DIRECTIVA NIS 2 (También conocida como SRI2)

Aproxímate en dos minutos a la Directiva NIS 2 (también conocida como SRI2) La Directiva (UE) 2022/2555, también conocida como Directiva NIS 2 o SRI 2, tiene como objetivo principal garantizar un alto nivel común de ciberseguridad en toda la Unión Europea. Esta directiva reemplaza a la Directiva (UE) 2016/1148, que presentaba grandes diferencias en su aplicación entre los estados miembros. Te presentamos la colaboración en vídeo por si prefieres este formato:

¿A quién afecta la Directiva NIS 2?

La Directiva NIS 2 afecta principalmente a dos tipos de entidades:

Entidades esenciales:

Son aquellas que operan en sectores de alta criticidad, como energía, transporte, banca, salud, agua potable, espacio, administración pública e investigación. También se incluyen entidades como proveedores cualificados de servicios de confianza y registros de nombres de dominio de primer nivel.

Entidades importantes:

Abarcan entidades de sectores adicionales como la industria alimentaria, la fabricación de productos químicos, los servicios postales y de mensajería, la gestión de residuos, la fabricación, la producción y distribución de productos digitales, los servicios legales y de contabilidad, y los proveedores de servicios digitales.

En general, la directiva se aplica a las medianas empresas o empresas más grandes que operan en los sectores mencionados. Sin embargo, también puede aplicarse a pequeñas empresas y microempresas que desempeñen un papel fundamental en la sociedad o la economía.

Quedan excluidas del ámbito de aplicación de la Directiva las entidades de la administración pública cuyas actividades se centren principalmente en la seguridad nacional, la seguridad pública, la defensa o la garantía del cumplimiento de la ley.

Efectos prácticos de la Directiva NIS 2

La Directiva NIS 2 impone a las entidades afectadas una serie de obligaciones:

• Implementar medidas de gestión de riesgos de ciberseguridad: Esto incluye medidas para identificar, proteger, detectar, responder y recuperarse de incidentes de ciberseguridad.
• Notificar incidentes de ciberseguridad significativos: Las entidades deben notificar incidentes que puedan tener un impacto significativo en la prestación de sus servicios.
• Cooperar en el intercambio de información sobre ciberseguridad: Se fomenta el intercambio de información sobre ciberamenazas, vulnerabilidades e incidentes.

Para garantizar el cumplimiento, la directiva establece regímenes de supervisión y ejecución:

• Entidades esenciales: Están sujetas a una supervisión más estricta, incluyendo inspecciones in situ y auditorías de seguridad.
• Entidades importantes: Se someten a una supervisión menos estricta, principalmente a posteriori.

Las autoridades competentes de cada estado miembro tienen la responsabilidad de supervisar la aplicación de la directiva. Además, la ENISA (Agencia de la Unión Europea para la Ciberseguridad) desempeña un papel fundamental en el apoyo a la aplicación de la Directiva NIS 2.

Las cuestiones de regulación financiera que plantea esta materia son parte de nuestro trabajo diario.

Si te ha gustado este artículo, también puede resultarte interesante la lectura del siguiente: DORA: El nuevo paradigma en la notificación de incidentes TIC para entidades financieras

No te quedes con la duda, contacta con nosotros. Estaremos encantados de atenderte y de ofrecerte soluciones.

Contacto
No te quedes con la duda, contacta con nosotros. Estaremos encantados de atenderte y de ofrecerte soluciones.