Tanto si tu empresa tiene su sede en la UE como si no, la NIS2 es una cuestión que debe ser abordada a nivel directivo y que no se puede ignorar. 

Aunque su empresa no se vea directamente afectada, es probable que haya oído hablar de la Directiva NIS de la UE y de su sucesora, la NIS2.

La Directiva NIS (Redes y Sistemas de Información) de 2016 entró en vigor con el fin de reforzar la responsabilidad en materia de seguridad y gobernanza en los sectores que la UE considera «críticos», como la energía y el transporte. Su ámbito de aplicación se extendió también a otros sectores «importantes» que, en caso de incidente, podrían afectar negativamente al funcionamiento de dichos sectores críticos.

Con la entrada en vigor de la Directiva sobre seguridad de las redes y de la información (NIS2), el ámbito de aplicación de la directiva se amplió a nuevos sectores, al tiempo que se armonizaron algunas de las obligaciones previstas en la normativa.

Además, y lo que es más importante, amplió la responsabilidad de la alta dirección, garantizando que la seguridad y la resiliencia quedaran integradas en el gobierno corporativo de la organización.

La dirección es ahora responsable directa —y está sujeta a responsabilidad civil— de la NIS2

Las consecuencias de un fracaso pueden ser graves tanto para tu empresa como para sus directivos.

En el caso de las empresas, las posibles multas se calculan como un porcentaje de los ingresos globales, y no solo de los ingresos del mercado afectado. Esto podría suponer sanciones de hasta el 2% de los ingresos totales o 10 millones de euros.

Sin embargo, la multa impuesta a la empresa no eximirá de responsabilidad a los altos directivos. La NIS2 atribuye a la alta dirección la responsabilidad de garantizar el cumplimiento normativo y les considera responsables en caso de incumplimiento. Por consiguiente, si se demuestra que ha habido negligencia, es posible que ya no se les permita dirigir la empresa en cuestión.

La legislación es clara: la ciberseguridad y la resiliencia ya no son un «problema informático». Constituyen una parte fundamental del gobierno corporativo, y no tratarlas como tal podría acarrear graves consecuencias tanto para la empresa como para sus dirigentes.

La NIS2 debería ser motivo de preocupación, aunque no entres dentro de su ámbito de aplicación

La NIS2 exige a las empresas que no se limiten a tener en cuenta únicamente los riesgos que están bajo su control. También les exige que evalúen sus cadenas de suministro para detectar posibles puntos débiles y una dependencia excesiva de determinadas empresas.

Si su empresa es uno de los muchos proveedores de otra organización, es posible que se la considere «importante». Sin embargo, si es el único proveedor de determinados servicios, podría convertirse en «fundamental» para esa empresa, lo que trasladaría el riesgo de incumplimiento normativo a su empresa. 

Por lo tanto, aunque su organización no se vea directamente afectada por la NIS2, es posible que se le pida que demuestre que su actividad entra dentro de su ámbito de aplicación si desea hacer negocios con empresas que sí lo están.

Y no se trata solo de la NIS 2. Otros países también cuentan con legislaciones similares con requisitos que se solapan. El Reino Unido, por ejemplo, tiene su propia legislación NIS, además de estrictos requisitos de notificación de violaciones en virtud del RGPD británico. También se habla de lo que podría incluirse en la NIS 3 dentro de la UE. La legislación rara vez se reduce, y ya se está debatiendo cómo se ampliará su ámbito de aplicación.

En resumen, este tipo de marcos no van a desaparecer, sino que seguirán creciendo.

Las cuatro áreas clave de la supervisión de NIS2

Aunque se rigen por la normativa NIS2, también constituyen un marco práctico para reforzar el gobierno corporativo, la ciberseguridad y la resiliencia en cualquier organización.

• Gestión de riesgos: este es el aspecto preventivo. Se trata de garantizar que todo esté en orden para minimizar los riesgos. Entre las áreas destacadas se incluyen la gestión de incidentes, el refuerzo de la seguridad de la cadena de suministro, la mejora de la seguridad de las redes, un mejor control de accesos y el cifrado.
• Obligaciones de notificación: si se produce un problema, existen plazos estrictos que regulan cómo deben notificarse las infracciones. Cada segundo cuenta, por lo que es fundamental asegurarse de que su empresa comprenda sus obligaciones en el marco de la respuesta ante incidentes.
• Continuidad del negocio: cuando ocurre lo peor, ¿cómo sigue funcionando tu organización? ¿Cuenta con un plan de recuperación ante desastres? ¿Se ha probado? ¿Están los equipos preparados para adaptarse rápidamente en caso de incidente? En resumen: ¿puede tu empresa hacer frente a la situación y recuperarse?

Detrás de esas tres áreas fundamentales se encuentra la responsabilidad corporativa. No se trata de dejar que el departamento de TI se encargue de todo, sino de garantizar que los equipos directivos reciban la formación necesaria para comprender sus responsabilidades y tomar medidas que garanticen el cumplimiento normativo.

La legislación puede cambiar, pero la necesidad subyacente sigue siendo la misma

Aplicar los principios de la NIS2, aunque no exista una obligación legal de hacerlo, significa que estás preparado para hacer negocios con quienes sí la tienen. Además, adoptar este enfoque solo servirá para mejorar tu nivel de seguridad y tu capacidad de respuesta ante incidentes.

Dado que el coste medio de una filtración de datos supera los 3,3 millones de euros, el mero impacto financiero pone de manifiesto la necesidad de contar con una gobernanza sólida. Y eso sin tener en cuenta el coste del daño a la reputación. 

Kaseya, con su conjunto de soluciones para operaciones de TI y gestión de riesgos, lleva mucho tiempo defendiendo la importancia de contar con las herramientas adecuadas para optimizar, gestionar y proteger las organizaciones.

Una buena gobernanza requiere las herramientas adecuadas

Aunque la legislación general pueda cambiar y seguir evolucionando, los principios siguen siendo los mismos. Una buena gestión se basa en herramientas que reducen la probabilidad de que se produzcan errores humanos, agilizan la detección de problemas, facilitan su resolución y garantizan que los equipos dispongan exactamente de lo que necesitan cuando surge algún contratiempo.

Esto también implica disponer de las pruebas adecuadas a las que recurrir en caso de que su empresa sea objeto de una auditoría o tenga que notificar una brecha de seguridad. Esto incluye desde certificados de formación y registros de gobernanza hasta documentación detallada que muestre, paso a paso, cómo se gestionó un incidente de seguridad.

En nuestro próximo artículo, analizaremos los diez aspectos que los equipos directivos deberían tratar con los responsables de TI para garantizar el cumplimiento de la NIS2.