La Directiva NIS2 (2022/2555 del Parlamento Europeo y del Consejo) es una legislación en materia de ciberseguridad adoptada para toda la Unión Europea. Su objetivo es mejorar el nivel general de ciberseguridad y la resiliencia de las infraestructuras críticas y los servicios digitales en Europa.

Ámbito de Aplicación

Tipos de Entidades Afectadas

  1. Entidades Esenciales: Aquellas cuya interrupción afectaría gravemente al funcionamiento económico o social de la Unión Europea.
  2. Entidades Importantes: Aquellas cuya interrupción afectaría significativamente al funcionamiento económico o social de uno o más Estados miembros.
  3. Sectores Críticos:
    • Transporte
    • Energía
    • Finanzas
    • Salud
    • Agua
    • Alimentación
    • Telecomunicaciones
    • Tecnología de la Información y la Comunicación (TIC)

Ejemplos de Entidades Afectadas

  • Energía: Operadores de redes eléctricas y compañías de gas.
  • Transporte: Aeropuertos, operadores de transporte marítimo y ferroviario.
  • Salud: Hospitales y otros proveedores de servicios de salud esenciales.
  • Finanzas: Bancos y otras instituciones financieras.
  • TIC: Proveedores de servicios de internet, servicios de alojamiento en la nube y centros de datos.

Obligaciones

Gestión de Riesgos

  • Las entidades afectadas deben gestionar sus riesgos de ciberseguridad mediante medidas técnicas, operativas y organizativas, como:
    • Evaluación continua de riesgos.
    • Implementación de controles de seguridad.
    • Monitoreo y detección de amenazas.
    • Formación y concienciación del personal en materia de ciberseguridad.
    • Establecimiento de políticas de seguridad claras y efectivas.
    • Realización de auditorías periódicas de seguridad.

Notificación de Incidentes

  • Las entidades deben notificar incidentes significativos a las autoridades nacionales competentes, incluyendo:
    • Naturaleza del incidente.
    • Impacto potencial.
    • Medidas adoptadas para mitigar el incidente.
    • Plazos para la notificación, que varían dependiendo de la gravedad del incidente.

Supervisión y Sanciones

  • La directiva establece un régimen de supervisión tanto ex ante como ex post, y prevé sanciones en caso de incumplimiento, que pueden incluir:
    • Multas administrativas proporcionales al impacto del incumplimiento.
    • Suspensión de actividades hasta que se rectifiquen las deficiencias.
    • Responsabilidad legal de directivos y personal responsable de la seguridad.

Cooperación

  • Fomenta la cooperación entre los Estados miembros y las entidades afectadas a través de:
    • Intercambio de información sobre ciberamenazas y mejores prácticas.
    • Coordinación de respuestas a incidentes a nivel nacional y europeo.
    • Participación en ejercicios de ciberseguridad a nivel europeo para mejorar la preparación y la resiliencia.
    • Creación de redes de colaboración entre sectores críticos y autoridades competentes.

Principales Artículos de la Normativa NIS2

Artículo 4: Obligaciones de Ciberseguridad para las Entidades Afectadas

Este artículo establece que todas las entidades afectadas deben implementar medidas de ciberseguridad adecuadas para gestionar y mitigar los riesgos. Estas medidas incluyen, pero no se limitan a:

  • Evaluación de riesgos: Evaluaciones periódicas para identificar y evaluar amenazas potenciales.
  • Controles de seguridad: Implementación de controles técnicos y organizativos para proteger contra ciberamenazas.
  • Respuesta a incidentes: Establecimiento de procedimientos claros para responder y recuperarse de incidentes de ciberseguridad.

Artículo 5: Gestión de Riesgos y Medidas de Seguridad

Este artículo detalla las obligaciones específicas relacionadas con la gestión de riesgos, incluyendo:

  • Identificación de activos críticos: Identificación de activos y procesos críticos que deben protegerse.
  • Medidas de protección: Adopción de medidas técnicas (como firewalls y sistemas de detección de intrusiones) y organizativas (como políticas de seguridad y formación).
  • Monitoreo continuo: Implementación de sistemas de monitoreo continuo para detectar y responder a amenazas en tiempo real.

Artículo 6: Notificación de Incidentes

Este artículo establece los requisitos para la notificación de incidentes, incluyendo:

  • Plazo de notificación: Las entidades deben notificar incidentes significativos dentro de un plazo específico, generalmente en un máximo de 24 horas.
  • Contenido de la notificación: La notificación debe incluir detalles sobre la naturaleza del incidente, su impacto potencial y las medidas adoptadas para mitigarlo.
  • Actualizaciones periódicas: Las entidades deben proporcionar actualizaciones periódicas a las autoridades sobre el estado del incidente y las acciones de recuperación.

Artículo 7: Supervisión y Sanciones

Este artículo describe el régimen de supervisión y las sanciones aplicables, incluyendo:

  • Supervisión ex ante y ex post: Las autoridades competentes supervisarán el cumplimiento de la normativa tanto antes como después de la ocurrencia de incidentes.
  • Sanciones: Las sanciones pueden incluir multas significativas y otras medidas punitivas para garantizar el cumplimiento.
  • Responsabilidad de los directivos: Los directivos de las entidades pueden ser responsabilizados legalmente en caso de incumplimiento grave.

Artículo 8: Cooperación entre Estados Miembros

Este artículo promueve la cooperación y el intercambio de información entre los Estados miembros, incluyendo:

  • Mecanismos de cooperación: Establecimiento de mecanismos para el intercambio de información sobre ciberamenazas y mejores prácticas.
  • Respuesta coordinada a incidentes: Coordinación de respuestas a incidentes de ciberseguridad a nivel europeo.
  • Redes de colaboración: Creación de redes de colaboración entre sectores críticos y autoridades nacionales y europeas.

Artículo 9: Intercambio de Información sobre Ciberseguridad

Este artículo establece los principios para el intercambio de información sobre ciberseguridad, incluyendo:

  • Confidencialidad: Garantizar la confidencialidad de la información intercambiada.
  • Relevancia: Intercambio de información relevante y actualizada para mejorar la ciberseguridad colectiva.
  • Colaboración público-privada: Fomento de la colaboración entre entidades públicas y privadas para compartir información y conocimientos.

Artículo 10: Divulgación Coordinada de Vulnerabilidades

Este artículo introduce un sistema de divulgación coordinada de vulnerabilidades, incluyendo:

  • Notificación de vulnerabilidades: Las entidades deben notificar vulnerabilidades de seguridad a las autoridades competentes y, si es necesario, a otros actores relevantes.
  • Resolución de vulnerabilidades: Establecimiento de procedimientos para la resolución rápida y efectiva de vulnerabilidades identificadas.
  • Coordinación de esfuerzos: Fomento de la colaboración entre diferentes entidades para abordar vulnerabilidades de manera coordinada.

Artículo 11: Protección de la Cadena de Suministro TIC

Este artículo aborda la protección de la cadena de suministro de tecnologías de la información y la comunicación (TIC), incluyendo:

  • Evaluación de proveedores: Evaluación de la seguridad de los proveedores y sus servicios.
  • Contratos de seguridad: Inclusión de cláusulas de seguridad en los contratos con proveedores.
  • Supervisión de la cadena de suministro: Monitoreo continuo y evaluación de la cadena de suministro para identificar y mitigar riesgos de ciberseguridad.

Fechas Importantes

  • Entrada en Vigor: La directiva entró en vigor en enero de 2023.
  • Plazo para la Transposición: Los Estados miembros deben transponer la directiva a su legislación nacional antes del 17 de octubre de 2024.

Beneficios Esperados

  • Mejora de la Resiliencia: Aumenta la capacidad de las entidades para resistir y recuperarse de incidentes cibernéticos.
  • Protección de Infraestructuras Críticas: Garantiza la continuidad de los servicios esenciales en caso de ciberataques.
  • Aumento de la Confianza: Mejora la confianza de los ciudadanos y las empresas en los servicios digitales y las infraestructuras críticas.

Acronis Cyberprotect y NIS2

Acronis Cyberprotect es una plataforma integral de ciberseguridad que ofrece una gama completa de soluciones para proteger datos, sistemas y redes. Con la implementación de la Directiva NIS2, Acronis ha alineado sus servicios para cumplir con los nuevos requisitos de ciberseguridad establecidos por la Unión Europea1.

Principales Características de Acronis Cyberprotect

  • Protección de Datos: Soluciones avanzadas para la protección de datos, incluyendo copias de seguridad y recuperación ante desastres.
  • Seguridad en Redes: Herramientas para proteger redes corporativas y prevenir amenazas cibernéticas.
  • Gestión de Incidentes: Capacidades para detectar, responder y recuperarse de incidentes de ciberseguridad.
  • Cumplimiento Normativo: Alineación con las normativas de ciberseguridad, incluyendo la Directiva NIS2, para garantizar el cumplimiento legal y regulatorio.

Alcance de la Directiva NIS2

La Directiva NIS2 exige a las empresas que operan en la UE cumplir con una serie de nuevos requisitos para mejorar su ciberresiliencia2. Acronis ha desarrollado soluciones específicas para ayudar a las empresas a cumplir con estos requisitos, incluyendo:

  • Evaluación de Riesgos: Herramientas para evaluar y gestionar riesgos de ciberseguridad.
  • Implementación de Medidas de Seguridad: Soluciones para implementar controles de seguridad técnicos y organizativos.
  • Notificación de Incidentes: Procedimientos para la notificación rápida y efectiva de incidentes significativos.
  • Supervisión y Sanciones: Estrategias para cumplir con las sanciones y supervisión establecidas por la directiva.

Certificación y Alineación

Acronis ha obtenido la certificación del Esquema Nacional de Seguridad (ENS) con una alta puntuación, lo que le permite alinearse con los objetivos de resiliencia y protección exigidos por la NIS21. La plataforma de Acronis ofrece a sus clientes los cinco factores de ciberprotección requeridos por el ENS: protección, accesibilidad, privacidad, autenticidad y seguridad1.

Beneficios para las Empresas

Al utilizar Acronis Cyberprotect, las empresas pueden mejorar su ciberresiliencia, cumplir con las normativas de ciberseguridad y protegerse mejor contra ciberataques. Esto no solo garantiza la seguridad de sus datos y sistemas, sino que también les ayuda a evitar sanciones significativas por incumplimiento de la directiva.

Recursos Adicionales