Cumpla la directiva NIS 2 con Acronis

Preguntas frecuentes

• ¿Qué tipos de organizaciones deben cumplir con la directiva NIS 2?

  La Directiva NIS 2 está endureciendo los requisitos para organizaciones de todos los tamaños. La directiva clasifica a las empresas en dos grupos: entidades esenciales y entidades importantes.

  Las entidades esenciales abarcan sectores críticos, como energía (electricidad, petróleo, gas, etc.), transporte (aéreo, ferroviario, marítimo, por carretera), banca, infraestructuras de los mercados financieros, atención sanitaria, infraestructura digital (IXP, proveedores de servicios DNS, registros de nombres de dominio de nivel superior [TLD], servicios de computación en la nube, centros de datos) y administración pública.

  Las entidades importantes incluyen otros sectores fundamentales, como los servicios postales y de mensajería, la gestión de residuos, la fabricación de productos químicos, la producción de alimentos, la fabricación (de determinados productos críticos), los proveedores digitales (mercados en línea, motores de búsqueda, servicios de redes sociales) y la investigación.

• ¿Cómo afecta la NIS 2 a los proveedores de servicios gestionados (MSP)?

  La directiva NIS 2 incluye explícitamente a los MSP dentro de su ámbito de aplicación, al reconocer el papel fundamental que desempeñan en la cadena de suministro de servicios esenciales. Esto implica que los MSP que operan en la UE (o que prestan servicios a clientes de la UE) deben:

  • Cumplir las medidas de seguridad establecidas por la directiva.
  • Implementar prácticas de ciberseguridad sólidas, con funciones eficaces de copia de seguridad y recuperación, planes de respuesta ante incidentes y procedimientos de notificación.
  • Gestionar los riesgos de la cadena de suministro al evaluar y garantizar que sus proveedores directos y subencargados cumplan con los estándares de seguridad.
  • Ofrecer servicios relacionados con el cumplimiento normativo a sus clientes, dado que muchas organizaciones recurrirán a los MSP para cumplir satisfactoriamente con la directiva NIS 2.
  • Asumir sanciones significativas en caso de incumplimiento, al igual que el resto de entidades incluidas en el ámbito de aplicación de la directiva.

• ¿Cuáles son los principales requisitos de ciberseguridad de la NIS 2?

  La NIS 2 exige medidas exhaustivas de gestión de riesgos de ciberseguridad, agrupadas en cuatro áreas principales:

  • Gestión de riesgos : las organizaciones deben implementar medidas técnicas, operativas y organizativas adecuadas, como políticas de análisis de riesgos, seguridad de los sistemas de información, gestión de incidentes, continuidad de la actividad empresarial, seguridad de la cadena de suministro, seguridad en la adquisición y el mantenimiento de redes y sistemas de información, evaluación de la eficacia de las medidas de ciberseguridad, higiene digital básica, formación en ciberseguridad, uso de criptografía y cifrado, seguridad de los recursos humanos, control de acceso, gestión de recursos y autenticación multifactor.
  • Responsabilidad corporativa los órganos de dirección deben aprobar, supervisar y asumir la responsabilidad de las medidas de gestión de riesgos de ciberseguridad, además de recibir formación periódica en esta materia.
  • Obligaciones de notificación de brechas de seguridad : tanto las entidades esenciales como las entidades importantes deben disponer de procesos que permitan notificar con rapidez los incidentes de seguridad que puedan tener un impacto significativo. Esto incluye una "alerta temprana" en un plazo de 24 horas, una evaluación inicial en un plazo de 72 horas y un informe final en el plazo de un mes.
  • Continuidad de la actividad empresarial : las organizaciones deben contar con planes que garanticen la continuidad de la actividad empresarial durante y después de sufrir ciberincidentes graves, como planes de recuperación de sistemas, procedimientos de emergencia y la creación de equipos de respuesta ante crisis.

• ¿Es obligatorio cumplir con la directiva NIS 2 para las pymes?

  En general, no. El cumplimiento de la NIS 2 no es obligatorio para las microempresas y las pequeñas empresas (menos de 50 empleados y menos de 10 millones de euros de facturación anual).

  Sin embargo, puede resultar obligatorio en situaciones concretas:

  • Cuando un Estado miembro las clasifica como "entidad crítica", independientemente de su tamaño, debido a su perfil de riesgo o a su nivel de criticidad.
  • Cuando prestan servicios considerados esenciales para la economía y la sociedad de la UE, incluso si son empresas de pequeño tamaño.
  • Cuando se trata de pequeñas y medianas empresas (pymes) que entran en la categoría de "entidades importantes" (generalmente entre 50 y 250 empleados o entre 10 y 50 millones de euros de facturación anual).

  Por lo tanto, aunque la mayoría de las microempresas y pequeñas empresas quedan exentas, resulta esencial que cualquier organización, con independencia de su tamaño, evalúe el papel que desempeña dentro de las cadenas de suministro críticas y su impacto directo en los servicios esenciales para determinar si la directiva NIS 2 puede aplicarse a su actividad o a la de sus clientes.