Directiva NIS2 España

La Unión Europea aprobó oficialmente la Directiva NIS2 en noviembre de 2022, y su publicación se realizó en el Diario Oficial de la UE el 27 de diciembre del mismo año. Esta normativa comenzó a estar vigente desde el 16 de enero de 2023, dando inicio al periodo de adaptación por parte de los países miembros. Cada Estado miembro, incluida España, debe incorporar esta directiva a su legislación nacional a más tardar el 17 de octubre de 2024, comenzando su aplicación efectiva a partir del día siguiente, el 18 de octubre de 2024.

NIS2 supone una evolución significativa respecto a la normativa anterior, ampliando su cobertura e introduciendo cambios clave, como la eliminación de la división entre operadores de servicios esenciales (OSE) y proveedores de servicios digitales (PSD). En el caso de España, la implementación de NIS1 ya había abarcado sectores adicionales, incluyendo áreas como la administración pública, la industria alimentaria y la química. Con la llegada de NIS2, se redefine y expande el concepto de entidad esencial, lo que hace indispensable que las organizaciones revisen cuidadosamente el nuevo marco normativo. Incluso aquellas que ya cumplían con NIS1 podrían verse sujetas a nuevas obligaciones y controles más exigentes.

La Directiva NIS2 tiene un alcance aplicable en toda la Unión Europea, lo que implica que las empresas multinacionales deben adaptarse a las normativas de ciberseguridad en cada uno de los países miembros en los que operan. A pesar de que cada nación es responsable de incorporar la directiva en su legislación, las entidades estarán bajo la jurisdicción principal del país donde se encuentren establecidas.

En el caso de proveedores de servicios como redes de comunicación, plataformas de computación en la nube o redes sociales, la jurisdicción se determinará por el Estado miembro en el que se ubique la sede principal de la empresa. Si la compañía opera en múltiples países, deberá cumplir con las regulaciones locales de cada uno de ellos, con las autoridades nacionales colaborando en la supervisión y el control.

Si una empresa no está establecida en la Unión Europea, pero presta servicios dentro de su territorio, deberá nombrar un representante en al menos uno de los Estados miembros donde tenga presencia. Este enfoque asegura que las empresas multinacionales sigan un marco regulador armonizado y coherente en cuanto a ciberseguridad en toda la UE.

Los responsables de la gestión a nivel directivo en las entidades consideradas esenciales e importantes tienen un rol crucial en la aprobación y supervisión de las políticas de gestión de riesgos relacionados con la ciberseguridad, tal como lo exige la Directiva NIS2. La falta de cumplimiento con estas responsabilidades puede resultar en sanciones severas, que incluyen multas, sanciones administrativas y restricciones temporales, conforme a la normativa nacional vigente. Entre las principales obligaciones de los órganos de dirección se incluyen:

Validar que las medidas adoptadas para la gestión de riesgos en ciberseguridad sean apropiadas y estén alineadas con las exigencias legales.
Monitorear la correcta implementación y cumplimiento de dichas medidas dentro de la entidad.
Invertir en la formación y actualización continua en ciberseguridad para desarrollar las competencias necesarias para identificar riesgos y evaluar la efectividad de las estrategias de seguridad.
Asegurar que se brinden programas de formación periódica a los empleados sobre temas de ciberseguridad.
Aceptar la responsabilidad por cualquier incumplimiento de las disposiciones establecidas por la normativa. .

Las organizaciones sujetas a la Directiva NIS2 deben cumplir con las medidas relativas a la gestión de riesgos en ciberseguridad y la notificación de incidentes. Para verificar este cumplimiento, las autoridades competentes podrán llevar a cabo auditorías regulares o específicas, tanto para entidades esenciales como para aquellas consideradas importantes, basándose en evaluaciones de riesgos o como respuesta a incidentes de seguridad.

El cumplimiento puede ser evidenciado a través de la adopción de estándares y directrices europeos o internacionales, como los establecidos en la serie ISO/IEC 27000, que abordan la gestión de riesgos cibernéticos y la seguridad física de las redes y sistemas de información. Además, corresponde a los órganos de dirección aprobar y supervisar las medidas implementadas para la gestión de estos riesgos.

Durante las auditorías o en respuesta a requerimientos regulatorios, las entidades deberán presentar documentación detallada que respalde sus políticas de ciberseguridad, registros de actividades realizadas y evidencias de la aplicación efectiva de dichas políticas. Esto incluye proporcionar pruebas documentadas de las políticas adoptadas, información sobre su supervisión y demostrar la implementación efectiva, garantizando así la transparencia y el cumplimiento con las normativas establecidas.