Preparando Tu Empresa para la Implementación y Cumplimiento de la Directiva NIS 2

Preparar tu empresa para la Directiva NIS 2 implica un enfoque integral hacia el cumplimiento de la ciberseguridad, centrándose en áreas clave como la administración de riesgos y los planes de respuesta a incidentes. A medida que la Unión Europea endurece las regulaciones, las empresas deben priorizar la alineación de sus marcos de seguridad informática con los requisitos actualizados de la Directiva de Seguridad de Redes e Información. Esto incluye comprender las obligaciones de reporte a los Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRTs) y adherirse a los estándares de cumplimiento que la Oficina Federal de Seguridad de la Información (BSI) pueda exigir.

Las organizaciones también deben estar al tanto de las posibles sanciones y multas asociadas con el incumplimiento. Al implementar estrategias de ciberseguridad robustas, las empresas pueden proteger infraestructuras críticas de manera efectiva. Priorizar estos pasos asegurará que tu negocio no solo cumpla con las normativas, sino que también sea resiliente frente a las amenazas cibernéticas emergentes en el entorno digital en rápida evolución.

Resumen de NIS 2: Lo que las Empresas Necesitan Saber

• La Directiva NIS 2, una medida integral de ciberseguridad de la Unión Europea, tiene como objetivo elevar los estándares de seguridad para infraestructuras críticas y empresas importantes. Desde su entrada en vigor el 16 de enero de 2023, la Directiva NIS 2 establece nuevos puntos de referencia en ciberseguridad dentro de la UE. Con una fecha límite del 17 de octubre de 2024 para su implementación en la legislación nacional, las organizaciones afectadas enfrentan un desafío significativo.
• Esta revisión aborda en detalle los requisitos de la Directiva NIS 2 y ofrece a las empresas una hoja de ruta clara para implementar las precauciones de seguridad necesarias de manera oportuna. Las empresas deben ahora involucrarse activamente con los requisitos para evitar posibles sanciones por incumplimiento de la directiva.
• Conoce todo sobre las empresas afectadas, las acciones recomendadas y los plazos, así como las consecuencias del incumplimiento. Nuestro análisis integral te proporciona la información crucial para preparar tu empresa para los requisitos de la Directiva NIS 2 y fortalecer la resiliencia cibernética en un mundo cada vez más digitalizado.

Para las empresas, es esencial seguir directrices de seguridad más estrictas, ya que una brecha de seguridad podría tener consecuencias graves, hasta la parálisis de estados nacionales enteros. La Directiva NIS 2 busca estandarizar y especificar estas regulaciones de seguridad para mejorar la resiliencia y capacidad de respuesta de entidades tanto públicas como privadas dentro de la UE. El objetivo general es elevar el nivel general de ciberseguridad en toda la Unión Europea. Esta iniciativa se basa en la Directiva de Seguridad de Redes e Información (NIS-1) implementada en 2016 y se esfuerza por continuar y profundizar sus objetivos.

¿Es Necesaria una Revisión de la Directiva NIS 1?

La Directiva original de la UE sobre Seguridad de Redes e Información (NIS) mostró debilidades significativas en la práctica:

• Regulaciones inconsistentes a través de las fronteras
• Falta de monitoreo de la implementación
• Requisitos vagos para divulgar riesgos cibernéticos
• Nivel insuficiente de seguridad
• Ausencia de una estrategia común para situaciones de crisis

La introducción de la Directiva NIS 2 tiene como objetivo abordar estos problemas. Define con precisión qué organizaciones se consideran infraestructuras críticas y a qué sector pertenecen. Además, NIS 2 amplía el círculo de empresas afectadas, introduce nuevas obligaciones, prevé sanciones más estrictas y fortalece el enfoque en la administración de riesgos.

Las innovaciones clave incluyen directrices claras sobre procedimientos, contenido y plazos para reportar incidentes de seguridad, así como su implementación, monitoreo y aplicación en la legislación nacional. Además, NIS 2 promueve la cooperación entre entidades privadas y públicas en caso de crisis mediante la formación de equipos nacionales de respuesta a emergencias (CSIRTs, Equipo de Respuesta a Incidentes de Seguridad Informática) y el establecimiento de planes de respuesta a incidentes coordinados.

El texto completo de la Directiva NIS 2 y sus implementaciones se puede encontrar en el Diario Oficial de la Unión Europea.

¿Qué Empresas Deben Cumplir con la Directiva NIS 2?

La Directiva NIS 2 afecta a una amplia gama de empresas que son esenciales para mantener actividades sociales y económicas importantes. Aquí hay un breve resumen de quiénes se ven afectados por las nuevas regulaciones de NIS 2:

• Operadores de Servicios Esenciales: Este grupo debe determinar en qué medida las instalaciones individuales están sujetas a las regulaciones de la directiva. Lo hacen en base a criterios específicos para identificar la relevancia de sus instalaciones.
• Instalaciones Centrales e Importantes: Estas se identifican principalmente por el tamaño de la empresa, afectando tanto a empresas medianas como grandes. Las empresas medianas tienen dos caminos de calificación: 1. empresas con 50 a 249 empleados y una facturación de menos de 50 millones de EUR o un balance general de menos de 43 millones de EUR; o 2. empresas con menos de 50 empleados, pero una facturación de entre 10 y 50 millones de EUR y un balance general entre 10 y 43 millones de EUR.
• Grandes empresas: Organizaciones que cumplen con uno de los siguientes criterios: 1. al menos 250 empleados o; 2. una facturación de al menos 50 millones de EUR y un balance general de al menos 43 millones de EUR.

Las Directrices de NIS 2 También se Aplican a Pequeñas Empresas

Incluso si tu empresa tiene menos de 50 empleados y menos de 10 millones de euros en facturación anual, no te dejes llevar por una falsa sensación de seguridad demasiado pronto. Las pequeñas empresas aún pueden verse afectadas si caen en los criterios para instalaciones (particularmente) críticas mencionadas anteriormente.

Si no estás seguro de si tu empresa pertenece a las instalaciones críticas bajo NIS 2, no esperes a recibir correo: cada empresa afectada debe determinar esto por su propia iniciativa.

Si tu empresa, por ejemplo, es un proveedor de servicios o suministros para una empresa particularmente crítica, tu empresa se clasifica automáticamente como crítica y también debe cumplir con estrictas precauciones de seguridad.

Instalaciones Particularmente Críticas (“Sectores de Alta Criticidad” Anexo I):

• Energía: Electricidad, calefacción y refrigeración distrital, petróleo, gas natural, hidrógeno
• Transporte: Transporte aéreo, transporte ferroviario, transporte marítimo, transporte por carretera
• Banca
• Infraestructuras del mercado financiero
• Atención médica
• Agua potable
• Aguas residuales
• Infraestructura digital
• Gestión de servicios TIC (servicios de Tecnología de la Información y Comunicación, B2B)
• Administración pública
• Espacio

Otras Instalaciones Críticas (“Otros Sectores Críticos” Anexo II):

• Servicios postales y de mensajería
• Gestión de residuos
• Producción, fabricación y comercio de sustancias químicas
• Producción, procesamiento y distribución de alimentos
• Sector manufacturero/Fabricación de bienes: Fabricación de dispositivos médicos y diagnósticos in vitro / Fabricación de productos informáticos, electrónicos y ópticos / Fabricación de equipos eléctricos / Ingeniería mecánica / Fabricación de vehículos de motor y partes de vehículos de motor / Otra construcción de vehículos
• Proveedores de servicios digitales
• Investigación

Acta de Implementación de NIS 2 y las Obligaciones Corporativas Asociadas

Desde septiembre de 2023, el tercer borrador del Acta para la Implementación de la Directiva de la UE NIS2 y la Promoción de la Ciberseguridad, conocido como Acta de Implementación de NIS2 (NIS2UmsuCG), ha estado en discusión. Este acta obliga a las empresas a tratar proactivamente con incidentes de seguridad en el campo de la tecnología de la información. Las organizaciones afectadas deben proporcionar a la Oficina Federal de Seguridad de la Información (BSI) informes completos en caso de un incidente de seguridad. Los incidentes de seguridad se definen como eventos que comprometen la integridad de los datos almacenados, transmitidos o procesados o afectan la disponibilidad o funcionalidad de los servicios correspondientes proporcionados o accesibles a través de sistemas, componentes y procesos de TI.

Este resumen destaca la importancia de cumplir con el Acta de Implementación de NIS2 y las obligaciones asociadas para que las empresas fortalezcan su infraestructura de ciberseguridad y respondan efectivamente a los incidentes de seguridad.

Específicamente, aborda la afectación de

• Disponibilidad
• Autenticidad
• Integridad o
• Confidencialidad de los datos o servicios afectados

Asegurando la Seguridad de TI y el Cumplimiento de NIS 2 con Obligaciones de Reporte

Las empresas que operan sistemas relevantes deben implementar medidas técnicas y organizativas efectivas (TOM) para asegurar su seguridad de TI. Se espera que se tomen las siguientes medidas básicas:

• Análisis de riesgos y seguridad para sistemas de TI
• Manejo de incidentes de seguridad
• Mantenimiento y restauración así como gestión de copias de seguridad
• Seguridad de la cadena de suministro así como entre instalaciones y proveedores de servicios
• Seguridad en desarrollo, adquisición y mantenimiento así como gestión de vulnerabilidades
• Evaluación de la efectividad de la seguridad de TI y la correspondiente administración de riesgos
• Capacitación en seguridad de TI e higiene cibernética
• Cifrado y criptografía
• Seguridad del personal, control de acceso y gestión de instalaciones
• Autenticación multifactor
• Comunicación segura
• Gestión de crisis y comunicación de emergencia segura

Obligación de Reporte para Empresas

En caso de un incidente de seguridad, la empresa afectada está sujeta a una obligación de reporte intensificada. Hay tres pasos:

1. Dentro de las 24 horas de tener conocimiento de un incidente de seguridad, se debe presentar un informe preliminar al BSI.
2. Dentro de las 72 horas, debe seguir un informe completo con una evaluación inicial del incidente.
3. Dentro de un mes, debe seguir un informe final, detallando el incidente y la naturaleza de la amenaza e incluyendo efectos transfronterizos.

Comprendiendo los Riesgos del Incumplimiento: Sanciones y Multas de NIS 2

Para asegurar el cumplimiento de las estrictas regulaciones por parte de las organizaciones afectadas, se aplican obligaciones de reporte aumentadas y sanciones más estrictas en caso de incumplimiento. Resumen de las reglas de sanción:

• Las penalizaciones se castigan con un concepto escalonado hasta 20 millones de euros
• Se imponen sanciones tanto por culpa negligente como intencional
• Para instalaciones importantes, se puede imponer una multa máxima de 7 millones de euros o el 1.4 por ciento de la facturación anual global
• Para instalaciones particularmente críticas, las multas pueden llegar hasta 10 millones de euros o el 2 por ciento de la facturación anual global, lo que sea mayor
• No se hace distinción entre instalaciones particularmente importantes e infraestructuras críticas

Nota: Los directores generales y sus activos personales son responsables.

El proyecto de ley del Ministerio Federal del Interior propone que los directores generales y otros órganos ejecutivos de las empresas sean responsables con sus activos privados por cumplir con las medidas de administración de riesgos. La multa puede ser de hasta el 2 por ciento de la facturación anual global.

¿Cuándo Entra en Vigor la Directiva NIS 2?

La nueva Directiva 2022/2555 (NIS 2) ha sido efectiva a nivel de la UE desde 2023, pero los estados individuales deben implementar la directiva en la legislación nacional para el 17 de octubre de 2024; para entonces, las empresas también deben haber tomado medidas apropiadas.

Estrategias para Implementar el Cumplimiento de NIS 2 en tu Empresa

La implementación efectiva del cumplimiento de NIS 2 en tu empresa comienza con una evaluación exhaustiva de las medidas de ciberseguridad actuales e identificar brechas en relación con los requisitos de la nueva Directiva NIS 2. Las empresas deben priorizar el establecimiento de planes de respuesta a incidentes robustos para atender posibles amenazas a infraestructuras críticas, según las directrices de la Unión Europea. Aprovechar las ideas de la Oficina Federal de Seguridad de la Información (BSI) y consultar con los Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRTs) puede mejorar tu marco de seguridad de TI. Adherirse a las obligaciones de reporte obligatorias y fomentar una cultura de administración de riesgos proactiva son clave para evitar sanciones y multas. Considera integrar soluciones avanzadas como Kiteworks para agilizar los procesos de cumplimiento y proteger tus activos digitales. Al abordar activamente estas áreas, tu empresa puede lograr el cumplimiento de NIS 2 y proteger sus operaciones contra amenazas cibernéticas en evolución. Aquí hay algunas consideraciones adicionales para asegurarte de estar listo para NIS 2:

• Verifica si tu empresa está afectada por NIS 2 y se considera una entidad crítica
• Si tu empresa está afectada, informa a la dirección y determina quién es responsable de implementar las medidas correspondientes
• Planifica e implementa las medidas necesarias para asegurar la ciberseguridad y la administración de riesgos
• Crea un plan de emergencia para incidentes de seguridad que incluya continuidad del negocio, gestión de copias de seguridad, recuperación del sistema y gestión de crisis
• Establece un procedimiento de reporte y determina las partes responsables

Kiteworks Ayuda a las Organizaciones a Cumplir con los Requisitos de NIS 2

Cumplir con la Directiva NIS 2 es crucial para que las organizaciones aseguren la ciberseguridad y generen confianza. Una lista de verificación ayuda a los departamentos de TI a asegurar el cumplimiento definiendo el alcance de la directiva, evaluando riesgos, creando un Plan de Respuesta a Incidentes, asegurando monitoreo y mantenimiento continuos, capacitando a los empleados y manteniendo documentación y reporte. El cumplimiento de NIS 2 es una necesidad legal y una oportunidad para aumentar la resiliencia contra amenazas cibernéticas. Kiteworks apoya a las empresas con una plataforma que facilita el cumplimiento de las directrices de NIS 2 al proporcionar un enfoque de Confianza Cero para proteger y gestionar información sensible.

Para saber más sobre el cumplimiento seguro de los requisitos de NIS 2 con Kiteworks, programa una demostración personalizada hoy.