Empresas y gobiernos se esfuerzan por seguir el ritmo de un mundo en el que la ciberdelincuencia aumenta rápidamente y las amenazas evolucionan sin cesar. Para combatirlas, países y entidades supranacionales están tomando medidas para dotarse de herramientas técnicas avanzadas, reforzadas por marcos legislativos.
Uno de los ejemplos más notables es la adopción, en la Unión Europea, de la Directiva NIS2, destinada a reforzar las medidas de ciberseguridad en todos los sectores.
La Directiva NIS2 obliga a las empresas incluidas en su ámbito de aplicación, clasificadas como “entidades esenciales” e “importantes”, a cumplir una serie de requisitos de ciberseguridad, y los Estados miembros de la UE han redactado nuevas normativas para aplicar estos requisitos. Aunque esta legislación es fundamental para mejorar la postura de ciberseguridad, también presenta retos significativos para las organizaciones, que deberán reevaluar sus estrategias y herramientas.
La directiva NIS2 y las pymes
En comparación con la Directiva NIS1, la nueva está dotada de mayor alcance y aplicación. Ahora abarca una gama más amplia de sectores, que incluyen algunos tan esenciales como la energía, la sanidad y el transporte. Además, el ámbito de aplicación se extiende a industrias como los servicios postales, la gestión de residuos, la fabricación y la provisión de determinados servicios digitales.
Los servicios gestionados también ayudan a cumplir los requisitos de notificación de incidentes de la NIS2
Las organizaciones dedicadas a estas áreas se clasifican, o bien como “entidades esenciales” —entre las que se incluyen las Administraciones Públicas, los proveedores de redes públicas de comunicaciones— y otros; o bien como “entidades significativas”, que los Estados miembros definirán en función de la importancia del sector.
Las nuevas normas se aplican principalmente a las empresas con cincuenta o más empleados, o con un volumen de negocios anual superior a diez millones de euros. Sin embargo, las más pequeñas no están totalmente exentas.
La Directiva exige que las organizaciones no solo protejan sus propias infraestructuras, sino que también garanticen la ciberprotección de sus cadenas de suministro descendentes. De este modo, ante una ciberseguridad cada vez más regulada y compleja, encontramos que muchas empresas de sectores recientemente afectados se encuentran mal preparadas. A menudo carecen de las soluciones o políticas integrales necesarias para cumplir con los requisitos de la NIS2.
A menudo, las empresas carecen de las soluciones o políticas integrales necesarias para cumplir con los requisitos de la NIS2
En esta situación, y dadas las limitaciones de recursos a las que se enfrentan muchas de estas empresas, sobre todo en lo tocante a conocimientos de ciberseguridad, las soluciones de ciberseguridad gestionada surgen como una opción prometedora. Estos servicios brindan una protección de nivel experto sin necesidad de contar con un equipo de seguridad interno completo.
Presupuesto y talento
Por otra parte, las empresas también están lidiando con las limitaciones presupuestarias y la escasez mundial de talento. Según un estudio de ISC, el déficit de profesionales de ciberseguridad alcanzó un récord de cuatro millones de puestos sin cubrir en 2023. A pesar de que el número de profesionales de ciberseguridad ha crecido casi un 10% año tras año, la demanda sigue superando con creces la oferta.
Esta escasez de talento supone una inmensa carga, ya que, por ejemplo, la NIS2 impone los análisis exhaustivos de los riesgos, la formación de los empleados y la mejora de los protocolos de gestión de incidentes. El resultado es un aumento de la presión sobre los responsables de ciberseguridad, lo que ha llevado a Gartner a predecir que casi la mitad de estos ejecutivos cambiarán de puesto para 2025, y que el 25% abandonará el sector debido al agotamiento.
De nuevo, aquí entran en juego las soluciones de ciberseguridad gestionada, ofertas como servicio que proporcionan tanto tecnología como experiencia humana y liberan a los equipos internos de muchas cargas. Los servicios gestionados de detección y respuesta (MDR), por ejemplo, ofrecen supervisión y detección de amenazas las 24 horas del día, lo que permite a las organizaciones centrarse en los problemas críticos sin verse abrumadas por falsos positivos.
Además, los servicios gestionados también ayudan a cumplir los requisitos de notificación de incidentes de la NIS2. Ahora, las empresas deben notificar a las autoridades reguladoras cualquier incidente significativo de ciberseguridad en un plazo de 24 horas desde que tienen conocimiento de este. También deben presentar una notificación detallada del incidente en un plazo de 72 horas, en la que se proporcione información específica sobre su tipo e impacto, así como sobre las medidas de mitigación adoptadas. El incumplimiento puede acarrear graves sanciones, con multas de hasta diez millones de euros o el 2% del volumen de negocio anual.
Invertir en servicios gestionados puede aliviar esta carga al garantizar el acceso a tecnologías avanzadas de detección y análisis de expertos. Al automatizar la detección de incidentes e integrarla en una supervisión ininterrumpida, estas soluciones ayudan a adelantarse a las ciberamenazas, reducir los tiempos de respuesta y evitar multas.
Un enfoque colaborativo
La adopción de soluciones de ciberseguridad gestionadas no atañe solo al departamento de TI: en virtud de la NIS2, las personas con capacidad de decisión en la empresa, incluidos los directores técnicos y los directores de sistemas de información, son directamente responsables de garantizar el cumplimiento. De lo contrario, podrían incurrir en responsabilidad personal por violaciones de la ciberseguridad o incidentes informáticos, lo que podría dar lugar a sanciones individuales.
Este nuevo nivel de responsabilidad significa que la ciberseguridad ya no es solo una cuestión técnica; es una preocupación de toda la empresa. Los directivos deben invertir en las herramientas adecuadas, incluidos firewalls, sistemas de supervisión, protocolos de respuesta a incidentes y plataformas de cumplimiento, para satisfacer las exigencias de la Directiva NIS2.
Las pymes pueden obtener acceso a sistemas avanzados de detección de amenazas, analistas expertos y asistencia 24/7
Las pymes que carezcan de recursos internos para gestionar la ciberseguridad pueden encontrar en la subcontratación de un proveedor de servicios de seguridad gestionada (MSSP) una solución rentable. Mediante este acuerdo, estas entidades obtienen acceso a sistemas avanzados de detección de amenazas, analistas expertos y asistencia 24/7. Además, los programas gubernamentales, como el Kit Digital, están ayudando a aliviar la carga financiera subvencionando los servicios de ciberseguridad para pymes.
Las empresas más grandes se enfrentan a mayores exigencias en el marco de la NIS2, lo que requiere inversiones más sustanciales en sistemas de seguridad avanzados, planificación de respuesta a incidentes y formación de los empleados. Estas organizaciones deben ampliar sus equipos internos de ciberseguridad, desarrollar planes detallados de gestión de riesgos y garantizar la coordinación con las autoridades nacionales.
El tiempo necesario para adaptarse variará en función del tamaño de cada empresa y de la infraestructura existente, pero la inversión global en resiliencia de ciberseguridad no es negociable.
