Ciberderecho NIS2 para empresas esenciales: ¿cuál es la diferencia entre NIS1 y NIS2?

A partir del 16 de enero de 2023, la Directiva europea NIS2 se aplica a las empresas esenciales. En los Países Bajos, conocemos la nueva directiva cibernética como NIB2. Es la sucesora de la NIB1. Al igual que otros países de la UE, los Países Bajos tienen hasta el 17 de octubre de 2024 para adaptar las normas nacionales a la norma europea. ¿Qué cambiará? Lo enumeramos para usted.

La ley cibernética NIS se aplica ahora a las empresas esenciales. Es decir, la NIS1 original se aplica a esos sectores. A partir de 2024, las directrices se aplicarán también a las "empresas clave". Esto mejorará la ciberseguridad en los Países Bajos y en Europa entre un mayor número de empresas medianas y grandes.

¿Qué es la directriz NIS2?

NIS2 es la sucesora de NIS1, que se introdujo hace años para las empresas esenciales. La nueva directiva NIS2 (oficialmente: Directiva (UE) 2022/2555)) fue publicada por ENISA, la Agencia de Ciberseguridad de la Unión Europea. La directiva prescribe requisitos mínimos de seguridad, así como la obligación de notificar incidentes (graves) a la autoridad nacional o al Equipo Europeo de Respuesta a Incidentes de Seguridad Informática (CSIRT). La nueva directiva sustituye a la original, que entró en vigor en 2016.

Estas son las principales diferencias entre el NIS1 y el NIS2:

• La Directiva se aplica a más sectores
  La NIS2 se aplica tanto a las empresas esenciales como a las grandes empresas. Más empresas medianas y grandes deben empezar a cumplir la directiva. Además, el gobierno holandés puede designar empresas más pequeñas con un alto riesgo de seguridad que también deben empezar a cumplirla.
• Lista de seguridad básica mínima
  La directiva es más concreta, gracias a una lista de seguridad básica mínima que las empresas deben aplicar. La directiva impone un enfoque de gestión de riesgos.
• División en sectores esenciales y clave
  La nueva directiva NIS divide a las empresas en sectores esenciales y clave. Desaparece la distinción entre operadores de servicios esenciales y proveedores de servicios digitales.
• Abordar la seguridad en la cadena
  Las empresas deben empezar a abordar los riesgos de seguridad en su cadena de suministro. Esto incluye los riesgos creados por las relaciones con los proveedores.
• Supervisión más estricta
  Se permite a las autoridades nacionales una supervisión y aplicación más estrictas. La nueva directiva iguala los regímenes sancionadores y los requisitos de información en todos los Estados miembros.

¿Qué son las empresas esenciales?

La directiva NIS se aplica a las empresas esenciales. Estos sectores son:

• Energía
• Agua potable
• Aguas residuales
• Transporte
• Banca
• Mercados financieros
• Infraestructura digital
• Administraciones públicas
• Sanidad
• Espacio

Consejo: ¿Se pregunta exactamente qué empresas son "esenciales" o "importantes"? Descargue la tabla Sectores cubiertos por NIB2 de CBS.

La nueva directiva NIS2 también se aplicará a las grandes empresas. Estos sectores son:

• Servicios postales y de mensajería
• Transformación y distribución
• Tratamiento de residuos
• Proveedores digitales
• Empresas manufactureras
• Industria química
• Industria alimentaria

Diferencia de supervisión entre empresas esenciales e importantes

Las autoridades locales supervisarán proactivamente los negocios clave. La supervisión de las empresas clave se realizará a posteriori, si existen pruebas de un incidente.

Las empresas clave y esenciales tendrán la obligación de informar y un deber de diligencia. Tienen que implantar la seguridad en su cadena de suministro y comunicar claramente cómo gestionan los incidentes cibernéticos.

¿Por qué es importante la nueva directriz?

La nueva directiva NIS2 debería hacer más seguros los sistemas de red e información de las empresas. De este modo, los Países Bajos y toda la Unión Europea serán menos vulnerables a los ciberataques.

El ministro Dilan Yeşilgöz-Zegerius (Justicia y Seguridad) ha declarado: "Dependemos cada vez más de los procesos digitales, sobre todo desde que corona trabajamos cada vez más desde casa. Además, observamos una creciente amenaza digital tanto de delincuentes como de agentes estatales que, con una guerra en la frontera oriental de Europa, no va a remitir por el momento. Por tanto, ahora es necesario dar el siguiente paso para elevar el nivel de ciberseguridad en la UE. Al hacerlo, evitaremos que los incidentes digitales perturben nuestra sociedad".

El Ministro Micky Adriaansens (Asuntos Económicos y Clima) añade: "Debemos estar alerta ante los riesgos de los ciberataques. Las repercusiones pueden ser importantes, como estanterías vacías en las tiendas o interrupciones de la producción industrial. La gestión de la seguridad digital sigue siendo responsabilidad individual de empresas y consumidores. Pero con esta legislación podemos dar un paso para garantizar que el nivel de cyber security aumente entre las (medianas) empresas de los sectores más importantes."

¿Le multarán si no cumple la normativa?

Las empresas que incumplan la nueva directiva recibirán una advertencia, luego un recordatorio y después se arriesgan a una multa cuantiosa. La multa máxima es de 10 millones de euros o el dos por ciento del volumen de negocios anual total de las empresas medianas y grandes.

Prevenir los daños de la ciberdelincuencia: ¿qué puede hacer?

Incluso sin una ley cibernética como la NIB2 de los Países Bajos, es importante tomarse en serio la ciberdelincuencia. Protege tu negocio con, por ejemplo:

• Seguridad desde el diseño
  Empiece cada reunión hablando de seguridad (digital). ¿Qué medidas tomas para evitar abusos y cuáles son los riesgos y vulnerabilidades? Al pensar en esto como algo estándar, configuras sistemas (nuevos) más seguros por defecto.
• Conexión segura
  Utilice una conexión segura para su empresa. Evite que otras personas vean o incluso roben datos de forma no deseada. La conexión segura está disponible en todo el mundo, en cualquier momento y desde cualquier lugar.
• Formar a los empleados en ciberseguridad
  Quien no conoce los riesgos no puede protegerse contra ellos. Forme a los empleados y asegúrese de que reconocen las vulnerabilidades y no caen en las trampas que les tienden los ciberdelincuentes.

Cómo utiliza EyeOn Guardey para cumplir con NIS2

Las empresas que deben cumplir la normativa NIS2 están obligadas a ofrecer formación ensecurity awareness a sus empleados.

Nuestro cliente Gezamenlijke Brandweer Amsterdam (un cuerpo de bomberos holandés) es una organización esencial y por ello necesita adherirse a la normativa NIS2. Para asegurarse de que sus empleados están preparados para reconocer las ciberamenazas, utilizan Guardey para ofrecer formación security awareness . Cada semana, su equipo juega un breve desafío de 3 horas que les ayuda a adquirir poco a poco conocimientos sobre cyber security .

Lea la historia completa aquí

Hazlo fácil con Guardey

En Guardey entendemos que puede tener muchas cosas en la cabeza. Cómo cumplir con NIS2, cuáles son las vulnerabilidades en su empresa y cómo prevenir un hack, una violación de datos u otro delito cibernético?

Por eso nos gusta ponérselo fácil. Con Guardey, usted elige una solución completa cyber security de una sola vez. Somos plug & play, tanto para una conexión segura, contra software malicioso y para formar a sus empleados de forma profesional (¡pero divertida!).

¿Quiere mejorar la página cyber security de su empresa y cumplir la nueva directiva NIS2? Descubra nuestra solución o consúltenos sus dudas. Estaremos encantados de explicarle cómo puede protegerse con Guardey de una forma muy accesible, sencilla y asequible.