La nueva directiva NIS2 impone medidas de seguridad más rigurosas

En un panorama cada vez más hostil en cuanto a ciberseguridad, las organizaciones no pueden permitirse bajar la guardia frente a los ataques cibernéticos. El año 2024 presenta una amenaza sin precedentes, con un aumento significativo en el número de ciberataques, lo que ha puesto a España en la octava posición de los países más atacados a nivel global. Ante esta creciente presión, las empresas deben implementar medidas de seguridad mucho más estrictas, lo que incluye una mejor evaluación y gestión de riesgos. En respuesta a este contexto, la Unión Europea ha revisado y actualizado la Directiva NIS2 (Directiva de Seguridad de Redes y Sistemas de Información) de 2016.

La nueva normativa, que debe incorporarse a las legislaciones nacionales de los Estados miembros antes del 17 de octubre, busca fortalecer la capacidad de respuesta ante incidentes cibernéticos en un entorno cada vez más complicado por el aumento de amenazas. Las empresas enfrentan el reto de adaptarse a un escenario donde los ataques son más sofisticados y peligrosos año tras año.

El factor humano y la cadena de suministro, principales desafíos para la adaptación a la NIS2

Se estima que más de 2.000 empresas en España, en sectores críticos como energía, transporte, salud y finanzas, deberán adoptar una serie de medidas para gestionar mejor los riesgos cibernéticos. Estas medidas incluyen mejorar los procesos de notificación de incidentes, estar preparadas para colaborar más activamente con otros actores del sector y con las autoridades, y fomentar una mayor coordinación entre los sectores público y privado. Todo ello tiene como objetivo articular una respuesta más eficaz ante posibles ciberataques.

Iván Bermejo, responsable del equipo de seguridad defensiva en Innovery by Neverhack España, subraya la importancia de que las empresas comprendan los detalles de la directiva y se preparen adecuadamente para integrarla. «Nuestro reto es ayudar a las empresas a diseñar una hoja de ruta que les permita adaptarse a esta normativa de manera efectiva», comenta.

Nueva directiva NIS2

Para Bermejo, el cumplimiento de NIS2 va más allá de actualizar los sistemas tecnológicos. Los principales desafíos residen en el factor humano y la gestión de la cadena de suministro:

• Concienciación y formación. Si bien la tecnología actual está bien equipada para enfrentar ciberataques, el verdadero punto vulnerable sigue siendo el factor humano. La mayoría de los incidentes de ciberseguridad, entre el 75% y el 95%, son resultado de errores humanos. Por ello, formar a los empleados en ciberresiliencia y hacerlos parte central de la estrategia de seguridad es esencial para minimizar riesgos.
• Gestión de la cadena de suministro. NIS2 introduce un cambio en la forma en que las empresas deben interactuar con sus proveedores. Ahora, las organizaciones están obligadas a evaluar a sus proveedores y garantizar que sus interacciones estén debidamente protegidas. Esto implica, entre otras cosas, proporcionar accesos VPN segregados y aplicar estrictas medidas de seguridad en las comunicaciones externas. Las empresas que no puedan adaptarse a estas nuevas exigencias deberán reconsiderar sus relaciones con terceros para cumplir con la normativa.

Las sanciones por no cumplir con la normativa pueden llegar hasta los 10 millones de euros para empresas en sectores críticos. Sin embargo, más allá de las sanciones económicas, el impacto reputacional y la pérdida de confianza de clientes y socios pueden resultar devastadores. Por eso, es crucial que las empresas desarrollen estrategias claras para alinearse con los requisitos de NIS2 y proteger así sus sistemas tecnológicos a largo plazo.