Directiva NIS-2

La protección de las infraestructuras críticas se aplicará a partir del 17 de octubre de 2024

Con la Directiva NIS-2, la UE pretende proteger las infraestructuras críticas de Europa. Los Estados miembros deben transponer la directiva antes del 17 de octubre de 2024.

¿Quién tiene que aplicar NIS-2?

La directiva define un total de 18 sectores. Se ven afectadas las empresas que prestan o ejercen sus servicios dentro de la UE y operan en uno de estos sectores.

Umbrales: entran en el ámbito de aplicación de NIS-2 las entidades de los 18 sectores con al menos 50 empleados o con un volumen de negocio anual y un balance general anual de al menos 10 millones de euros.

Empleados	Volumen de negocio	Balance
1 - 50	Y de 10 a 50 millones de EUR	O hasta 43 millones de EUR
50 - 250	Y hasta 50 millones de EUR	Y de 10 a 43 millones de EUR
Al menos 250	O al menos 50 millones de EUR	Y al menos 43 millones de EUR

Entidades esenciales

• Los operadores de instalaciones críticas (KRITIS) se consideran “entidades esenciales”.
• Entidades, por ejemplo, de dominios, DNS, servicios de confianza cualificados y grandes proveedores de telecomunicaciones.
• Entidades a partir de 50 empleados o con más de 10 millones de euros de volumen de negocio anual y 10 millones de euros de balance general anual que operan en los sectores 1 (sectores de alta criticidad) y 2 (otros sectores críticos).

Entidades importantes

• Entidades a partir de 250 empleados o con más de 50 millones de euros de volumen de negocio anual y 43 millones de euros de balance general anual que operan en el sector 1.

Otras entidades (independientemente de su tamaño)

• Proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles para el público, prestadores de servicios de confianza
• Registros de nombres de dominio de primer nivel (TLD) y proveedores de servicios de DNS (excepto operadores de servidores raíz)
• Proveedores únicos esenciales para la sociedad y la economía
• Entidades cuya interrupción tendría un gran efecto en el orden público, la seguridad o la salud
• Entidades cuya interrupción podría provocar un riesgo sistémico con consecuencias transfronterizas
• Entidades críticas por su especial importancia nacional o regional
• Entidades de la Administración pública central definidas por el Estado miembro, o entidades críticas de la Administración pública a nivel regional
• Infraestructuras críticas según la Directiva (UE) 2022/2557
• Entidades que prestan servicios de registro de nombres de dominio
• Además, la nueva directiva se aplica indirectamente también a los proveedores de servicios y suministradores de las entidades afectadas.

Sectores de alta criticidad

• Energía (electricidad, calefacción y refrigeración urbanas, petróleo, gas e hidrógeno)
• Transporte (aéreo, ferroviario, marítimo y por carretera (autoridades))
• Banca
• Infraestructuras de los mercados financieros
• Sanidad
• Agua potable
• Aguas residuales
• Infraestructura digital
• Gestión de servicios de TIC
• Administración pública
• Espacio

Otros sectores críticos

• Servicios postales y de mensajería
• Gestión de residuos
• Fabricación, producción y distribución de sustancias químicas
• Industria manufacturera (fabricación de productos sanitarios y de diagnóstico in vitro, de productos informáticos, electrónicos y ópticos, de material eléctrico, construcción de maquinaria, fabricación de vehículos de motor y sus componentes y de otro material de transporte)
• Proveedores de servicios digitales
• Investigación

Obligaciones

a) Identificación y registro de los servicios, instalaciones o componentes críticos ante la Oficina Federal alemana de Seguridad de la Información (BSI).

b) Creación de un punto de contacto para los ámbitos críticos y acreditación ante la BSI. El punto de contacto debe estar disponible en todo momento y notificar a la BSI los incidentes significativos.

c) Los incidentes significativos en ámbitos críticos deben notificarse a la BSI sin demora tras su detección. Se aplica el principio de “rapidez antes que exhaustividad”. El proceso de notificación se divide en cuatro fases:

• Notificación inicial en un plazo de 24 horas desde que se tiene conocimiento del incidente
• Confirmación en un plazo de 72 horas desde que se tiene conocimiento del incidente
• Notificaciones intermedias opcionales
• Notificaciones finales en un plazo de 30 días desde la confirmación

d) Sistema de gestión de la seguridad de la información (SGSI): la gestión de los ciberriesgos debe realizarse mediante un SGSI. Como estándares para la gestión de riesgos sirven, por ejemplo, la ISO 3100 o la ISO 27005, o el estándar BSI 200-3.

e) Gestión KRITIS: las organizaciones afectadas deberían establecer una coordinación, dirección y control centralizados de sus obligaciones según NIS-2.

f) Gestión de la continuidad del negocio y gestión de emergencias de TI: la gestión de emergencias en los ámbitos críticos debe seguir estándares adecuados, por ejemplo el estándar BSI 200-4.

g) Gestión de proveedores y prestadores de servicios: deben evaluarse los riesgos en las cadenas de suministro y en las compras.

h) Aplicación del estado de la técnica: para garantizar el nivel de seguridad en los ámbitos críticos, deben aplicarse medidas conformes al estado de la técnica.

i) Sistema de detección continua de ataques: los ámbitos críticos deben disponer de una detección de ataques adecuada.

Conclusión

NIS-2 regula la gestión de riesgos y fomenta la comprensión de la seguridad de la información. Se trata de entender y limitar las posibles amenazas para la seguridad de la información. Los elementos esenciales de la implantación son un inventario de activos y el análisis de los riesgos a los que están expuestos. Estos riesgos deben minimizarse mediante medidas de protección.

En caso de incidentes de seguridad, las empresas están obligadas a notificarlos a la BSI y a gestionar las amenazas de forma eficaz y rápida. Para ello debería implantarse un SGSI y establecerse un plan de prevención de emergencias.

NIS-2 se aplicará a partir del 18 de octubre de 2024.

Fuente

Esta noticia procede de nuestra empresa colaboradora bbg bitbase group.