La directiva NIS2, que ha entrado en vigor el pasado mes de octubre, supone un nuevo marco regulatorio una vez que introduce obligaciones en el ámbito de la protección frente a ciberamenzas.

El plazo final para que los Estados miembros de la Unión Europea comunicasen sus regímenes de sanciones por incumplimiento ha llegado al fin generando incertidumbre en las empresas españolas por la necesidad de armonizar la Directiva NIS2 con el Reglamento General de Protección de Datos, RGPD, ya que ambos exigen una visión integral de la ciberseguridad, que va más allá de la instalación de antivirus y firewall, sino que requiere una planificación estratégica a largo plazo.

Precisamente, la NIS2 obliga las empresas esenciales o importantes el desarrollo de un plan de ciberseguridad robusto, con marco de referencia como ISO27001 (cuyo fin es gestionar la seguridad de la información) o SOC Type 2 (evaluación independiente de la eficacia operativa de los controles de seguridad de una organización), el cual debe de considerar también la gestión de riesgos, la continuidad del negocio y, fundamentalmente, la protección de los datos más sensibles de los clientes, aspectos que convergen con los principios de la RGPD.

Una de las grandes diferencias entre la NIS2 y la RGPD es la sanción, y es que, anteriormente, las empresas esenciales o importantes reportaban la fuga de datos de los clientes y eran sancionadas con una multa, sin embargo con la nueva directiva, los líderes empresariales, en caso de penalización, podrían verse obligados a cubrir con su propio patrimonio las incidencias de seguridad. La medida, por lo tanto, transforma la ciberseguridad en un tema estratégico en el cual es necesaria la implicación de la dirección y la asignación de presupuesto para minimizar los riesgos.

Jordi Molina, Chief Technology Officer en Teradissk, empresa del Grupo Aire afirma que “ la ciberseguridad ya no se trata de si ocurrirá un incidente, sino de cuándo ocurrirá. Por este motivo es fundamental establecer roles y responsabilidades, protocolos de notificación y realizar pruebas periódicas dentro de un plan de ciberseguridad definido y sólido, incluyendo simulacros y auditorías, para garantizar su eficacia”.

Por ende, la formación contínua y la concienciación de los empleados en ciberseguridad es primordial para evitar incidentes, una vez que los errores humanos son muchas veces la puerta de entrada para los ciberataques, de forma que promover las buenas prácticas de seguridad como autenticación multifactor y el uso de contraseñas robustas, puede ser significativo a la hora de prevenir posibles ataques.