NIS2: ¿a quién afecta y por dónde empezar?
La directiva europea NIS2 amplía considerablemente el número de organizaciones sujetas a obligaciones de ciberseguridad. Estas son las claves para saber si le afecta y cómo prepararse, sin sustituir el análisis de un profesional.
Equipo editorial de Kayzen Security4 min de lectura
Lo que prevé la directiva
Adoptada el 14 de diciembre de 2022, la directiva NIS2 sustituye a la directiva NIS de 2016. Obliga a las entidades afectadas a adoptar medidas de gestión de riesgos de ciberseguridad (artículo 21), a notificar los incidentes significativos (artículo 23) y compromete la responsabilidad de los órganos de dirección, que deben aprobar esas medidas y formarse (artículo 20).
En Francia, la transposición se realiza mediante una ley y textos de aplicación. Su grado de avance y las fechas de entrada en vigor deben comprobarse en el sitio web de la ANSSI en el momento en que lea esta guía.
¿Me afecta? Los tres criterios
- El sector: la directiva enumera 11 sectores «de alta criticidad» (anexo I: energía, transporte, banca, sanidad, agua, infraestructuras digitales, administración pública, espacio…) y 7 «otros sectores críticos» (anexo II: servicios postales, gestión de residuos, química, alimentación, fabricación de determinados productos, proveedores digitales, investigación). En el sector financiero, el reglamento DORA (UE) 2022/2554 se aplica con prioridad para la gestión de riesgos y la notificación de incidentes.
- El tamaño: por regla general, las empresas medianas (al menos 50 empleados, o un volumen de negocios y un balance total superiores a 10 millones de euros) y grandes de esos sectores; puede ser necesario sumar los efectivos y los importes de las empresas vinculadas o asociadas.
- Las excepciones por tamaño: algunas entidades están incluidas sea cual sea su tamaño, en particular los proveedores de redes o servicios de comunicaciones electrónicas públicos, los prestadores de servicios de confianza, los registros de nombres de dominio de primer nivel y los proveedores de servicios DNS, así como, según la designación nacional, una entidad que sea la única en prestar un servicio esencial en el país.
- Las entidades locales y las administraciones pueden estar incluidas según la transposición nacional.
Entidades esenciales y entidades importantes
Las dos categorías deben aplicar los mismos tipos de medidas, pero la supervisión difiere: controles posibles a priori para las entidades esenciales y a posteriori para las entidades importantes. La directiva también fija topes de sanciones administrativas más elevados para las entidades esenciales. Los importes aplicables en Francia dependen de la ley de transposición.
Las medidas del artículo 21, en resumen
- Análisis de riesgos y políticas de seguridad.
- Gestión de incidentes.
- Continuidad de la actividad, copias de seguridad y gestión de crisis.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas, incluida la gestión de vulnerabilidades.
- Evaluación de la eficacia de las medidas.
- Ciberhigiene básica y formación.
- Criptografía y cifrado.
- Seguridad de los recursos humanos, control de acceso y gestión de activos.
- Autenticación multifactor y comunicaciones seguras.
Notificar los incidentes significativos
La directiva prevé una alerta temprana en las 24 horas siguientes a tener conocimiento de un incidente significativo, una notificación del incidente en un plazo de 72 horas y, después, un informe final como máximo un mes después de esa notificación. Estas notificaciones se dirigen al CSIRT o a la autoridad competente. Esto exige saber detectar un incidente, calificarlo y conocer de antemano al interlocutor adecuado.
Por dónde empezar
- Comprobar su situación con el servicio en línea de la ANSSI y hacer que un profesional confirme el análisis.
- Hacer inventario de sus sistemas, sus datos y sus proveedores.
- Implantar las medidas de higiene básicas: actualizaciones, verificación en dos pasos, copias de seguridad desconectadas, cuentas de administrador controladas.
- Redactar un procedimiento de gestión y notificación de incidentes.
- Implicar a la dirección, que debe aprobar las medidas y formarse.
Esta guía resume la directiva (UE) 2022/2555 con fines informativos. No constituye un dictamen jurídico: su sujeción y sus obligaciones deben validarlas un profesional, sobre la base del texto de transposición vigente y de la información de la ANSSI. Una herramienta como Kayzen puede contribuir a las medidas del artículo 21, pero no hace que una organización cumpla la normativa.
Fuentes oficiales
- ANSSI (nueva pestaña) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (nueva pestaña) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (nueva pestaña) — Agence nationale de la sécurité des systèmes d'information — guides et publications
Los recursos citados los publican sus autores en su idioma original. Kayzen no está afiliado a ninguno de estos organismos.
Esta guía es informativa y general. No sustituye un asesoramiento jurídico ni la intervención de un profesional de la seguridad informática.