Índice de contenidos

• Introducción

• De NIS a NIS2: ¿por qué una actualización?

• ¿Quién está cubierto por NIS2?

• Requisitos clave en NIS2

• ¿Cómo se verán afectadas las empresas y organizaciones suecas?

• Oportunidades con NIS2

• Desafíos a lo largo del camino

• ¿Qué deben hacer ahora las empresas?

• Cursos recomendados en AVC

• Conclusión

Introducción

La digitalización sigue permeando todas las áreas de la sociedad. Los modelos de negocio, las funciones críticas de la sociedad y la vida cotidiana de los ciudadanos dependen cada vez más de la infraestructura digital. Sin embargo, este desarrollo viene acompañado de un marcado aumento en la vulnerabilidad a ciberataques, violaciones de datos y otros incidentes relacionados con la tecnología de la información. Para aumentar la resiliencia digital de sus estados miembros, la UE ha introducido un nuevo marco: la Directiva NIS2

Desde el 17 de octubre de 2024, NIS2 forma parte de la legislación sueca, introduciendo nuevos requisitos importantes para empresas y organizaciones públicas. Aquí esbozamos lo que significa la directiva, por qué es importante y cómo prepararse en la práctica.

De NIS a NIS2: ¿por qué una actualización?

La primera Directiva NIS (2016) fue el primer marco común de la UE para la ciberseguridad. Su propósito era garantizar que los operadores de servicios esenciales y los proveedores de servicios digitales tuvieran un nivel básico de seguridad y que los incidentes graves fueran reportados.

A pesar de esto, el número de amenazas cibernéticas ha aumentado dramáticamente en los últimos años: ataques de ransomware, ciberguerra patrocinada por estados, ataques a la cadena de suministro y sabotaje contra infraestructuras críticas. NIS1 ya no se consideraba suficiente.

Por lo tanto, NIS2 tiene como objetivo:

• Cubrir más sectores y empresas – no solo las funciones más críticas de la sociedad.
• Elevar los requisitos para la gestión de riesgos, las medidas de seguridad y la notificación de incidentes.
• Create a more uniform application throughout the EU, so that the level of security does not vary between member states.
• Otorgar a las autoridades más poderes para monitorear e intervenir en casos de incumplimiento.

¿Quién está cubierto por NIS2?

Uno de los cambios más significativos es que la directiva amplía el alcance de los sujetos que cubre. NIS1 se aplicaba principalmente a energía, transporte, finanzas, salud e infraestructura digital.

NIS2 añade más sectores, incluyendo:

• Administración pública
• Gestión de residuos y aguas residuales
• Producción y distribución de alimentos
• Fabricación de ciertos productos críticos (por ejemplo, dispositivos médicos, farmacéuticos, químicos, electrónicos)
• Proveedores de servicios de TI y ciberseguridad

Otra diferencia importante es que la directiva abarca todas las empresas medianas y grandes en los sectores designados. Las pequeñas empresas (menos de 50 empleados y menos de 10 millones de euros en facturación) generalmente están exentas, pero pueden estar incluidas si se consideran particularmente críticas.

Para Suecia, esto significa que significativamente más organizaciones que antes necesitarán cumplir con los requisitos, tanto públicas como privadas.

Requisitos clave en NIS2

NIS2 impone una serie de obligaciones específicas a las partes involucradas. Las más importantes de estas se enumeran a continuación:

1. Medidas de seguridad

Las organizaciones deben implementar medidas técnicas y organizativas para gestionar los riesgos. Estas pueden incluir:

• Gobernanza de la ciberseguridad y gestión de riesgos a nivel directivo.
• Medidas para prevenir, detectar y gestionar incidentes.
• Seguridad en las cadenas de suministro.
• Seguridad en redes y sistemas, incluyendo cifrado y autenticación multifactor.
• Planes de continuidad y recuperación ante interrupciones.

2. Reporte de incidentes

NIS2 endurece los requisitos de informes:

• Notificación de alerta temprana dentro de las 24 horas de detectar un incidente.
• Informe detallado en un plazo de 72 horas.
• Se debe presentar un informe concluyente dentro del plazo de un mes después del incidente.

Esto significa que las organizaciones necesitan establecer procedimientos para la rápida notificación interna, análisis y comunicación con las autoridades.

3. Responsabilidad de la gestión

Un cambio clave es que la gerencia de la empresa y los consejos de administración tienen la responsabilidad explícita de asegurar que la organización cumpla con los requisitos. Ellos deben:

• Aprobar las medidas de seguridad.
• Participa en la formación de ciberseguridad.
• Ser responsable personalmente de deficiencias graves.

4. Supervisión regulatoria y sanciones

Cada Estado miembro designará autoridades supervisoras con el poder de:

• Realizar auditorías e inspecciones.
• Solicitar información y pruebas de cumplimiento.
• Emitir instrucciones de vinculación.
• Imponer multas por incumplimiento.

El nivel de las sanciones es alto: hasta 10 millones de euros o el 2% del volumen de negocios global anual por las infracciones más graves.

¿Cómo se verán afectadas las empresas y organizaciones suecas?

En Suecia, actualmente se está trabajando en el desarrollo de una nueva ley de ciberseguridad para reemplazar la anterior ley NIS. Se espera que entre en vigor a más tardar en otoño de 2024.

Para los actores suecos, esto significa que necesitan:

• Determinar si están cubiertos
  • Las organizaciones deben determinar si pertenecen a los sectores y clases de tamaño que están bajo el ámbito de aplicación de NIS2.

• Fortalecer la gobernanza y la gestión
  • La dirección necesita capacitarse en ciberseguridad e integrar la cuestión en la gestión de riesgos general de la organización.
• Realizar análisis de brechas
  • ¿Qué tan adecuadas son las medidas de seguridad actuales para cumplir con los requisitos de NIS2? ¿Dónde están las brechas?
• Desarrollar procedimientos robustos de reporte de incidentes
  • Se necesitan procesos para detectar, analizar e informar incidentes de manera oportuna.
• Asegurar la cadena de suministro
  • Dado que muchas amenazas cibernéticas se propagan a través de los subcontratistas, las organizaciones también deben exigir a sus socios.

Oportunidades con NIS2

Es fácil ver NIS2 únicamente como una carga con costos incrementados y más trabajo administrativo. Pero la directiva también puede considerarse como una oportunidad:

• Mayor competitividad: Las empresas que pueden demostrar una alta ciberseguridad se vuelven más atractivas para clientes y socios.
• Fortalecimiento de la confianza: Garantizar un manejo seguro de los datos y sistemas genera confianza.
• Resiliencia mejorada: Las inversiones en seguridad reducen el riesgo de interrupciones costosas, violaciones de datos y daños a la marca.
• Estandarización: Al armonizar las reglas, la UE proporciona a las empresas que operan en varios países un campo de juego más claro y uniforme.

Desafíos a lo largo del camino

Sin embargo, existen desafíos reales:

• Complejidad: Muchas organizaciones hoy en día carecen de una imagen clara de sus activos digitales y riesgos.
• Escasez de habilidades: Los expertos en ciberseguridad escasean tanto en el sector privado como en el público.
• Costos: Las inversiones en sistemas, procesos y capacitación pueden ser significativas, especialmente para empresas medianas.
• Cambio cultural: La ciberseguridad debe convertirse en una parte natural de toda la organización, no solo en responsabilidad del departamento de TI.

¿Qué deben hacer ahora las empresas?

Para estar bien preparados para NIS2, las empresas y organizaciones suecas ya deberían estar haciendo lo siguiente:

• Designar un grupo de proyecto responsable del cumplimiento de NIS2.
• Capacitar a la junta directiva y a la gerencia en los nuevos requisitos y riesgos.
• Realizar un análisis de estado de la seguridad de la información y la gestión de riesgos.
• Introduzca procedimientos de gestión de incidentes y practique escenarios.
• Involucrar a los proveedores y asegurarse de que cumplan con los requisitos de seguridad razonables.

Cursos recomendados en AVC

Para ayudar a su organización a cumplir con los nuevos requisitos de NIS2, recomendamos dos programas de e-learning personalizados:

• SecurityLearn® NIS2 Esenciales – Un curso de e-Learning que proporciona una comprensión fundamental de los riesgos de ciberseguridad y las obligaciones de cumplimiento descritas en el Artículo 20 de la Directiva NIS2. Diseñado para el personal no técnico, fomenta la conciencia y promueve una cultura de seguridad en toda la organización.
• Certified NIS2 (CNIS2) – Un curso de e-Learning para gerentes, especialistas y profesionales responsables de implementar y mantener el cumplimiento de NIS2. Esta capacitación avanzada cierra la brecha entre las mejores prácticas de ciberseguridad y la gobernanza organizacional, proporcionando a los participantes las habilidades para gestionar riesgos, abordar incidentes y asegurar el cumplimiento.

Ambos cursos se imparten en línea, en inglés e incluyen certificación. Proporcionan el conocimiento y las herramientas que necesitas para cumplir con los requisitos de la nueva directiva.

Conclusión

NIS2 marca una nueva era para la ciberseguridad en Europa. Mientras que el GDPR se centró en la protección de datos y la privacidad individual, NIS2 se enfoca en la robustez y la resiliencia en toda la infraestructura digital.

Para las empresas y organizaciones suecas, el mensaje es claro: la ciberseguridad ya no es un asunto exclusivo de especialistas en el departamento de TI, sino un tema estratégico de gestión con implicaciones legales, financieras y de confianza.

Esperar a que la nueva ley entre en vigor puede resultar costoso. Pero actuar a tiempo puede marcar la diferencia entre ver NIS2 como una pesada carga regulatoria, o como una oportunidad para fortalecer su negocio de cara al futuro.

Fuentes

• El gobierno. Nuevas normas sobre ciberseguridad SOU 2024:18 – Informe parcial de la Investigación sobre la implementación de las directivas NIS2 y CER. Estocolmo: Informes Públicos del Estado, 05 de marzo de 2024. regeringen.se
• Comisión Europea. Directiva (UE) 2022/2555 sobre medidas para un alto nivel común de ciberseguridad en toda la Unión (Directiva NIS2). Diario Oficial de la Unión Europea, 27 de diciembre de 2022. eur-lex.europa.eu
• ENISA – Agencia de la Unión Europea para la Ciberseguridad. Directiva NIS2: Visión general y recursos clave. enisa.europa.eu