciberdelitos’ y las amenazas cibernéticas, y establecer medidas conjuntas que ayuden a las empresas y al conjunto de la sociedad a cuidar la ciberseguridad.
Si quieres saber más sobre nuestras soluciones tecnológicas para empresas suscríbete a nuestro boletín o contacta con tu asesor/a personal o con nuestro equipo del área comercial empresas a través del siguiente formulario. Y para estar al día de las últimas noticias síguenos en LinkedIn.
Visualizaciones: 219
MENÚ
3 min 
