La Directiva Europea NIS2 busca, entre otros objetivos, eliminar las grandes diferencias en su aplicación por parte de los Estados miembros, en particular en lo que respecta a su ámbito de aplicación, notificación de incidentes y obligaciones de seguridad.
La NIS2 fortalecerá la seguridad de las redes y sistemas de información en toda la Unión Europea y representará un paso significativo hacia la mejora de los estándares de ciberseguridad en los Estados miembros.
En un mundo cada vez más digitalizado, donde los riesgos de ciberseguridad de las empresas se ven —en buena parte— concernidos por los que afectan a su cadena de suministro, el papel del CISO (chief information security officer) se vuelve fundamental.
España, como muchos otros países, ha experimentado un aumento significativo en la digitalización de sus servicios y procesos. Esta transformación ha traído numerosos beneficios, pero también ha incrementado la exposición a ciberamenazas. La Directiva NIS2 es una respuesta necesaria para fortalecer la resiliencia cibernética del país.
El CISO es crucial para asegurar que todos los aspectos de la Directiva NIS2 están recogidos en la cultura de su organización
La Directiva obliga a las organizaciones a adoptar medidas de seguridad más robustas, y a reportar incidentes de seguridad de manera más eficiente. Esto no solo mejora la capacidad de respuesta ante ciberataques, sino que también fomenta una cultura de ciberseguridad más proactiva.
Mejora en los estándares de ciberseguridad
La aplicación de la Directiva NIS2 en España atañe a aspectos relevantes en cuanto a la gestión de la ciberseguridad en las empresas:
- Responsabilidad de los órganos de dirección en la gobernanza de la ciberseguridad. Estos órganos son responsables de aprobar las medidas para la gestión de riesgos de ciberseguridad, necesarias para dar cumplimiento al artículo 21, deben supervisar su puesta en práctica y responder por el incumplimiento de estas. También deben asistir a formaciones en materia de seguridad y asegurar la formación de los empleados.
- Homogeneización de los sectores a los que se aplica. La revisión de la Directiva 2016/1148 puso de manifiesto la existencia de grandes diferencias en su aplicación por parte de los Estados miembros, en particular en lo que respecta a su ámbito de aplicación. La nueva Directiva 2022/2555, en sus anexos I y II, es exhaustiva y específica en cuanto a sectores críticos a los que les es de aplicación, lo que conllevará un gran aumento en el número de empresas en España a las que afectará.
- Requisitos de seguridad más estrictos. En su artículo 21, la Directiva indica los elementos mínimos que las empresas deberán considerar en la gestión de seguridad, entre los que destacan la gestión de incidentes, la continuidad de las operaciones, la ciberhigiene y la seguridad de la cadena de suministro.
- Medidas de supervisión. Las autoridades competentes estarán dotadas de facultades de supervisión, que incluirán, entre otras, inspecciones in situ y a distancia, auditorías por organismos independientes o solicitudes de información.
- Multas administrativas y suspensión de actividades. En ciertos supuestos, las autoridades son competentes para imponer multas a empresas o prohibir temporalmente el ejercicio de sus obligaciones a directores generales o representantes legales de las empresas.
El papel del CISO
En este nuevo marco regulatorio, el papel del CISO se vuelve aún más crucial para asegurar que todos los aspectos de la Directiva están recogidos en la cultura de su organización. Entre otros aspectos, serán de vital importancia:
Interlocución con la Dirección. Los órganos de dirección pasan a desarrollar un rol clave en el desarrollo de la cultura de seguridad. El CISO, a su vez, será muy relevante en la formación y asesoramiento en cuanto al cumplimiento de sus funciones en ciberseguridad.
Conocimiento del negocio y eficiencia en la gestión. La Directiva establece una gran cantidad de requerimientos técnicos y de gestión que obliga al CISO a tener un conocimiento exhaustivo de la organización, tanto en sus aspectos culturales como en los operativos y de negocio.
El objetivo es proponer las medidas adecuadas en cada situación basándose en los riesgos para las operaciones, y siempre alineadas con criterios de eficacia, factibilidad y eficiencia en su aplicabilidad. Ni todo es importante ni todo lo importante es crítico. Conocer los procesos de la compañía y su criticidad será básico para tomar las mejores decisiones basadas en criterio de riesgo, que conformarán el Plan de Ciberseguridad de la compañía.
Gestión y retención del talento. Mucho se ha hablado de la escasez de profesionales de ciberseguridad y de su alta rotación. Identificar, captar y retener a los profesionales adecuados para cada rol, y alineados con la cultura de la empresa, también pasa a convertirse en una tarea clave del CISO.
Dependencia de terceros
Uno de los desafíos más importantes en la implementación de la Directiva NIS2 es la creciente dependencia de terceros para gestionar los riesgos y la seguridad de la información.
Muchas organizaciones externalizan servicios y están habituadas a manejar sus proveedores pensando únicamente en la eficiencia presupuestaria y operativa. Pero la externalización también aumenta la exposición a ciberamenazas si no se gestiona adecuadamente, y este es un aspecto que no siempre se tiene en mente a la hora de negociar los contratos de servicio.
La externalización también aumenta la exposición a ciberamenazas si no se gestiona adecuadamente
Para aumentar la seguridad en la cadena de suministro, la Directiva hace mención explícita a la misma en su artículo 21. Los borradores de Actos de Ejecución para algunos sectores, que se han publicado para recibir comentarios, ya anticipan algunos posibles detalles dignos de considerar a la hora de seleccionar servicios de terceros:
- Las prácticas de ciberseguridad de los suministradores y proveedores de servicio.
- La capacidad de los suministradores y proveedores de servicio para cumplir las especificaciones de ciberseguridad del cliente.
- La diversificación de suministros para limitar la dependencia de un determinado suministrador.
Adicionalmente, dichos borradores de Reglamentos de Ejecución instan a las empresas a Incluir cláusulas de seguridad en los contratos, cuyo cumplimiento debe comprobarse. Deben incluir, entre otras:
- Formaciones y certificaciones.
- La obligación de notificar los incidentes de ciberseguridad.
- El derecho a auditar.
- La existencia de procedimientos de gestión de vulnerabilidades.
Conclusión
En un contexto de creciente digitalización, la Directiva Europea NIS2 puede representar en España un avance significativo en la mejora de los estándares de ciberseguridad, pero también una mayor presión sobre las empresas para asegurar su cumplimiento.
El CISO se torna fundamental para garantizar el cumplimiento de los requisitos de la Directiva, con un enfoque de seguridad efectiva combinado con criterios de eficiencia. Todo ello debe redundar en una óptima gestión de los riesgos de ciberseguridad que afectan a las operaciones de la compañía, en un contexto de creciente externalización de actividades.
