ENISA, la Agencia de la Unión Europea para la Ciberseguridad, observó un aumento significativo en la cantidad y variedad de ciberataques y sus consecuencias en los últimos meses de 2022 y los primeros de 2023, y entre 2021 y 2022 el 82 % de las violaciones de datos registradas tuvieron un componente humano (como el aprovechamiento de un error humano para obtener acceso a información o servicios).
Hoy en día, no se trata de si se intentará hackear el sistema de tu empresa o robar datos confidenciales, sino de cuándo se lo intentará, y es por eso que la Unión Europea adoptó la Directiva NIS 2.
Paralegal
En 2022 la Unión Europea adoptó una directiva que tenía por objeto alcanzar un elevado nivel común de ciberseguridad en toda la Unión con el objetivo de mejorar el funcionamiento del mercado interior. En realidad, esta Directiva, Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (Directiva NIS 2), puede considerarse una actualización de una directiva similar de 2016 (Directiva (UE) 2016/1148), que fue transpuesta a la legislación española por el Real Decreto-ley 12/2018. Sin embargo, como todos sabemos, los cambios tecnológicos se suceden con rapidez y el legislador tiene que intentar mantenerse al día.
La Directiva NIS 2 no solo establece medidas y obligaciones de gestión de riesgos de ciberseguridad para determinadas entidades que consideran de riesgo, sino que también impone a los Estados miembros la obligación de actualizar sus leyes y estrategias nacionales, establece autoridades competentes y equipos de respuesta a incidentes de seguridad informática y facilita el intercambio de información relacionada con la ciberseguridad. Sin embargo, en este post nos centraremos en responder a las principales preguntas que tú, como empresario, podrías tener sobre la NIS 2, directiva de ciberseguridad.
En primer lugar, deberías tener en cuenta que lo que esta ley pretende hacer es garantizar que los servicios esenciales estén disponibles para el público de forma ininterrumpida. Por tanto, si es poco probable que tu empresa pueda calificarse de "esencial" o de importancia social, es poco probable que esta ley te afecte. Si tu empresa estuviera sujeta a la predecesora de esta Directiva, seguirías incurriendo en obligaciones en virtud de la misma, ya que ha ampliado el ámbito de las empresas afectadas. Sin embargo, las buenas prácticas de ciberseguridad son esenciales para todas las empresas, por lo que, aunque esta Directiva no te afecte, su contenido puede resultarte ilustrativo.
Esta Directiva se aplica a las entidades públicas o privadas que pertenezcan a alguna de las siguientes categorías:
1) Empresas medianas o grandes (más de 50 empleados y volumen de negocios anual y/o balance general anual superior a 10 millones de euros) que presten sus servicios o lleven a cabo sus actividades en la Unión y cuya actividad pertenezca a una de estas categorías:
2) Independientemente de su tamaño, tu empresa estará sujeta a esta Directiva si:
La Directiva NIS 2 subcategoriza aún más estas entidades en "esenciales" e "importantes", pero las obligaciones para cualquiera de los dos tipos de empresa son básicamente las mismas.
España tiene libertad para ampliar el ámbito de las entidades afectadas por la Directiva NIS 2, por lo que algunas otras instituciones, como las educativas, podrían añadirse posteriormente a esta lista. Las autoridades españolas tienen hasta abril de 2025 para establecer una lista de entidades esenciales e importantes.
Sin embargo, la Directiva NIS 2 no se aplica a las entidades de la Administración pública que lleven a cabo sus actividades en los ámbitos de la seguridad nacional, la seguridad pública, la defensa o la garantía del cumplimiento de la ley, incluidas la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales.
La Directiva NIS 2 establece varias autoridades que supervisarán y harán cumplir las disposiciones de la Directiva, pero las dos autoridades con las que es más probable que te comuniques son las siguientes:
Autoridades competentes: Cada Estado miembro designará o establecerá una o más autoridades competentes encargadas de la ciberseguridad y de las funciones de supervisión a que se refiere esta Directiva.
Equipos de respuesta a incidentes de seguridad informática (CSIRT, por sus siglas en inglés): Este equipo tendrá responsabilidades tales como realizar un seguimiento y analizar las ciberamenazas, las vulnerabilidades y los incidentes a escala nacional y, previa solicitud, prestar asistencia a las entidades esenciales e importantes afectadas por lo que respecta a la supervisión en tiempo real o cuasirreal de sus sistemas de redes y de información;
Actualmente existen tres CSIRT en España:
Consulta aquí cómo te puede ayudar un abogado especialista en cyberseguridad
A más tardar el 17 de abril de 2025, los Estados miembros deben elaborar una lista de las entidades esenciales e importantes así como de las entidades que prestan servicios de registro de nombres de dominio. A efectos de la elaboración de esa lista, se te requerirá que presentes la siguiente información a las autoridades competentes:
Cualquier modificación de estos datos debe comunicarse en un plazo de dos semanas a contar desde la fecha del cambio.
Si la Directiva NIS 2 se aplica a tu empresa, el órgano de dirección de tu empresa debe aprobar las medidas para la gestión de riesgos de ciberseguridad adoptadas y supervisar su puesta en práctica.
Las medidas concretas a tomar dependerán de la situación, las normas europeas e internacionales pertinentes, el coste de su aplicación, las vulnerabilidades específicas de cada proveedor y prestador de servicios directo (y los resultados de las evaluaciones coordinadas de los riesgos de seguridad de las cadenas de suministro críticas a escala de la Unión realizadas), el grado de exposición de la entidad a los riesgos, el tamaño de la entidad y la probabilidad de que se produzcan incidentes y su gravedad, incluidas sus repercusiones sociales y económicas.
No obstante, las medidas se fundamentarán en un enfoque basado en todos los peligros que tenga por objeto proteger los sistemas de redes y de información y el entorno físico de dichos sistemas frente a incidentes, e incluirán al menos los siguientes elementos:
Los miembros de los órganos de dirección de tu empresa deberán asistir a formaciones en materia de ciberseguridad y se os alentará para que ofrezcáis formaciones similares a vuestros empleados periódicamente al objeto de adquirir conocimientos y destrezas suficientes que les permitan detectar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su repercusión en los servicios proporcionados por tu empresa.
Tendréis que notificar al CSIRT o, en su caso, a la autoridad competente, cualquier incidente que tenga un impacto significativo en la prestación de vuestros servicios. Cuando proceda, también tendréis que comunicar a los destinatarios de vuestros servicios que puedan verse afectados por una ciberamenaza significativa las medidas o soluciones que dichos destinatarios pueden aplicar en respuesta a la amenaza.
Cabe señalar que el mero acto de notificar el incidente no elevará la responsabilidad de tu empresa.
Un incidente se considerará significativo si:
El CSIRT/la autoridad competente os ofrecerá, sin demora indebida y, cuando sea posible, en el plazo de veinticuatro horas tras la recepción de la alerta temprana antes mencionada, una respuesta, en particular sus comentarios iniciales sobre el incidente significativo y, a vuestras instancias, una orientación o asesoramiento operativo sobre la aplicación de posibles medidas paliativas. El CSIRT prestará apoyo técnico adicional cuando así lo solicitéis. Cuando se sospeche que el incidente es de naturaleza delictiva, el CSIRT/la autoridad competente también proporcionará orientación a efectos de denunciar el incidente significativo ante las autoridades encargadas de hacer cumplir la ley.
Cabe señalar que el CSIRT/la autoridad competente informará a otros Estados miembros afectados, si los hubiera, siempre preservando la seguridad, los intereses comerciales y la confidencialidad de tu empresa. También podrán, previa consulta con tu empresa, informar al público sobre el incidente o exigiros que lo hagáis cuando el conocimiento público sea necesario para evitar un incidente significativo, hacer frente a un incidente significativo en curso o cuando la divulgación del incidente redunde en el interés público.
También podréis notificar voluntariamente al CSIRT/a las autoridades competentes los incidentes, ciberamenazas y cuasiincidentes que no sean lo suficientemente significativos como para obligaros a informar, pero que consideréis oportuno notificar. Las notificaciones voluntarias no darán lugar a la imposición de obligaciones adicionales a tu empresa, la parte informante.
Infórmate más sobre la prevención de riesgos en la empresa
A los efectos de demostrar la conformidad con determinados requisitos de las medidas de gestión de riesgos de ciberseguridad, España tiene la libertad de exigir a tu empresa que utilice productos, servicios y procesos de TIC particulares, desarrollados por tu empresa o adquiridos a terceros, que estén certificados en virtud de un esquema europeo de certificación de la ciberseguridad. Asimismo, se te promoverá que utilicéis servicios de confianza cualificados.
Se exigirá que los registros de nombres de dominio de primer nivel y las entidades que prestan servicios de registro de nombres de dominio recopilen y mantengan datos precisos y completos sobre el registro de nombres de dominio en una base de datos con la diligencia debida, de conformidad con el Derecho de la Unión en materia de protección de datos por lo que respecta a los datos de carácter personal.
La información de dicha base de datos incluirá:
Si en tu empresa prestéis estos servicios, deberéis contar con políticas y procedimientos públicos, incluidos procedimientos de verificación, para garantizar que dichas bases de datos incluyan información precisa y completa. También hay que hacer públicos los datos de registro del nombre de dominio que no sean de carácter personal, conceder acceso a datos específicos previa solicitud lícita y debidamente justificada, y cooperar con otros registros de nombres de dominio de primer nivel y entidades que prestan servicios de registro de nombres de dominio para evitar la duplicación de la recopilación de datos.
Ojo: no todas las medidas de ejecución de las autoridades serán aplicables a las entidades de la Administración pública.
Tu empresa tendrá que someterse a la supervisión de las autoridades competentes, lo que incluye, por ejemplo, someterse a inspecciones in situ, auditorías de seguridad independientes, solicitudes de información, etc. En función del resultado de esta supervisión, las autoridades podrán apercibir por el incumplimiento, adoptar instrucciones vinculantes, ordenar el cese de determinadas actividades, etc.
En caso de que esas medidas de ejecución no conduzcan a vuestro cumplimiento de la ley, y no se adopten las medidas que os han pedido en el plazo establecido, las autoridades competentes estarán facultadas para:
hasta que adoptéis las medidas necesarias para subsanar las deficiencias o cumplir los requisitos de la autoridad.
Los representantes legales de tu empresa se considerarán responsables por el incumplimiento de su deber de garantizar el cumplimiento de esta Directiva.
A la hora de determinar las medidas adecuadas, la autoridad tendrá en cuenta la gravedad del incumplimiento, la duración, todo incumplimiento anterior relevante, todo prejuicio causado, cualquier intencionalidad o negligencia, cualesquiera medidas adoptadas para prevenir o reducir los prejuicios, la adhesión a códigos de conducta o a mecanismos de certificación aprobados y la cooperación con las autoridades.
Vuestro incumplimiento también puede dar lugar a la imposición de una multa administrativa de hasta 10.000.000 EUR o un máximo del 2% del volumen de negocios anual total mundial de la empresa durante el ejercicio financiero anterior.
España tiene hasta el 17 de octubre de 2024 para adoptar y publicar las medidas que den cumplimiento a lo establecido en esta Directiva, y dichas medidas serán de aplicación a partir del día siguiente, 18 de octubre. Sin embargo, dado que esta Directiva puede entenderse como una ampliación de una ley ya existente, muchas de las medidas, o medidas similares, ya están en vigor de acuerdo con la anterior Directiva de ciberseguridad de la UE. Por ello, es muy recomendable empezar a planificar e implementar medidas y procedimientos que cumplan con esta Directiva lo antes posible, si no lo estáis haciendo ya.
Infórmate sobre todas las obligaciones de las empresas de más de 50 trabajadores
¿Buscas asesoramiento en materia de obligaciones de protección de datos? Haz clic en el siguiente enlace para conocer en qué podemos ayudarte: