Nueva Normativa de Seguridad NIS2: Un Paso Adelante en la Protección Cibernética

La Directiva NIS2 fue adoptada por el Parlamento Europeo y el Consejo el 27 de diciembre de 2022. A partir de esa fecha, los Estados miembros de la Unión Europea tienen un plazo de 21 meses para transponer la directiva a sus legislaciones nacionales. Esto significa que las organizaciones deberán cumplir con la normativa NIS2 a más tardar en octubre de 2024.
La Directiva NIS2 amplía el alcance de la anterior Directiva NIS para incluir un mayor número de sectores y tipos de empresas. Los sectores y tipos de empresas afectados se dividen en dos categorías principales: sectores esenciales y sectores importantes
Sectores Esenciales:
- Energía:
- Electricidad (generación, transmisión, distribución y suministro).
- Petróleo (exploración, producción, refinado y distribución).
- Gas (exploración, producción, refinado, tratamiento, almacenamiento y distribución).
- Transporte:
- Transporte aéreo (aeropuertos, aerolíneas, operadores de servicios de tráfico aéreo).
- Transporte ferroviario (infraestructura y operadores).
- Transporte marítimo (puertos, operadores de transporte marítimo).
- Transporte por carretera (operadores de transporte, infraestructura de carreteras).
- Banca:
- Instituciones de crédito.
- Infraestructuras del Mercado Financiero:
- Proveedores de servicios relacionados con los mercados financieros (bolsas de valores, casas de cambio).
- Salud:
- Proveedores de atención sanitaria (hospitales, clínicas, servicios médicos).
- Agua Potable:
- Proveedores y distribuidores de agua potable.
- Aguas Residuales:
- Proveedores y gestores de servicios de tratamiento de aguas residuales.
- Infraestructura Digital:
- Proveedores de puntos de intercambio de internet (IXP).
- Proveedores de servicios de nube (cloud computing).
- Proveedores de servicios de centros de datos.
- Redes de entrega de contenidos (CDN).
Sectores Importantes:
- Servicios Postales y de Mensajería:
- Operadores de servicios postales y de entrega de paquetes.
- Gestión de Residuos:
- Empresas que gestionan la recogida, el transporte y el tratamiento de residuos.
- Fabricación de Productos Críticos:
- Fabricantes de productos farmacéuticos.
- Fabricantes de equipos médicos.
- Fabricantes de productos químicos críticos.
- Proveedores de Servicios Digitales:
- Mercados en línea.
- Motores de búsqueda en línea.
- Plataformas de redes sociales.
- Administración Pública:
- Organismos de la administración pública a nivel nacional y regional que gestionen servicios esenciales.
Requisitos Específicos
Las organizaciones dentro de estos sectores deben implementar medidas de gestión de riesgos, políticas de seguridad, y están obligadas a notificar incidentes significativos. Las medidas de seguridad incluyen:
- Gestión de riesgos de seguridad.
- Seguridad en la cadena de suministro.
- Políticas de seguridad en el diseño y desarrollo de sistemas.
- Gestión de vulnerabilidades.
- Notificación de incidentes en un plazo de 24 horas, con un informe final en tres meses.
Estas medidas buscan asegurar una protección más robusta contra las crecientes amenazas cibernéticas y mejorar la resiliencia de las infraestructuras críticas y servicios esenciales en toda la Unión Europea.
Si te ha gustado...compártelo:









