Con el nombre de NIS2 se conoce popularmente a la Directiva 2022/2555 del Parlamento Europeo y del Consejo, la nueva norma común en materia de ciberseguridad. Se aprobó en enero de 2023 y el gobierno tiene hasta el próximo 17 de octubre para llevar a cabo su trasposición en España. Analizamos su contenido y su aplicación, a continuación.
El Centro Criptológico Nacional (CCN–CERT) ha elaborado dos guías muy completas (puedes consultarlas aquí y aquí) sobre la NIS2 que, en nuestra opinión, son de gran utilidad para comprender en qué consiste y para qué sirve esta norma, de la que además ofrecen amplia información en su página web. A partir de estos recursos, desde APDTIC hemos elaborado este resumen que esperamos que te sirva para hacerte una idea general de lo que es y lo que implica esta directiva europea.
NIS2: objetivos y principales novedades
La NIS2 es una evolución de la NIS1, aprobada en 2016, que tiene como objetivo actualizar la norma e incrementar las medidas de seguridad encaminadas a proteger los sistemas de información y las redes que operan dentro de la Unión Europea. Además, tiene como prioridad eliminar las diferencias en materia de ciberseguridad que actualmente existen entre los Estados miembros. Para ello, establece una serie de medidas operativas, técnicas y de organización de obligado cumplimiento para las entidades públicas y privadas que se consideren tanto esenciales como importantes. En total, la NIS2 afecta a 18 sectores.
En general, las novedades que nos trae la NIS2 tienen que ver con los siguientes aspectos:
- Mayor seguridad en la cadena de suministro.
- Más control en las relaciones con los proveedores.
- Alta responsabilidad de la dirección en caso de incumplimiento de las obligaciones.
Aplicación de la Directiva en el sector público
Como ya hemos adelantado, la NIS2 se dirige tanto al ámbito público como al privado, siempre que las organizaciones entren dentro de la clasificación de entidades esenciales o entidades importantes, según su tamaño y lo críticos que sean los sectores a los que pertenecen. Para saber si una entidad se considera esencial o importante, se puede consultar el artículo 3 de la Directiva NIS2.
En concreto, en el ámbito público adquieren las obligaciones que establece la NIS2 tanto la Administración General del Estado y sus organismos dependientes como las Administraciones autonómicas y locales. Igualmente, las empresas públicas que presten servicios en cualquiera de estos sectores de alta criticidad (entidades esenciales) también van a tener que ceñirse a los requerimientos de la NIS2:
- Energía.
- Transporte.
- Banca.
- Espacio.
- Sanidad.
- Agua potable.
- Aguas residuales.
- Gestión de servicios TIC.
- Infraestructura digital.
- Infraestructuras de los mercados financieros.
Por su parte, estos son los sectores críticos cuyas empresas se consideran entidades importantes:
- Industria química.
- Proveedores de servicios digitales.
- Servicios postales y de mensajería.
- Investigación
- Gestión de residuos.
- Alimentación.
- Fabricación.
Asimismo, la NIS2 prevé una serie de excepciones, es decir, hay determinadas entidades del sector público que están excluidas de la NIS2 y no tienen la obligación de cumplirla:
- El Poder Judicial.
- El Parlamento.
- El Banco Central.
- La Seguridad Nacional.
- La Seguridad Pública.
- La Defensa.
En APDTIC vamos a estar muy pendientes de la inminente trasposición de esta normativa europea y de la evolución de su cumplimiento entre las distintas entidades afectadas.
