Directiva NIS2, una oportunidad para reforzar la resiliencia del futuro empresarial

Aeropuertos hackeados que paralizan vuelos de miles de pasajeros; peticiones de elevados rescates económicos a centros hospitalarios para salvaguardar la información de sus pacientes; o apagones que pueden llegar a afectar a miles de ciudadanos dejándolos a oscuras y a temperaturas bajo cero. Son solo algunas muestras de cómo la ciberseguridad se ha convertido en un elemento crucial, tanto para las entidades privadas como para los organismos públicos en un mundo hiperconectado. Todos ellos pueden ser objeto de forma inesperada de ataques indiscriminados como lo han sido empresas relevantes de cualquier industria, desde las finanzas, a los hospitales, pasando por medios de comunicación o empresas energéticas.

Según el Instituto Nacional de Ciberseguridad (INCIBE), en 2023 se registraron en España un 24% más de incidentes de ciberseguridad que el año anterior, detectándose vulnerabilidades en 4 millones de dispositivos, lo que manifiesta la importancia de estar protegidos frente a las amenazas cibernéticas. Tras la publicación del reglamento GDPR, y la normativa NIS, la Unión Europea se percató de la necesidad de blindar aún más la información y los datos de ciudadanos y empresas, y ha promulgado normativas para garantizar la resiliencia operativa, entre las que se encuentra DORA o la Directiva NIS2, que ha ampliado la normativa inicial con el objetivo de abarcar más industrias, añadir más claridad al reglamento y redefinir el ámbito de aplicación.

El objetivo es claro: proteger los sistemas de la información y redes interconectadas, identificar posibles ataques, notificar a las autoridades pertinentes, reforzar los controles de seguridad para afianzar la seguridad de las organizaciones y, con ello, garantizar la resiliencia operativa y continuidad de las operaciones empresariales, preservando los derechos y la privacidad de los datos de los ciudadanos.

Para acelerar la transposición de la Directiva NIS2 a nuestro país, el Gobierno ha aprobado el anteproyecto de Ley de Coordinación y Gobernanza de la Seguridad, que actualiza el marco de aplicación, para impulsar la prevención y gestión de ciberamenazas, alineándose con los criterios exigidos por la Unión Europea. El anteproyecto aplica a entidades que la normativa ha considerado críticas o esenciales, entre las que se encuentran las organizaciones y compañías energéticas, así como a otras tantas entidades calificadas como importantes.

En este contexto, las empresas tenemos que ponernos en marcha para asegurar el cumplimiento de esta normativa y evaluar el potencial de nuestra estrategia de ciberseguridad, para, en caso de detectar brechas, implementar medidas que eliminen cualquier vulnerabilidad. En este proceso, muchas compañías, con independencia de su tamaño, necesitan el apoyo de un socio de confianza que les guíe, les ayude a garantizar la seguridad de sus redes y sistemas de información y a aplicar los requisitos y protocolos que marque la directiva a todos los niveles.

Las empresas deben trazar su hoja de ruta para ser resilientes y sostenibles en la era de la conectividad, empezando por una revisión a fondo de los sistemas y análisis de riesgos, implementando la notificación de incidentes a las autoridades competentes, y potenciando la detección de fallos de seguridad, la gestión de crisis, así como su relación con proveedores y terceros para asegurar que se aplica la nueva regulación en todos los eslabones de la cadena.

El momento ya ha llegado. Las empresas, organizaciones, tanto del ámbito privado como de la esfera pública, debemos estar preparadas para proteger nuestras infraestructuras críticas y blindarnos ante cualquier amenaza y, sobre todo, para mitigar riesgos y, en caso de que se produzcan, actuar con diligencia y celeridad, aportando soluciones rápidas y confiables. Debamos, por tanto, acatar las nuevas responsabilidades y obligaciones que nos demanda la norma, con miras a prevenir asegurar la continuidad de la actividad de las empresas para no repercutir ni en las pérdidas económicas, y para garantizar la privacidad y derechos de los ciudadanos, y con ello, su bienestar social.