¿Qué cambia la directiva de la UE que mejora la ciberseguridad y ya aplican los Estados?

Fuenlabrada

Desde este pasado viernes 17 de octubre los países miembros de la UE tienen la obligación de incluir en su legislación nacional la Directiva sobre Seguridad de las Redes y los Sistemas Informáticos (NIS 2) de la Unión Europea, la actualización de una directiva que entró en vigor en enero de 2023, aunque hasta este mes los Estados tenían plazo para trasladarla a su normativa.

Esta directiva fija requisitos de seguridad más estrictos para una mayor, un proceso de notificación de incidentes más concreto y trata también la divulgación de vulnerabilidades y medidas para incrementar la seguridad en la cadena de suministros. Igualmente establece sanciones por su incumplimiento que serán distintas en función de la pertenencia a estos sectores, según indica Juan Antonio Calles, CEO de Zerolynx, grupo empresarial europeo especializado en Ciberseguridad, Inteligencia y Seguridad patrimonial.

La normativa se aplica a medianas y grandes empresas, ya sean públicas o privadas, de un total de 18 sectores críticos. Entre ellos se encuentran los que se consideran de Alta Criticidad, como energía, banca e infraestructuras de mercados financieros, sector sanitario, transporte, infraestructura digital, aguas potables y residuales, administración pública, excepto poder judicial, parlamentos y bancos centrales, y gestión de servicios TIC. También se regirán por esta directiva los sectores críticos, como investigación, química, alimentación, servicios postales, proveedores digitales, fabricación y gestión de residuos.

Cómo afecta

Esta directriz establece diferentes ámbitos en las que poner el foco para garantizar la seguridad, como en la gestión de riesgos y política de seguridad, así como de incidentes. También, según indica José Antonio Rubio, doctor Ingeniero en Ciberseguridad por la URJC, se recuerda la necesidad de implantar autenticación multifactor, mejorar la seguridad de identidades y de accesos.

Además, las empresas tendrán que poner el foco en la concienciación y formación en ciberseguridad de sus empleados, en la implementación de cifrado para garantizar la confidencialidad y mejorar la seguridad en el entorno de sus redes sociales. También se tendrán que hacer auditorias de vulnerabilidades y análisis periódicos.