UNIR Revista
La importancia de Internet y las redes en la economía ha llevado a la UE a aprobar sendas directivas NIS y NIS 2.0 para garantizar unos estándares de seguridad mínimos en todos los países miembros.
La Directiva NIS es una normativa europea que tiene por objetivo garantizar la seguridad de las redes y sistemas de información en el territorio de la UE.
En 2016 la Unión Europea aprobó la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión, más conocida como Directiva NIS (abreviatura en inglés de Security of Network and Information Systems).
Según se explica en la propia directiva, las redes y sistemas de información, como Internet, desempeñan un papel central en nuestras economías y sociedades, por lo que garantizar su fiabilidad y seguridad es imprescindible.
Los incidentes de seguridad que afectan a redes y sistemas de información son cada vez más frecuentes y suponen una amenaza, ya que tienen la capacidad de interrumpir las actividades económicas, y generar pérdidas, desconfianza y daños a la economía de la Unión. Internet facilita la circulación transfronteriza de productos, servicios y personas, y por ese carácter transnacional que tienen las redes, una perturbación o fallo en ellas, deliberados o no, pueden afectar a más de un país, incluso a la UE en su conjunto.
Por estos motivos, la Unión entendió que era necesario reforzar la seguridad de las redes y sistemas de información para garantizar el correcto funcionamiento del mercado interior. A través de la Directiva NIS se obliga a todos los Estados miembros a disponer de “requisitos mínimos comunes en materia de desarrollo de capacidades y planificación, intercambio de información, cooperación y requisitos comunes de seguridad para los operadores de servicios esenciales y los proveedores de servicios digitales”.
Medidas de la Directiva NIS
Con este objetivo de garantizar la ciberseguridad, la Directiva NIS impone diferentes medidas:
- A los Estados miembros les obliga a adoptar una estrategia nacional de seguridad de las redes y sistemas de información.
- Crea un Grupo de cooperación para facilitar la cooperación estratégica y el intercambio de información entre los países de la UE.
- Crea una red de equipos de respuesta a incidentes de seguridad informática (denominada red de CSIRT, siglas en inglés de computer security incident response team).
- Establece requisitos en materia de seguridad y notificación para operadores de servicios esenciales (detallados en un anexo de la directiva, entre los que se incluyen compañías energéticas, entidades bancarias, empresas de transporte, entidades gestoras de aeropuertos y puertos, hospitales, empresas de infraestructura de Internet o proveedores de servicios de DNS) y proveedores de servicios digitales (cualquier persona jurídica que preste un servicio digital).
- Obliga a los países de la UE a designar autoridades nacionales competentes, puntos de contacto únicos y CSIRT.
Nueva Directiva NIS 2.0
A finales de 2022 se publicaba la actualización de la Directiva NIS: la nueva Directiva (UE) 2022/2555, también conocida como Directiva sobre Ciberseguridad o Directiva NIS 2.0. En ella se establecen nuevas obligaciones en materia de ciberseguridad tanto para los Estados miembros como para las entidades a las que es de aplicación.
Así, los países tendrán que adoptar estrategias nacionales de ciberseguridad, y designar autoridades de gestión de crisis de ciberseguridad, puntos de contacto únicos y equipos CSIRT. Por su parte, las entidades incluidas en sectores críticos deberán implementar medidas para gestionar sus riesgos de ciberseguridad y minimizar las repercusiones que un ciberataque pueda tener en los destinatarios de sus servicios. Y en caso de que se produzca un incidente que tenga impacto en la prestación de sus servicios deberán notificarlo sin demora al CSIRT o la autoridad competente.
Los 27 países miembros de la UE tienen de plazo hasta el 17 de octubre de 2024 para transponer esta directiva a su ordenamiento interno, momento en que quedará derogada la Directiva NIS anterior (la Directiva 2016/1148).
Tanto la Directiva NIS como la nueva NIS 2.0 establecen obligaciones para determinados operadores privados, por lo que para las empresas se hace imprescindible contar con profesionales preparados para protegerse frente a ciberataques. Para aquellos que estén pensando en trabajar en este campo, una de las mejores maneras de formarse es cursar el Máster en Ciberseguridad online de UNIR.
