8 de marzo de 2023 • NIS2
La nueva directiva NIS2 exige a las empresas de contabilidad que adopten más medidas para prevenir las violaciones de la ciberseguridad. La ley cibernética europea está en vigor desde el 16 de enero de 2023. Los Países Bajos y otros Estados miembros tienen hasta octubre de 2024 para aplicar la legislación a nivel nacional. Esto significa que, a partir de ese momento, los contables tendrán que cumplir con las nuevas directrices de ciberseguridad.
¿Qué es la nueva directiva NIS2?
La nueva directiva NIS2 endurece los requisitos para las entidades esenciales y añade obligaciones para las «entidades importantes», incluidas las empresas de contabilidad. En un artículo anterior, explicamos en qué consiste la nueva directiva y qué cambios supone con respecto a la NIS1. La principal diferencia es la ampliación a las «entidades importantes», además de las entidades esenciales, a las que ya se aplicaba la directiva. Las empresas de contabilidad también se consideran entidades importantes y deben cumplir unas directrices de ciberseguridad más estrictas a partir de 2024.
¿Qué cambia para las empresas de contabilidad?
Las empresas de contabilidad ya tienen que cumplir las directrices para una buena documentación informática, especialmente en lo que respecta a la seguridad de la información que garantice la continuidad, fiabilidad y riesgos del tratamiento automatizado de datos (NIA 315 (COS 315) de la ISAAB). Las empresas de contabilidad también están obligadas a informar sobre la ciberseguridad basándose en un examen de expertos (artículo 2:393 apartado 4 BW).
Además, se están añadiendo nuevas normas. Por ejemplo, el consejo de administración es ahora responsable de la ciberseguridad de la empresa de contabilidad, y ya no sólo es responsabilidad de un socio informático de la empresa. La nueva directiva añade otros tres cambios:
- Lista de medidas básicas mínimas de seguridad
La directiva es más concreta, gracias a una lista de medidas de seguridad básicas mínimas que las empresas deben aplicar. La directiva impone un enfoque de la gestión de riesgos. - Seguridad en la cadena de suministro
Las empresas deben abordar los riesgos de seguridad en su cadena de suministro, incluidos los derivados de las relaciones con los proveedores. - Supervisión más estricta
Las autoridades nacionales pueden llevar a cabo una supervisión y una aplicación más estrictas. La nueva directiva armoniza las normas sancionadoras y los requisitos de información de forma más equitativa en todos los Estados miembros.
¿Le multarán si no cumple la normativa?
Las empresas de contabilidad que no cumplan la nueva directiva recibirán una advertencia y luego un recordatorio. A continuación, la autoridad local podrá imponer multas, de hasta un máximo de 10 millones de euros o el dos por ciento del volumen de negocios anual.
Para socios y directivos, esto es algo personal. El artículo 20 exige que la dirección reciba formación en ciberseguridad, y nuestra formación NIS2 para directivos te permite hacerlo en línea, con un certificado como prueba.
¿A qué riesgos se enfrentan las empresas de contabilidad?
La Unión Europea designa a las empresas de contabilidad como negocios importantes. Los riesgos cibernéticos repercuten tanto en las propias empresas como en la sociedad en general. Por supuesto, los contables son conscientes desde hace tiempo del riesgo que supone la ciberdelincuencia. Por ejemplo, la investigación de Skopos muestra que la mayoría de los contables creen que la seguridad de la información debería recibir más atención.
La empresa de contabilidad Grant Thornton señala que se ha pasado de ganar dinero a las intenciones maliciosas y los crecientes riesgos que ello conlleva. Además, ya se ha informado de que empresas neerlandesas están siendo pirateadas por los servicios de inteligencia rusos.
La SRA, que representa a 375 contables independientes con 900 sucursales en los Países Bajos como organización de red, informa de que las empresas de contabilidad se enfrentan cada vez más, por ejemplo, a ransomware, malware y cryptojacking.
Los datos de los clientes convierten a las empresas de contabilidad en un objetivo
Guardey forma a los contables y a sus equipos para que detecten el phishing y el fraude del director general mediante retos semanales de tres minutos.
Guardey para contablesPrevención de la ciberdelincuencia: ¿qué puede hacer una empresa de contabilidad?
Basándose en la nueva directiva NIS2, las empresas de contabilidad deberán tomar medidas adecuadas a partir de 2024 para evitar violaciones de la ciberseguridad o limitar sus consecuencias. Ya se pueden tomar medidas de cara a la nueva directiva. La SRA recomienda, por ejemplo
- Identificar los riesgos
Sólo podrá tomar las medidas adecuadas si conoce los riesgos a los que se enfrenta su empresa de contabilidad. Asegúrese de determinar los riesgos o contrate a especialistas externos para ello. Dentro de los riesgos, distinga entre los de prestación directa de servicios y los de continuidad de la actividad. Clasifique los riesgos para crear una lista de prioridades y tome las medidas adecuadas. - Un marco político de ciberseguridad
Desarrolle un marco político de ciberseguridad para reflexionar en toda la organización sobre los ciberriesgos y las medidas importantes. Empiece con una simple hoja A4 en la que se esbocen los principios, los marcos y las distintas responsabilidades. Más adelante, amplíela a una política más exhaustiva, como las centradas en los ciberriesgos específicos a los que se enfrenta su empresa de contabilidad. - Prepararse para las filtraciones de datos y los ataques informáticos
Prepárese para las filtraciones de datos y los ataques informáticos, porque todas las organizaciones pueden sufrirlos. Elabore un plan que describa quién debe responder y cómo, y qué medidas de recuperación son necesarias. Lleve un registro de todos los incidentes y analice lo ocurrido. Cierre las brechas de seguridad y compruebe si las medidas están dando los resultados previstos. - Tomar medidas concretas
Adopte medidas concretas cuando sigan existiendo lagunas de seguridad. O bien, cumpla las medidas especificadas en la nueva directiva NIS2 para prepararse para los cambios en 2024. Mejore la ciberseguridad, tanto dentro de su empresa de contabilidad como en las relaciones con los proveedores. La nueva directiva exige a las empresas que tengan en cuenta la ciberseguridad en toda la cadena de suministro. - Subcontratar TI a especialistas
Subcontrate las TI y la ciberseguridad a especialistas que se ocupen de estos temas a diario. Contrate también a especialistas para migrar aplicaciones a la nube o añadir, mejorar o cambiar otros servicios informáticos. Desarrollan basándose en Security by Design, pensando en la (ciber)seguridad en cada paso.
Además, algunas medidas básicas pueden mejorar directamente la ciberresiliencia de su empresa de contabilidad, como:
- Autenticación multifactor (MFA) para todas las cuentas digitales
- Copias de seguridad periódicas (automatizadas)
- Uso de un gestor de contraseñas con una contraseña maestra compleja
- Configurar una notificación para correos electrónicos de remitentes externos
- Listas de contactos disponibles sin conexión
¿Quieres que tu empresa cumpla con la normativa NIS2 antes de que te lo pidan los clientes?
Reserva una demostración y descubre cómo Guardey forma a tu equipo y te proporciona los informes que puedes mostrar a clientes y auditores.
Solicitar una demostraciónHazlo fácil con Guardey
Como despacho de contabilidad, es posible que todo esto te resulte abrumador. Al fin y al cabo, prefieres centrarte en tu trabajo de contabilidad. Por eso, deja que Guardey se encargue del aspecto humano de la ciberseguridad. Guardey forma a tu equipo mediante retos breves y lúdicos de tres minutos a la semana, pone a prueba sus conocimientos con simulaciones realistas de phishing y te proporciona los informes que exige la NIS2.
Descubre nuestra solución o pregúntanos lo que quieras. ¡Estaremos encantados de explicarte cómo Guardey puede ayudar a tu despacho de contabilidad y cómo cumplir con la directiva NIS2 a partir de 2024!
