Hechos y objeto a desarrollar
La NIS2, es un cuerpo normativo de la Unión Europea (en adelante “UE”), emitida por el Parlamento Europeo y el Consejo, que determina los requisitos de ciberseguridad que deben implementar las compañías de la UE que se consideran infraestructuras críticas. Al ser una Directiva de la UE, cada Estado Miembro debe trasponerla, ya sea a leyes o reglamentos nacionales. La fecha límite de transposición fue el 17 de octubre del 2024, siendo el inicio de su aplicación el 18 de octubre. Adicionalmente, el pasado 17 de enero del 2025 se publicó su régimen sancionador.
En consecuencia, se ha realizado el presente informe para desarrollar el ámbito de aplicación y cumplimiento de la Directiva NIS 2 en España para operadores de telecomunicaciones y proveedores de servicios de comunicaciones electrónicas.
Análisis y recomendaciones
Objeto, ámbito de aplicación y entidades sujetas a la Directiva NIS 2
La NIS 2 tiene por objeto alcanzar un elevado nivel común de ciberseguridad en toda la Unión con el objetivo de mejorar el funcionamiento del mercado interior. Lo anterior mediante obligaciones como la implementación de estrategias nacionales de ciberseguridad, la designación de autoridades competentes, autoridades de gestión de crisis de ciberseguridad puntos únicos de contacto sobre ciberseguridad, y equipos de respuesta a incidentes de seguridad informática (“CSIRT”, por sus siglas en inglés).
De conformidad con lo establecido en los artículos 2.1 y 2.2.a.iii la Directiva aplica a entidades públicas o privadas que sean “proveedores de servicios de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles para el público”, independientemente del tamaño de la empresa.
Obligaciones y sanciones en caso de incumplimiento
La Directiva NIS 2 establece una serie de obligaciones para los sujetos obligados, incluidos los mencionados en el punto anterior, los cuales se detallan a continuación:
- Según el artículo 20, los órganos de dirección de las entidades obligadas deben aprobar las medidas para la gestión y evaluación de riesgos de ciberseguridad adoptadas para dar cumplimiento al artículo 21, supervisen su puesta en práctica y respondan por el incumplimiento por parte de las entidades. Adicionalmente, los miembros de los órganos de Dirección deben formarse en materia de ciberseguridad y deben ofrecer este tipo de formación a sus empleados periódicamente.
- El artículo 21 obliga a cumplir con una serie de medidas técnicas, operativas y de organización adecuadas y proporcionadas (adecuado en relación con los riesgos planteados, y proporcional con el grado de exposición de los riesgos de la organización, el tamaño de la entidad, y la probabilidad de que se produzcan incidentes y su gravedad incluidas sus repercusiones sociales y económicas). Estas medidas técnicas son:
-
Las políticas de seguridad de los sistemas de información y análisis de riesgos.
-
La gestión de incidentes.
-
La continuidad de las actividades.
-
La seguridad de la cadena de suministro.
-
La seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de información.
-
Las políticas y los procedimientos para evaluar la eficacia de las medidas para la gestión de riesgos de ciberseguridad.
-
Las prácticas básicas de ciberhigiene y formación en ciberseguridad.
-
Las políticas y procedimientos relativos a la utilización de criptografía, y en su caso, de cifrado.
-
La seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos.
-
El uso de soluciones de autenticación multifactorial o de autenticación continua.
En el Anexo del Proyecto de Acto de Ejecución de la Comisión Europea que desarrolla este artículo, se especifican los requisitos concretos que deberá cumplir las medidas en el listadas. (Dicho Anexo se puede consultar, aquí).Este Anexo descriptivo de las medidas puede servir como hoja de ruta para el cumplimiento normativa de las entidades esenciales e importantes y como orientación para su correcta salvaguarda e implementación.
-
- En el artículo 23 se obliga a las empresas a notificar cualquier incidente significativo a los equipos de respuesta a incidentes se seguridad informática (CSIRT) y a los usuarios de sus servicios. Se define incidente como “todo hecho que comprometa la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados, o los servicios ofrecidos por sistemas de redes y de información o accesibles a través de ellos”. Y un incidente significativo es “cualquier incidente que tenga un impacto significativo en la prestación de los servicios que prestan las entidades esenciales e importantes si: ha causado o puede causar graves perturbaciones operativas de los servicios o pérdidas económicas para la entidad afectada, y si ha afectado o puede afectar a otras personas físicas o jurídicas al causar perjuicios materiales o inmateriales considerables”.
- En caso de que se dé un incidente que tenga un impacto significativo en la prestación de sus servicios se ve obligada a notificar, sin demora indebida, a su CSIRT o, en su caso, a su autoridad competente, según lo establecido en el artículo 23 de la Directiva. Un incidente se considera significativo si cumple con uno o más de los siguientes criterios asociados a los daños que cause o pueda causar:
-
Daños por +100k€ o el 5% VN.
-
Daños reputacionales considerables.
-
Filtración de secretos comerciales.
-
Muerte de una persona física.
-
Daños a la salud de una persona física.
(En el documento CCN-STIC-892 Perfil de Cumplimiento Específico (PCE-NIS2) se detalla que una organización con su sistema de información actualmente certificado en categoría ALTA del ENS, con alcance adecuado, cumple con los requisitos de ciberseguridad de la Directiva NIS 2. En cambio, si no está certificado den ENS.o lo está en categorías media o básica.
-
Plazos de notificación:
Transposición a la normativa española
La transposición es el proceso por el que se incorporan las directivas de la UE a las legislaciones nacionales de los Estados miembros. A diferencia de los reglamentos y las decisiones, las directivas no son de aplicación directa en todos los Estados miembros, sino que exigen que las leyes nacionales incorporen sus normas en la legislación nacional. Los Estados miembros deben adoptar dichas medidas nacionales dentro de un plazo que se especifica en la directiva. Los Estados miembros estarían obligados a notificar sus medidas nacionales de transposición a la Comisión Europea.
El pasado 14 de enero del 2025, el Consejo de Ministros aprobó el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que tiene como objetivo transponer la Directiva NIS 2 al ordenamiento jurídico español. Se espera que la ley sea aprobada y esté plenamente operativo en los próximos meses. Por lo que, aunque España no cumplió con el plazo de transposición descrito en la Directiva (17 de octubre 2024), la misma entrará en vigencia pronto, por lo que se recomienda tomar las recomendaciones y aplicarlas lo antes posible.
La Directiva NIS 2 delega el establecimiento de un régimen sancionador a cada uno de los Estados Miembros, que deberán establecer el régimen de sanciones aplicables adoptadas al texto de la Directiva. Por el momento en España, como se comentó anteriormente, no se encuentra en vigor, pero en el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad incluye multas.
Conclusión y recomendaciones
Para garantizar el cumplimiento de la Directiva NIS 2 y evitar posibles sanciones, se concluye que: nuestro cliente es una entidad que por sus características se encuentra sometida a las disposiciones de la NIS 2.
Por lo tanto, se propone implementar las siguientes medidas preventivas:
- Elaboración de política de seguridad de la información: Si bien no es un requisito obligatorio, es una buena práctica tener un documento que contenga y defina el conjunto de directrices y reglas establecidas por la organización para proteger su información y sistemas de información. Dicha política debe definir cómo gestionar, proteger y distribuir la información para garantizar su confidencialidad, integridad y disponibilidad.
- Realizar una evaluación de riesgos: realizar una evaluación exhaustiva de riesgos para identificar amenazas, vulnerabilidades y posibles impactos en los servicios esenciales.
- Tratamiento de los riesgos: ver qué medidas se pueden acometer para mitigar hasta un nivel aceptable los riesgos detectados.
- Desarrollar e implementar un Plan de Acción: Abordar las brechas de seguridad identificadas y priorizar las acciones según el riesgo y el impacto.
- Disponer de certificaciones estándares reconocidos internacionalmente, como la ISO 27001 o el ENS, facilita el cumplimiento de la Directica. Pero en caso de no disponer de ellas, su uso se recomienda para referencia. Todo debe quedar bien documentado y se deben conservar evidencias que permitan demostrar que se está actuando como tal y como se indica en las políticas y procedimientos de la organización.
- Relativo a la cadena de suministro, se recomienda realizar una evaluación de riesgos formal de los proveedores, seleccionando solo proveedores fiables para trabajar y que estés certificados, incluyendo cláusulas incluyendo cláusulas de seguridad en los acuerdos con ellos y supervisando de forma periódica su actitud ante la seguridad.
- Se recomienda elaborar un plan de auditoría y monitorización que contemple: el monitoreo proactivo (implementar sistemas de monitoreo continuo para detectar y responder a amenazas lo antes posible; y llevar a cabo auditorías de seguridad periódicas (para así evaluar la efectividad de los controles de seguridad y el cumplimiento de la Directiva).
