NIS2: claves sobre la normativa europea en ciberseguridad

NIS2, ¿qué es?. En la actualidad, la era digital ha convertido la ciberseguridad en una preocupación inevitable. Las organizaciones, independientemente del tamaño que tengan, se enfrentan a todo tipo de amenazas cibernéticas en constante evolución. Frente a esta situación, el cumplimiento de la normativa ha emergido como un pilar fundamental.

La Unión Europea ha dado un paso adelante en este sentido gracias a la Directiva NIS2 (Directiva sobre la seguridad de las redes y sistemas de información). ¿El objetivo?. Reforzar la capacidad de resiliencia y de respuesta ante incidentes digitales de las entidades públicas y privadas. Desde OnRetrieval Group te contamos todo lo que necesitas saber sobre esta normativa en ciberseguridad clave en tu empresa. 

¿Qué es la directiva NIS2? 

La Directiva NIS1 (Directiva (UE) 2016/1148) fue la primera normativa comunitaria que abordó de forma integral la seguridad de las redes y sistemas de información. Aprobada en 2016, su objetivo era garantizar un nivel común de ciberseguridad en toda la Unión Europea.

Sin embargo, con el avance de la digitalización y el consiguiente aumento de los delitos digitales, la NIS1 necesitaba actualizarse. Como consecuencia, en diciembre de 2022 se publicaba la Directiva (UE) 2022/2555, conocida como NIS2. De hecho, la NIS2, constituyó un gran avance en los requisitos exigidos por la Unión Europea en materia de ciberseguridad.

Pero, ¿qué es exactamente la directiva NIS2? Se trata de una ley de alcance europeo que establece una serie de obligaciones en materia de ciberseguridad. En ese sentido, cumple con el fin de impulsar un nivel común de ciberseguridad adecuado. 

Algunas de las obligaciones claves que introduce son las siguientes: 

• Gestión proactiva de riesgos: Las empresas deben adoptar medidas preventivas para protegerse contra ciberamenazas, incluyendo la gestión continua de riesgos.
• Notificación de incidentes: Las organizaciones deben reportar cualquier incidente de ciberseguridad que pueda afectar significativamente a sus operaciones en un plazo máximo de 24 horas.
• Medidas de ciberseguridad: Se exige la implementación de controles técnicos y organizativos para mitigar los riesgos, asegurando la protección de datos e infraestructura crítica.
• Formación obligatoria: Una de las principales obligaciones impuestas por la NIS2 es la formación continua del personal en ciberseguridad. Las empresas deben asegurarse de que sus empleados estén capacitados para identificar y responder ante posibles amenazas. 

NIS2 y la notificación de incidentes

Como expertos en ciberseguridad, desde OnRetrieval Group sabemos que la ciberseguridad debe ser la clave sobre la que se sustenta toda la estructura digital y tecnológica de la empresa. 

Por ello, cumplir con la normativa en ciberseguridad NIS2 puede ofrecer a tu empresa importantes ventajas. Estas son algunas de las más importantes: 

• Aumento de la ciberseguridad: Siguiendo las directrices del NIS2, las organizaciones pueden mejorar su capacidad de resistir y gestionar los ciberataques. Además, las organizaciones que dan prioridad a la ciberseguridad, protegen sus propias operaciones, También, contribuyen a un entorno digital más seguro para todos. 
• Resiliencia operativa: Con medidas preventivas y planes de respuesta ante incidentes, las empresas serán capaces de seguir operando sin interrupciones en caso de un ciberataque. Igualmente, la normativa contribuye a una mejor preparación contra los ciberataques. Esto se logra, al exigir a las organizaciones que dispongan de planes sólidos de respuesta a incidentes. De hecho, esto garantiza que las empresas puedan actuar con rapidez y eficacia. 
• Reputación y confianza por parte de los clientes: Un ciberataque exitoso puede dañar seriamente la imagen de cualquier empresa. Sin embargo, una buena gestión de la seguridad fortalece la confianza de clientes y socios. Así, las empresas pueden reforzar la confianza de sus clientes. NIS2 ayuda a las organizaciones a demostrar su capacidad para gestionar y mitigar las ciberamenazas, lo que a su vez refuerza las relaciones con los clientes.

¿A qué empresas afecta esta normativa?

¿Quieres saber si tu empresa tiene que cumplir con la normativa NIS2? Hay tres criterios generales que afectan a una empresa para cumplir o no con la misma. 

• Ubicación: Una empresa que ofrece sus servicios y desarrolle su actividad dentro de cualquier país de la Unión Europea deberá estar certificada en esta directiva. 
• Tamaño: Esta normativa es de obligado cumplimiento para medianas y grandes empresas, tanto públicas como privadas. Además, que cuenten con 50 o más trabajadores o tengan una facturación anual superior a los 10 millones de euros. 
• Sector: La empresa deberá cumplir con esta norma siempre y cuando pertenezca a uno de los 18 sectores afectados, segmentados según la criticidad de su actividad:
  • Sectores de alta Criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sector sanitario, agua potable, aguas residuales, infraestructura digital, gestión de servicios de TIC y administración pública.
  • Otros sectores críticos: servicios postales y de mensajería, gestión de residuos, fabricación, producción y distribución de sustancias y mezclas químicas. Igualmente, otros servicios como: producción, transformación y distribución de alimentos, fabricación, proveedores de servicios digitales e investigación.

Caso real de ataques cibernéticos y sus consecuencias para las empresas

Que la ciberseguridad está cobrando cada vez más importancia es un hecho. La amenaza es tal que, de hecho, el 44% de las pymes españolas sufrió al menos un ciberataque durante 2021. De hecho, esta información se concluye según el sexto Informe de Ciberpreparación 2022 elaborado por Hiscox.  Y esos casos no dejan de crecer. 

A finales de 2023, por ejemplo, la Real Sociedad Club de Fútbol sufrió un importante ciberataque, que afectó a datos identificativos y de contacto de un amplio colectivo que afecta a más de 40.000 personas, personas entre abonados, accionistas, RS Fan y RS Laguna. Entre esos datos se incluyen nombres, apellidos, números de DNI, direcciones de correo electrónico, direcciones de correo postal y números de teléfono.  Además, en el caso concreto de los abonados, también se incluyen los números de cuenta bancaria en los que se realizan los cargos de los correspondientes abonos. Este hecho obligó al club a dar explicaciones a sus seguidores.

Otro caso real de ataque cibernético

Como este caso, muchos más. Otro buen ejemplo es lo ocurrido con la compañía aérea Air Europa, que sufrió un ciberataque en el que las tarjetas de sus clientes quedaron expuestas, siendo esto un gran riesgo de seguridad. Tal y como publicó El Español, la empresa tuvo que lanzar un comunicado para informar que los hackers se habían hecho con números de varias tarjetas de crédito, así como de sus fechas de caducidad y el CVV. Finalmente, tuvieron que solicitar a sus clientes que cancelaran las mismas. 

Asesoría de especialistas en leyes sobre ciberseguridad

Si quieres cumplir con la normativa, evitar sanciones y no dañar la reputación de tu empresa, en OnRetrieval Group te ofrecemos una solución experta y personalizada.  Nuestros servicios de seguridad gestionada integrales monitorizan y protegen cualquier elemento de tu infraestructura de seguridad desde nuestro Centro de Operaciones de Seguridad (SOC).

Desde el diagnóstico inicial hasta la implementación de políticas, protocolos y sistemas de gestión, garantizamos la protección de los datos de tu empresa.

Somos la empresa líder y certificada en ciberseguridad, ciberinteligencia, informática forense y recuperación de datos.

Con más de dos décadas de experiencia, nuestros consultores expertos han gestionado con éxito las situaciones más críticas en infraestructuras de seguridad. No solo resolvemos incidentes, sino que fortalecemos tu organización frente a futuras amenazas.

Garantizamos el pleno cumplimiento del marco legal vigente, adaptando tu empresa a las normativas exigidas para tu total tranquilidad. Confía en la experiencia. Habla con un experto. Contáctanos.