Directivas NIS2

Directiva NIS2

Uno de los principales objetivos de la Directiva NIS2 es garantizar un nivel elevado de ciberseguridad de las redes y sistemas de información en aquellos sectores considerados críticos, tratando de que exista homogeneidad en toda la Unión Europea. La Directiva NIS2 amplía el catálogo de sectores afectados por la normativa, entre los que se encuentran algunos como la energía, el transporte, la banca, los servicios TIC, el sector sanitario, la administración pública, el sector aeroespacial, de alimentación, etc.

Para alcanzar los objetivos establecidos en la Directiva NIS 2, se establecen obligaciones tanto para el Estado, como para las entidades. A nivel Estado, la principal obligación es la creación de una estrategia nacional de ciberseguridad, que debe estar integrada por una evaluación de riesgos de ciberseguridad, la creación de un marco nacional de gestión de crisis de ciberseguridad, la cooperación entre los CSIRT nacionales dentro de la UE, etc. A nivel de entidades obligadas, las principales obligaciones de la Directiva NIS2 son:

• Órganos de dirección: deben aprobar y supervisar la implantación de medidas derivadas de gestión de riesgos de ciberseguridad. Para ello, los integrantes de los órganos de dirección deber estar formados en la materia, para de poder tomar decisiones adecuadas.
• Gestión de riesgos e implantación de medidas: la organización debe contar con un marco de gobernanza adecuado para la gestión de los riesgos de ciberseguridad, y debe implantar las medidas técnicas, organizativas y operativas necesarias.
• Formación: todos los integrantes de la organización deben estar formados en materia de ciberseguridad, con el objetivo de minimizar los riesgos.
• Gestión de incidentes: la organización debe contar con los procedimientos necesarios para gestionar adecuadamente los incidentes de seguridad que puedan suceder, así como contar con mecanismos de comunicación a las partes interesadas, tales como CSIRT nacionales e interesados afectados por el incidente cuando concurran determinadas circunstancias.

La Directiva NIS2 no indica el marco de controles específico que las empresas deben implantar. Por este motivo, para dar cumplimiento a estos requisitos, desde Secure&IT nos basamos en estándares internacionales, como la Norma ISO27001:2022, o legislación nacional, como el Esquema Nacional de Seguridad (ENS). Estas normas nos permiten contar con el marco organizativo y de control más adecuado.