Ransomware: la normativa NIS2 y el camino hacia la recuperación — Parte 1

Una guía práctica en dos partes dirigida a los responsables de TI de la región EMEA

En el mundo interconectado de hoy en día, una interrupción del servicio de una empresa puede afectar a la prestación de servicios esenciales de un país e incluso repercutir en la economía en general, como quedó patente con el ciberataque sufrido por Jaguar Land Rover, que tuvo un impacto negativo en el PIB del Reino Unido.

El objetivo fundamental de la NIS2 es garantizar la continuidad de las actividades empresariales. Anima a las empresas a documentar adecuadamente sus procesos, a planificar ante posibles imprevistos y a identificar los puntos débiles de sus cadenas de suministro.

Es importante destacar que la NIS2 atribuye la responsabilidad de la ciberseguridad y la resiliencia a la junta directiva, con posibles sanciones para los directivos de las empresas. En otras palabras, ya no basta con dejar la seguridad exclusivamente en manos del departamento de TI.

Teniendo esto en cuenta, reforzar la capacidad de responder ante incidentes de seguridad —y, lo que es más importante, de recuperarse de ellos— debe constituir un elemento fundamental del enfoque de seguridad de toda empresa.

En la primera parte de esta guía, analizaremos su preparación interna. A continuación, en la segunda parte, abordaremos cómo hacer frente a los distintos requisitos normativos de notificación en caso de que se produzca un incidente.

«El ransomware es la mayor amenaza a la que se enfrentan las organizaciones en Internet».

Esas no son nuestras palabras. La afirmación procede del Centro de Ciberseguridad de Bélgica, que informó de que los ataques de ransomware se duplicaron con creces entre 2021 y 2024.

El ransomware sigue siendo una de las formas más perjudiciales de ciberataque, ya que inutiliza los sistemas y paraliza la actividad empresarial a menos que se pague un rescate. Incluso si su empresa decidiera pagar, la recuperación no está garantizada. Sin embargo, no todos los ataques son necesariamente destructivos. Una filtración de datos, por ejemplo, puede que no afecte a su capacidad para seguir operando con normalidad, pero el daño a la reputación y las posibles sanciones económicas pueden tener consecuencias significativas a largo plazo.

La realidad es que, por mucho que protejas tu empresa, siempre queda algún grado de riesgo, y ese riesgo está presente las 24 horas del día, los 7 días de la semana y los 365 días del año, incluso cuando tu equipo no está conectado.

Elabora tu plan de recuperación y asegúrate de que funcione

En nuestro artículo «Dominar la recuperación moderna: nuevos aspectos esenciales para los responsables de TI», abordamos los tres pilares fundamentales de la planificación de la recuperación ante desastres:

• Evaluar los riesgos e identificar los sistemas críticos. Una evaluación exhaustiva de los riesgos permite identificar los sistemas más críticos que requieren atención inmediata en caso de catástrofe y ayuda a priorizarlos en función de su importancia para las operaciones empresariales.
• Elabora un plan de recuperación paso a paso. Desarrolla procedimientos de recuperación para diferentes situaciones de emergencia, como ciberataques, desastres naturales o fallos de hardware. Cada situación debe contar con un plan de recuperación claro y detallado, con responsabilidades bien definidas.
• **Probar y mantener el plan.** La eficacia de un plan de recuperación depende de su ejecución. Las pruebas, actualizaciones y auditorías periódicas son fundamentales para garantizar su viabilidad a largo plazo y adaptarse a la evolución de las amenazas, las tecnologías y los cambios en la infraestructura.

La buena noticia es que cualquiera que siga este enfoque ya se encuentra en una posición idónea para cumplir algunos de los requisitos de la NIS2, como el análisis de riesgos y la seguridad de la información, la gestión de incidentes y las medidas de continuidad del negocio.

Si te cuesta conseguir el apoyo de los altos directivos, armonizar tus objetivos de TI con los de la NIS2 es una buena forma de destacar la importancia de contar con una planificación adecuada para la recuperación ante desastres.

Las copias de seguridad constituyen un elemento esencial del cumplimiento de la normativa NIS2

El enfoque más extendido en materia de estrategia de copias de seguridad ha seguido tradicionalmente la regla 3-2-1:

• 3 copias de los datos (para protegerse contra la pérdida de datos)
• 2 formatos diferentes (almacenados en al menos dos tipos de soportes)
• 1 copia externa (para protegerse frente a desastres físicos)

Sin embargo, ahora se recomienda añadir dos medidas más para garantizar la verdadera eficacia de las copias de seguridad:

• 1 copia inmutable (que garantiza copias de seguridad a prueba de ransomware)
• No hay duda de que podrás recuperarlo (las pruebas periódicas garantizan la fiabilidad)

La importancia de las copias de seguridad inmutables quedó más que patente en abril de 2026, cuando un agente de inteligencia artificial no solo borró toda la base de datos de clientes de una empresa, sino también las copias de seguridad recientes, lo que afectó a los clientes durante días y fue noticia en los principales medios internacionales.

Esto demuestra que hacerlo bien es de vital importancia: es una cuestión de continuidad del negocio, de cumplimiento normativo… y de evitar que tu empresa acabe en los titulares.

Garantizar la confianza en la recuperación

La NIS2 hace hincapié en la necesidad de contar con políticas que evalúen la eficacia operativa. No basta con disponer de copias de seguridad. Es necesario tener confianza en la capacidad de restaurar los sistemas y restablecer rápidamente el funcionamiento de la empresa.

Aunque deberías realizar pruebas de recuperación ante desastres de forma periódica, esto se puede complementar con herramientas que ofrecen pruebas automatizadas de las copias de seguridad.

Cuando se supervisan y se incluyen en los informes junto con indicadores como el RPO y el RTO, estas capacidades aportan una mayor confianza en su estrategia de copias de seguridad y, además, demuestran el nivel de información requerido.

No hagas copias de seguridad de datos erróneos

La posibilidad de que el ransomware se cuele en tus copias de seguridad es motivo de preocupación. También es importante conocer el estado de los datos de los que estás haciendo copia de seguridad.

Como parte de la automatización de tus copias de seguridad, puedes utilizar el aprendizaje automático para identificar comportamientos que indiquen una infección por ransomware. Al ejecutar y analizar continuamente cada copia de seguridad, el sistema puede detectar las copias infectadas y evitar que el problema se agrave.

Asegúrate de que tus copias de seguridad sean adecuadas para la región

No se puede acceder a tus datos desde cualquier lugar. Las distintas regiones cuentan con legislaciones diferentes en materia de soberanía, por lo que es importante saber dónde se almacenan las copias de seguridad y si pueden restaurarse legalmente desde ese territorio. Normativas como el RGPD siguen siendo de aplicación durante las operaciones de recuperación, por lo que es importante asegurarse de que las herramientas que utilices y la ubicación de tus datos sigan cumpliendo con la normativa.

Cumplimiento de los requisitos normativos

Kaseya ofrece tranquilidad a las empresas, garantizando que sus valiosos datos estén seguros, cumplan con la normativa y, lo más importante, sean recuperables. Lee nuestra guía para dominar la recuperación moderna y descubre cómo desarrollar una estrategia de recuperación resiliente.

Sin embargo, la planificación de la recuperación es solo una parte del proceso. Durante un incidente de seguridad, las organizaciones también deben cumplir con sus obligaciones legales y normativas en materia de notificación. En la segunda parte, analizaremos en profundidad la NIS2 y el RGPD, así como los distintos requisitos de notificación en la región EMEA.