El 14 de diciembre de 2022 se publica la Directiva (UE) 2022/2555, del Parlamento Europeo y del Consejo, también llamada NIS2 o SRI2, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión.
Esta Directiva tiene como objetivo el desarrollo de nuevas reglas en materia de ciberseguridad en la Unión Europea.
Se acordó su aprobación por todos los Estados miembros con una fecha límite del 17 de octubre de 2024, sin embargo, llegado el momento veintitrés de los Estados no han traspuesto la normativa, entre ellos España.
El objetivo principal de la NIS2 es elevar significativamente el nivel de ciberseguridad en toda la Unión Europea.
Esto se logra a través de una serie de medidas y requisitos que afectan tanto a los Estados miembros como a las entidades públicas y privadas que operan en sectores críticos.
La directiva reconoce que, en un mundo cada vez más interconectado, la seguridad de las redes y sistemas de información es fundamental no solo para la protección de datos sensibles, sino también para el funcionamiento continuo de servicios esenciales y la estabilidad económica de la UE.
La implantación de la NIS2 conlleva, por otro lado, la derogación de la Directiva (UE) 2016/1148, también llamada NIS1, ya que dejaba una amplia discrecionalidad a los Estados para decidir como implantar las medidas procedentes de la Unión.
Citando a la propia normativa: “todas estas diferencias conllevan una fragmentación del mercado interior y pueden tener efectos perjudiciales para su funcionamiento, afectando, en particular, a la prestación trasfronteriza de servicios y al nivel de ciberresiliencia debido a la aplicación de medidas dispares”.
Algunas de las principales diferencias entre la NIS1 y la NIS2 es la ampliación de sectores afectados por la directiva, como consecuencia de la digitalización, incluyendo también a empresas medianas que operen dentro de éstos.
A diferencia de la Directiva NIS1, que categorizaba a las empresas entre “operadores de servicios esenciales” y “proveedores de servicios digitales”, la directiva establece dos categorías principales de entidades: las esenciales y las importantes.
Las entidades esenciales son aquellas empresas que operan en sectores críticos como son la energía, los transportes o la banca, mientras que las importantes abarcan otros sectores como los servicios postales o la fabricación de productos críticos.
La alta dirección de las entidades tiene la obligación explícita de aprobar y supervisar la implementación de las medidas de ciberseguridad, ya que una de las nuevas medidas pone en el foco a los directivos, que pueden ser considerados personalmente responsables en casos de negligencia grave que resulten en incidentes de seguridad.
Por otro lado, una de las medidas más importantes impuestas por la Unión es la gestión proactiva de riesgos. Exige que las entidades esenciales e importantes implementen medidas técnicas y organizativas adecuadas para gestionar los riesgos que amenazan la seguridad de sus redes y sistemas de información, por ejemplo, implanta el requisito de notificación rápida de incidentes: las entidades cubiertas deben informar a las autoridades competentes o a los CSIRT (Equipos de Respuesta a Incidentes de Seguridad Informática) sobre cualquier incidente significativo que afecte la prestación de sus servicios en un plazo de 24 horas.
La NIS2 introduce sanciones más severas para el incumplimiento. Las entidades que no cumplan con las obligaciones establecidas en la directiva pueden enfrentar multas administrativas significativas, que pueden llegar hasta el 2% de su volumen de negocios mundial anual. Estas sanciones sustanciales subrayan la seriedad con la que la UE está abordando la ciberseguridad y buscan incentivar un cumplimiento riguroso.
Debido a la falta de trasposición de la normativa, el pasado 28 de noviembre la Comisión Europea decidió incoar procedimientos de infracción mediante carta de emplazamiento a los 23 miembros que aún no han aplicado de manera plena la Directiva.
En caso de que los Estados no respondan explicando las razones por las que no se ha realizado dicha trasposición, la Comisión Europea podrá escalar el proceso mediante dictamen motivado.
