Consultoría Legal para la Directiva de Ciberseguridad NIS2
La Directiva (UE) 2022/2555 de Seguridad de las Redes y Sistemas de Información establece el marco europeo de ciberseguridad más exigente hasta la fecha. Como especialistas en cumplimiento normativo, le ayudamos a determinar si su organización es una entidad esencial o importante, a implementar las medidas de seguridad requeridas y a gestionar la notificación de incidentes en los plazos legales.
¿Qué es la Directiva NIS2 y por qué es obligatoria?
NIS2 amplía y endurece su predecesora NIS1, extendiendo su alcance a nuevos sectores y estableciendo obligaciones concretas en materia de gobernanza, gestión de riesgos, continuidad de negocio y notificación de incidentes. Es de aplicación obligatoria en España desde el 17 de octubre de 2024 para miles de organizaciones que antes quedaban fuera del marco regulatorio.
¿Qué impacto tiene NIS2 en la práctica?
* Gobernanza obligatoria: Los órganos de dirección deben aprobar y supervisar las medidas de ciberseguridad y pueden incurrir en responsabilidad personal por incumplimiento.
* Medidas de seguridad mínimas: Gestión de riesgos, autenticación multifactor, cifrado, seguridad en la cadena de suministro y planes de continuidad son obligatorios por ley.
* Notificación de incidentes en 24/72 horas: Los incidentes significativos deben comunicarse a INCIBE-CERT o CCN-CERT en plazos estrictos bajo pena de sanción.
* Régimen sancionador severo: Las entidades esenciales se exponen a multas de hasta 10.000.000 € o el 2% de la facturación global anual.
La Directiva (UE) 2022/2555 obliga a entidades medianas y grandes de sectores críticos a implementar medidas de ciberseguridad y notificar incidentes. Aplica a entidades esenciales (energía, salud, banca, infraestructuras digitales) y entidades importantes (química, alimentación, fabricación, servicios postales). El panel determina automáticamente tu categoría.
Desde el 17 de octubre de 2024. La Directiva entró en vigor en enero de 2023 con 21 meses de plazo de transposición. Las organizaciones afectadas que aún no hayan iniciado su adaptación están en situación de incumplimiento desde esa fecha.
Las entidades esenciales operan en sectores de mayor criticidad y están sujetas a supervisión proactiva y multas de hasta 10M€ o el 2% del volumen de negocio. Las entidades importantes tienen supervisión reactiva y multas de hasta 7M€ o el 1,4%. El panel incluye un cuestionario de clasificación automática.
NIS2 establece tres plazos: alerta temprana en 24 horas desde que se tiene conocimiento del incidente, notificación completa en 72 horas con evaluación inicial y medidas adoptadas, e informe final en 1 mes con análisis detallado. El panel incluye plantillas para cada plazo y registro de notificaciones enviadas.
Sí. NIS2 establece explícitamente que los órganos de dirección pueden incurrir en responsabilidad personal si no aprueban, supervisan e implementan adecuadamente las medidas de ciberseguridad. El panel genera la documentación de gobernanza necesaria para acreditar el cumplimiento de esta obligación.
Sí, son complementarios. Cumplir ISO 27001 o el ENS facilita el cumplimiento NIS2 ya que comparten muchas medidas. El panel mapea los controles NIS2 con los de ambos marcos para evitar duplicar trabajo y aprovechar lo que ya tienes implementado.
El artículo 21 de NIS2 establece diez medidas mínimas de gestión de riesgos que toda entidad obligada debe implementar y documentar:
* Políticas de seguridad de las redes y sistemas de información.
* Gestión de incidentes: detección, notificación y respuesta.
* Continuidad de negocio y gestión de crisis.
* Seguridad de la cadena de suministro con proveedores y prestadores de servicios.
* Seguridad en la adquisición, desarrollo y mantenimiento de sistemas.
* Evaluación de la eficacia de las medidas de gestión de riesgos.
* Formación en ciberseguridad e higiene informática básica.
* Políticas y procedimientos de criptografía y cifrado.
* Seguridad de los recursos humanos, control de acceso y gestión de activos.
* Autenticación multifactor y comunicaciones seguras.
En el ámbito de la ciberseguridad, una de las principales aportaciones del Esquema Nacional de Seguridad es su enfoque basado en la gestión de riesgos. El ENS no establece un catálogo rígido de medidas aplicables a todas las organizaciones por igual, sino que exige analizar cada entorno para determinar qué riesgos existen y qué controles…
La Agencia Española de Protección de Datos, en su resolución PS-00264-2024, sanciona a una entidad del sector industrial por un tratamiento ilícito de datos personales mediante un sistema de videovigilancia laboral con captación de sonido. La reclamación ante la AEPD tiene su origen en la instalación de cámaras de videovigilancia en las oficinas, almacén y…
La necesidad de realizar una evaluación de impacto se intensifica especialmente cuando el tratamiento afecta a colectivos vulnerables o incorpora tecnologías con una capacidad elevada de afectar a los derechos de las personas. Uno de los supuestos más sensibles es el tratamiento de datos de menores, personas mayores con discapacidad, víctimas de violencia de género…
Uno de los derechos más ejercidos por los ciudadanos es el derecho de supresión, regulado en el artículo 17 del RGPD. Aunque habitualmente se conoce como “derecho al olvido”, su alcance va mucho más allá de la simple eliminación de información. Se trata de una garantía que permite a las personas solicitar que sus datos…
El aumento de los ciberataques contra organismos públicos y proveedores tecnológicos ha convertido la ciberseguridad en una prioridad estratégica. Por ello, a lo largo de los próximos boletines iremos abordando de forma práctica los principales aspectos del Esquema Nacional de Seguridad (ENS), analizando sus obligaciones, medidas técnicas y criterios de cumplimiento para organizaciones públicas y…
Desde agosto de 2024, el Reglamento (UE) 2024/1689 —conocido globalmente como AI Act— es de aplicación obligatoria para cualquier organización que desarrolle, distribuya o utilice sistemas de inteligencia artificial dentro del marco de la Unión Europea. Con el proceso de transposición nacional acelerándose tras la reciente publicación en el Boletín Oficial de las Cortes Generales…
