EXPERTOS EN
CIBERSEGURIDAD
PROTEGEMOS TU EMPRESA DE LAS AMENAZAS ACTUALES
POST
Nueva normativa en ciberseguridad que deberías conocer
Durante años, muchas empresas han vivido despreocupadas de la ciberseguridad. Para ellas, los riesgos presentes en la red no son importantes. Sin embargo, a medida que avanzan los tiempos van surgiendo normativas de distinta índole que están cambiando las reglas. La ciberseguridad se está convirtiendo en una obligación legal.
El Reglamento General de Protección de Datos (RGPD) fue la primera piedra de este proceso de cambio. Esta normativa europea empezó a obligar a las empresas que manejan datos personales a garantizar la seguridad y privacidad de los mismos.
Desde que se promulgara en 2018, dicha norma se ha ido actualizando y complementando con otras directrices europeas como NIS2, DORA, CRA o CER.
¿Qué es la NIS2 y cómo afectará a mi empresa?
La NIS2 es la actualización de la NIS (Directiva sobre seguridad de las redes y los sistemas informáticos). El objetivo de esta normativa en ciberseguridad es armonizar las medidas y enfoques en ciberseguridad de los estados miembros de la Unión Europea y mejorar la protección de las entidades esenciales más importantes.
En su artículo 21 de la NIS2 se contemplan las siguientes obligaciones, que afectan a todas las empresas que pertenecen a “sectores esenciales e importantes”:
- Analizar los riesgos y las políticas de la empresa relativas a la seguridad de la información
- Gestionar de forma exhaustiva los incidentes que puedan acontecer
- Tener un plan de contingencia que contemple la forma de actuar frente a una crisis
- Tener un plan de continuidad de negocio que garantice la prestación de sus servicios sin interrupciones
- Asegurar la cadena de suministro para no verse afectadas por los incidentes padecidos por terceros
- Seguridad de red empresarial
- Solventar las vulnerabilidades encontradas y publicarlas en un plazo de 24 horas para que otros las puedan resolver
- Evaluar la eficacia de las medidas de ciberseguridad adoptadas
- Uso de criptografía y cifrado de datos
- Uso de la autenticación multifactor.
Esta norma entró en vigor en 2023 y estaba previsto que los países miembros la incorporasen a su marco legislativo antes de octubre de 2024. En España, esta directriz se transpone en la Ley de Coordinación y Gobernanza de la Ciberseguridad. Esta norma española se encuentra en estado de anteproyecto, por lo que antes o después verá la luz, trasladando todas estas obligaciones a las empresas españolas.
La Directiva CER también afectará a tu empresa
No debemos confundir la NIS2 con la CER o Directiva 2022/2557. Mientras la primera impone unos requisitos exhaustivos, la segunda se centra en garantizar unas medidas específicas que permitan que los sectores críticos puedan continuar con su actividad sin interrupciones.
Entre las obligaciones contempladas en la CER se encuentra la de notificar todos los incidentes que sufra la empresa que puedan perturbar la prestación de servicios esenciales. Las empresas deben presentar dos notificaciones: una inicial pasadas menos de 24 horas y una final con un informe detallado con el número y porcentaje de usuarios afectados, la duración de la perturbación y la zona geográfica, antes de un mes de la detección del accidente.
¿Qué es la DORA y cómo afectará a mi empresa?
La DORA o
- Gestionar la gobernanza y el riesgo de las TIC
- Notificar los incidentes sufridos
- Realizar pruebas de resiliencia operativa
- Establecer acuerdos de intercambio de ciberamenazas
- Monitorizar los posibles riesgos de la cadena de suministro
Esta directriz entró en vigor el 16 de enero de 2023 y debía ser transpuesta por los países miembros antes de enero de 2025. Como en el caso de la NIS2, en España todavía no se ha adaptado el marco normativo para la implementación de esta norma, pero las empresas deben ir preparándose para ella.
¿Qué es la CRA y cómo afectará a mi empresa?
Esta norma europea nace en el año 2024 a raíz del aumento del teletrabajo y del número de dispositivos conectados a la red, de la consolidación tecnológica y de una mayor digitalización tecnológica de los sectores más tradicionales.
En el Cyber Resilience Act se describen los requisitos de ciberseguridad para productos de hardware y software con componentes digitales que se quieran comercializar en la Unión Europea. Para ello, obliga a certificar la seguridad de los productos antes de que salgan al mercado.
De esta forma, se pretende abordar la falta de actualizaciones para solventar las vulnerabilidades en los productos digitales y la falta de conocimiento de los usuarios, que no saben en qué fijarse a la hora de elegir un producto digital y cómo usar los productos de forma segura.
