Una guía práctica en dos partes para los responsables de TI de la región EMEA
En el mundo interconectado de hoy en día, una interrupción del servicio en una empresa puede afectar a la prestación de servicios esenciales de un país e incluso repercutir en la economía en general, como quedó patente con el ciberataque sufrido por Jaguar Land Rover, que tuvo un impacto negativo en el PIB del Reino Unido.
El objetivo principal de la NIS2 es garantizar la continuidad de las actividades empresariales. Anima a las empresas a documentar adecuadamente sus procesos, a planificar para hacer frente a posibles imprevistos y a identificar los puntos débiles de sus cadenas de suministro.
Es importante destacar que la Directiva NIS 2 atribuye la responsabilidad de la ciberseguridad y la resiliencia a los órganos de dirección, con posibles sanciones para los responsables empresariales. En otras palabras, ya no basta con dejar la seguridad exclusivamente en manos del departamento de TI.
Teniendo esto en cuenta, reforzar la capacidad de responder ante incidentes de seguridad —y, lo que es más importante, de recuperarse de ellos— debe constituir un elemento fundamental del enfoque de seguridad de toda empresa.
En la primera parte de esta guía, analizaremos su preparación interna. A continuación, en la segunda parte, abordaremos cómo hacer frente a los distintos requisitos normativos de notificación en caso de que se produzca un incidente.
«El ransomware es la mayor amenaza a la que se enfrentan las organizaciones en Internet»
Esas no son palabras nuestras. La afirmación procede del Centro de Ciberseguridad de Bélgica, que informó de que los ataques de ransomware se duplicaron con creces entre 2021 y 2024.
El ransomware sigue siendo una de las formas más devastadoras de ciberataque, ya que inutiliza los sistemas y paraliza la actividad empresarial a menos que se pague el rescate. Incluso si su empresa decidiera pagar, la recuperación no está garantizada. Sin embargo, no todos los ataques son necesariamente destructivos. Una filtración de datos, por ejemplo, puede que no afecte a su capacidad para seguir operando con normalidad, pero el daño a la reputación y las posibles sanciones económicas pueden acarrear consecuencias significativas a largo plazo.
La realidad es que, por mucho que protejas tu empresa, siempre queda algún grado de riesgo, y ese riesgo está presente las 24 horas del día, los 7 días de la semana, los 365 días del año, incluso cuando tu equipo no está conectado.
Prepara tu plan de recuperación y asegúrate de que funcione
En nuestro artículo «Dominar la recuperación moderna: nuevos aspectos esenciales para los responsables de TI», abordamos los tres pilares fundamentales de la planificación de la recuperación ante desastres:
- Evaluar los riesgos e identificar los sistemas críticos. Una evaluación exhaustiva de los riesgos permite identificar los sistemas más críticos que requieren atención inmediata en caso de catástrofe y ayuda a priorizarlos en función de su importancia para las operaciones empresariales.
- Elabora un plan de recuperación paso a paso. Desarrolla procedimientos de recuperación para diferentes situaciones de emergencia, como ciberataques, desastres naturales o fallos de hardware. Cada situación debe contar con un plan de recuperación claro y detallado, con responsabilidades bien definidas.
- Prueba y mantén el plan.La eficacia de unplan de recuperación depende de su ejecución. Las pruebas, actualizaciones y auditorías periódicas son fundamentales para garantizar su viabilidad a largo plazo y adaptarse a la evolución de las amenazas, las tecnologías y los cambios en la infraestructura.
La buena noticia es que cualquiera que siga este enfoque ya se encuentra en una posición idónea para cumplir algunos de los requisitos de la NIS2, como el análisis de riesgos y la seguridad de la información, la gestión de incidentes y las medidas de continuidad del negocio.
Si te cuesta conseguir el apoyo de los altos directivos, armonizar tus objetivos de TI con los de la NIS2 es una buena forma de destacar la importancia de contar con un plan adecuado de recuperación ante desastres.
Las copias de seguridad son un elemento esencial para el cumplimiento de la normativa NIS2
El enfoque más extendido en materia de estrategia de copias de seguridad ha seguido tradicionalmente la regla 3-2-1:
- 3 copias de los datos (para protegerse contra la pérdida de datos)
- 2 formatos diferentes (almacenados en al menos dos tipos de soportes)
- 1 copia externa (para protegerse contra desastres físicos)
Sin embargo, ahora se recomienda añadir dos medidas más para garantizar la verdadera eficacia de las copias de seguridad:
- 1 copia inmutable (que garantiza copias de seguridad a prueba de ransomware)
- No hay duda de que podrás recuperarlo (las pruebas periódicas garantizan la fiabilidad)
La importancia de las copias de seguridad inmutables quedó más que patente en abril de 2026, cuando un agente de IA no solo borró toda la base de datos de clientes de una empresa, sino también las copias de seguridad recientes, lo que afectó a los clientes durante días y fue noticia en los principales medios internacionales.
Esto demuestra que hacerlo bien es de vital importancia: es una cuestión de continuidad del negocio, de cumplimiento normativo... y de evitar que tu empresa acabe en los titulares.
Garantizar la confianza en la recuperación
La NIS2 hace hincapié en la necesidad de contar con políticas que evalúen la eficacia operativa. No basta con disponer de copias de seguridad. Es necesario tener la seguridad de poder restaurar los sistemas y restablecer el funcionamiento de la empresa con rapidez.
Aunque es recomendable realizar pruebas de recuperación ante desastres de forma periódica, estas pueden complementarse con herramientas que permiten realizar pruebas automatizadas de las copias de seguridad.
Cuando se supervisan y se incluyen en los informes junto con indicadores como el RPO y el RTO, estas capacidades aportan una mayor confianza en su estrategia de copias de seguridad y, además, demuestran el nivel de información requerido.
No hagas copias de seguridad de datos dañados
La posibilidad de que el ransomware se cuele en tus copias de seguridad es motivo de preocupación. También es importante conocer el estado de los datos de los que estás haciendo copia de seguridad.
Como parte de la automatización de tus copias de seguridad, puedes utilizar el aprendizaje automático para identificar comportamientos que indiquen una infección por ransomware. Al ejecutar y analizar continuamente cada copia de seguridad, el sistema puede detectar las copias infectadas y detener el problema antes de que se convierta en una amenaza.
Asegúrate de que tus copias de seguridad sean adecuadas para la región
No se puede acceder a tus datos desde cualquier lugar. Cada región tiene sus propias leyes en materia de soberanía, por lo que es importante saber dónde se almacenan las copias de seguridad y si pueden restaurarse legalmente desde ese territorio. Normativas como el RGPD siguen siendo de aplicación durante las operaciones de recuperación, por lo que es importante asegurarse de que las herramientas que utilizas y la ubicación de tus datos sigan cumpliendo con la normativa.
Cumplimiento de los requisitos normativos
Kaseya ofrece tranquilidad a las empresas, garantizando que sus valiosos datos estén seguros, cumplan con la normativa y, lo más importante, sean recuperables. Lee nuestra guía para dominar la recuperación moderna y descubre cómo desarrollar una estrategia de recuperación resiliente.
Sin embargo, la planificación de la recuperación es solo una parte del problema. Durante un incidente de seguridad, las organizaciones también deben cumplir con sus obligaciones legales y normativas en materia de notificación. En la segunda parte, analizaremos la NIS2 y el RGPD, así como los distintos requisitos de notificación en la región EMEA.
