No es ninguna novedad, la ciberseguridad y la resiliencia de las infraestructuras críticas se han convertido en una prioridad para los gobiernos y las empresas.
Debido a las crecientes amenazas cibernéticas, la Unión Europea ha adoptado dos marcos regulatorios que tendrán un impacto significativo en la manera en que las organizaciones operan y gestionan su seguridad digital: la Directiva NIS2 y el Reglamento DORA.
Ambos están diseñados para fortalecer la seguridad de las redes y sistemas de información, y, además, para mejorar la resiliencia operativa digital en sectores críticos. A continuación, analizaremos en detalle cada una de estas normativas.
¿Qué es la directiva NIS2?
La Directiva NIS2 (Directiva de Seguridad de las Redes y los Sistemas de Información) es una actualización de la primera Directiva NIS, adoptada en 2016.
Su objetivo es establecer una estrategia más robusta y coherente para la ciberseguridad en la Unión Europea, ampliando el alcance de la normativa y reforzando las medidas de seguridad.
Principales características de NIS2
Ampliación del alcance
NIS2 incluye un mayor número de sectores y organizaciones consideradas esenciales, como proveedores de servicios digitales, infraestructura de energía, agua, transporte, salud, servicios financieros, entre otros. Esto asegura que más actores clave implementen medidas adecuadas de ciberseguridad.
Estándares más estrictos
Las organizaciones afectadas deben cumplir con requisitos más estrictos en términos de gestión de riesgos, incluyendo la implementación de medidas técnicas y organizativas para prevenir, detectar y gestionar incidentes de ciberseguridad.
Mayor supervisión y sanciones
Las autoridades competentes en cada estado miembro tendrán un papel más activo en la supervisión de las empresas que estén bajo el alcance de NIS2. Además, se establecerán sanciones más severas para aquellas organizaciones que no cumplan con los requisitos de seguridad.
Gestión de incidentes
Las empresas deberán informar sobre los incidentes de ciberseguridad de manera más rápida y completa, lo que permitirá una respuesta más coordinada a nivel europeo.
Impacto de NIS2
NIS2 tendrá un impacto significativo en cómo las empresas gestionan sus estrategias de ciberseguridad. Las organizaciones deberán invertir en tecnología, personal y procesos que les permitan cumplir con las exigencias de la directiva.
También se espera que la NIS2 impulse una mayor colaboración entre los estados miembros de la UE, así como una mejora en la gestión de riesgos cibernéticos en toda la región.
¿Qué es el reglamento DORA?
Mientras que NIS2 se centra en la ciberseguridad en general, el Reglamento DORA (Digital Operational Resilience Act o en español, Reglamento de Resiliencia Operativa Digital) se enfoca específicamente en el sector financiero y tiene como objetivo garantizar que las instituciones financieras de la UE sean capaces de resistir y recuperarse de incidentes relacionados con la tecnología.
Este reglamento se introdujo como parte del Paquete de Finanzas Digitales de la Unión Europea en 2020.
Principales características de DORA
Resiliencia digital obligatoria
DORA exige que todas las instituciones financieras, incluidos bancos, aseguradoras, fondos de inversión y proveedores de servicios críticos de tecnología, adopten medidas adecuadas para garantizar la resiliencia digital. Esto incluye la capacidad de resistir, adaptarse y recuperarse de interrupciones tecnológicas.
Gestión de riesgos de terceros
DORA reconoce que las instituciones financieras dependen cada vez más de terceros, como proveedores de servicios en la nube o soluciones tecnológicas. Por ello, el reglamento establece requisitos estrictos sobre la gestión de estos riesgos y obliga a las entidades financieras a supervisar de cerca las relaciones con proveedores tecnológicos.
Notificación de incidentes
Las organizaciones deberán informar sobre incidentes importantes relacionados con la tecnología a las autoridades competentes, lo que facilitará una respuesta más rápida y coordinada a nivel europeo.
Pruebas periódicas de resiliencia
Las instituciones financieras estarán obligadas a realizar pruebas regulares para evaluar su capacidad de resistencia ante interrupciones tecnológicas y ciberataques. Esto incluye simulaciones de ataques cibernéticos y pruebas de recuperación de desastres.
Impacto de DORA
DORA tiene un enfoque integral en la gestión de riesgos digitales en el sector financiero, lo que significa que las instituciones deben adoptar una postura proactiva para mitigar las amenazas cibernéticas.
Las inversiones en infraestructura tecnológica, pruebas de seguridad y planes de continuidad operativa serán fundamentales para cumplir con estos requisitos.
Además, la resiliencia digital se convierte en un componente clave en la estabilidad financiera general de la UE, promoviendo la confianza en el sistema financiero.
NIS2 y DORA: Mismos objetivos
Ambas normativas tienen objetivos complementarios y están diseñadas para mejorar la seguridad digital y la resiliencia en sectores críticos. Mientras que NIS2 aborda la ciberseguridad de manera más amplia en múltiples sectores, DORA se enfoca específicamente en el sector financiero, reconociendo la importancia de mantener la estabilidad operativa en un ámbito clave para la economía.
Además, tanto NIS2 como DORA refuerzan la importancia de la cooperación internacional y el intercambio de información entre los estados miembros y las organizaciones del sector privado para garantizar una respuesta coordinada ante amenazas digitales.
La ciberseguridad y la resiliencia operativa digital ya no son solo una opción; se han convertido en una obligación para garantizar la continuidad del negocio y la protección de datos en un entorno cada vez más amenazado por riesgos digitales.
