Descubre cómo los partners de Hommax han abordado la nueva directiva NIS2 en sus estándares de ciberseguridad
La Directiva NIS2 (Seguridad de las Redes y Sistemas de Información) es una regulación clave de la Unión Europea destinada a reforzar la ciberseguridad en todos los Estados miembros. Esta normativa actualiza la Directiva NIS de 2016 para responder a las crecientes amenazas cibernéticas que enfrentan tanto las infraestructuras críticas como las empresas.
La actualización NIS2 amplía su alcance, imponiendo requisitos de seguridad más estrictos y mejorando la cooperación entre los países de la UE, con el objetivo de proteger mejor los sistemas y redes frente a ataques sofisticados y garantizar la resiliencia en un entorno digital en constante evolución.
Este enfoque proactivo busca minimizar los riesgos asociados a la creciente dependencia de la tecnología en sectores esenciales como la energía, el transporte y la salud, fomentando una mayor preparación y capacidad de respuesta ante posibles incidentes.
El 17 de octubre de 2024, todos los países miembros de la UE deben adoptar y publicar las medidas necesarias para cumplir con la Directiva NIS2 y deberán aplicar dichas medidas a partir del 18 de octubre de 2024
Debido al aumento de la digitalización, los crecientes ciberataques y un panorama general de amenazas de ciberseguridad en aumento, la UE ha introducido medidas de supervisión más estrictas con capacidad de respuesta a incidentes y requisitos de cumplimiento más rigurosos, ampliándolos a nuevos sectores y entidades. En concreto, las normas de ciberseguridad de la UE introducidas en 2016 por la Directiva NIS fueron actualizadas y reforzadas por la Directiva NIS2, que entró en vigor en 2023.
Para más información, puedes consultar la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre las medidas para un alto nivel común de ciberseguridad en toda la Unión, que modifica el Reglamento (UE) Nº 910/2014 y la Directiva (UE) 2018/1972, y deroga la Directiva (UE) 2016/1148.
Mejora la ciberseguridad de tus instalaciones con las soluciones de Hommax que cumplen la NIS2
En Hommax, hemos verificado que todos nuestros proveedores y partners cumplen con la nueva normativa NIS2, superando estrictos controles de seguridad. Nuestra misión ahora es ofrecer a nuestros clientes toda la información y apoyo necesarios para fortalecer su confianza en nuestra profesionalidad y en la seguridad que brindan los productos que comercializamos.
Todos los productos de Honeywell Commercial Security, Hikvision, RISCO, Davantis y Optex cumplen con la directiva NIS2 y disponen de certificaciones oficiales y estándares de calidad que lo avalan, como la ISO 27001.
Soluciones de Videovigilancia IP que cumplen con NIS2
Soluciones de Intrusión que cumplen con NIS2
Soluciones de CCAA que cumplen con NIS2
Preguntas frecuentes
¿Cuál es el objeto de la Directiva NIS2?
La Directiva (UE) 2022/2555, de 14 de diciembre de 2022 (Directiva NIS2), que actualizará y derogará la Directiva (UE) 2016/1148 del 6 de julio de 2016, conocida como Directiva NIS1, es una norma jurídica europea que tiene como objeto establecer un marco normativo destinado a garantizar un elevado nivel de seguridad en las redes y sistemas de información en toda la Unión Europea, con el objetivo de alcanzar un elevado nivel común de ciberseguridad.
Para ello, se establecen obligaciones para que las adopten aquellas entidades que se incluyen en su ámbito de aplicación. Dichas obligaciones se concretan en obligaciones de notificación e intercambio de información sobre incidentes y medidas de seguridad técnicas, operativas y organizativas adecuadas, establecidas para gestionar los riesgos de ciberseguridad de los sistemas de información y las redes que utilizan dichas entidades en sus operaciones o en la prestación de sus servicios.
Para una mejor adecuación de los requisitos de ciberseguridad exigibles a las entidades en su ámbito, la Directiva NIS2 distingue entre entidades esenciales y entidades importantes. En cualquier caso, las 10 agrupaciones de medidas de seguridad que determina su artículo 21 se aplicarán a ambos tipos de entidades, aunque con mayor nivel de exigencia a las entidades esenciales.
¿Cuándo será su aplicación en España?
La Directiva NIS2 fue publicada en el Diario Oficial de la UE (DOUE) el 27 de diciembre de 2022, tras su aprobación formal, habiendo entrado en vigor veinte días después. No obstante, como ocurre con cualquier Directiva Europea, cada Estado miembro realizará la transposición de la Directiva NIS2 a su ordenamiento jurídico nacional, de forma análoga a como ya se hizo en España con su predecesora, la directiva NIS1, mediante la promulgación del Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.
Según el artículo 41 de la Directiva NIS2, deberá transponerse en todos los Estados miembros, entre ellos España, a más tardar el 17 de octubre de 2024, siendo de aplicación el 18 de octubre de ese mismo año.
¿A qué organizaciones afecta la Directiva NIS2?
1) La Directiva NIS2 afecta a las entidades que pertenezcan a sectores de alta criticidad (detalladas en el Anexo I de la Directiva) y a otros sectores críticos (Anexo II), tanto del sector público como del sector privado que se consideren medianas o grandes empresas (según la Recomendación 2003/361/CE una mediana empresa ocupa entre 50 y 250 empleados, tiene un volumen de negocios que no excede los 50 millones EUR y un balance general anual que no excede los 43 millones EUR).
2) Con independencia de su tamaño, la Directiva NIS2 también afecta a:
- Entidades pertenecientes a sectores de alta criticidad o a otros sectores críticos, cuando se trate de:
Proveedores de redes públicas o de servicios de comunicaciones electrónicas disponibles para el público.
Prestadores de servicios de confianza, registros de nombres de dominio de primer nivel y proveedores de servicios de DNS.
Cuando la entidad sea el único proveedor en un Estado miembro de un servicio esencial para el mantenimiento de actividades sociales o económicas críticas.
Cuando una perturbación del servicio prestado por la entidad pudiera tener repercusiones significativas sobre la seguridad pública, el orden público o la salud pública.
Cuando una perturbación del servicio prestado por la entidad pudiera inducir riesgos sistémicos significativos, en particular para los sectores en los que tal perturbación podría tener repercusiones de carácter transfronterizo.
Cuando la entidad sea crítica a la luz de su importancia específica a nivel nacional o regional para el sector o tipo de servicio en concreto o para otros sectores
interdependientes en el Estado miembro.
- Entidades del sector público central o regional: De conformidad con el Derecho nacional, entidades de la Administración pública central o regional, que presten servicios cuya perturbación podría tener un impacto significativo en actividades sociales o económicas críticas.
A criterio de cada Estado miembro: Adicionalmente, los Estados miembros podrán incorporar:
A los centros de enseñanza, en particular cuando lleven a cabo actividades críticas de investigación.
La Administración pública local.
- Entidades críticas según otra Directiva europea: Entidades identificadas como críticas según se definen en el artículo 2.1 de la Directiva (UE) 2022/2557 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a la resiliencia de las entidades críticas.
¿Qué obligaciones concretas se derivan de ser considerada una entidad esencial o importante?
Como se señala en el artículo 21 de la Directiva NIS2, las entidades esenciales e importantes deberán gestionar los riesgos respecto a la seguridad de redes y sistemas de información que utilizan en sus operaciones o para la prestación de sus servicios, a la vez que minimizar las repercusiones de los potenciales incidentes de seguridad que puedan producirse.
Las medidas deberán ser proporcionales al riesgo teniendo en consideración el grado de exposición de la entidad a los riesgos, el tamaño de la entidad y la probabilidad de que se produzcan incidentes y su gravedad, incluidas las repercusiones sociales y económicas.
El precitado artículo 21 de la Directiva NIS2 establece de forma generalista diez (10) agrupaciones de requisitos o medidas de seguridad mínimas que cada entidad deberá implementar.
En España disponemos del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS), que incluye todos los requisitos de la Directiva NIS2. El ENS es de obligado cumplimiento en España para todo el sector público (estatal, autonómico y local), para los proveedores que le aportan soluciones o le prestan servicios y, de forma voluntaria, para cualquier organización que desee mejorar su ciberseguridad. Adicionalmente, es una norma jurídica certificable, lo que permite evidenciar el cumplimiento.
Asimismo, la Directiva NIS2 obliga a las entidades esenciales e importantes a notificar cualquier incidente significativo a su equipo de respuesta a incidentes de seguridad informáticos (CSIRT) de referencia.
¿Existe alguna guía detallada para cumplir con la Directiva NIS2?
El Centro Criptológico Nacional (CCN) ha publicado la guía CCN-STIC 892 que corresponde al “Perfil de Cumplimiento Especifico para organizaciones en el ámbito de aplicación de la Directiva NIS2 (PCE-NIS2)” donde se detalla todo lo necesario para cumplir con las disposiciones de la Directiva NIS2 a partir del ENS, ya sea para una entidad esencial o entidad importante, en espera de la transposición de la misma al derecho nacional.
Las 10 medidas generales para la gestión de riesgos de ciberseguridad a que hace referencia el artículo 21 de la Directiva NIS2, se mapean en una tabla de la precitada guía del PCE-NIS2 con aquellas de las 73 medidas del ENS relevantes para darles cumplimiento. Asimismo, las concreta en una Declaración de Aplicabilidad de forma diferenciada para las entidades esenciales y para las entidades importantes.
¿Cuáles son los sectores de alta criticidad que determina el Anexo I de la Directiva NIS2?
Se presenta una lista no exhaustiva derivada del Anexo I de la Directiva NIS2:
1. Energía
- Electricidad (Empresas eléctricas, gestores de la red de distribución, gestores de la red de transporte, productores, operadores designados para el mercado eléctrico, servicios de agregación o almacenamiento de energía, operadores encargados de la gestión y explotación de un punto de recarga)
- Operadores de sistemas urbanos de calefacción y refrigeración.
- Crudo (Operadores de oleoductos, operadores de producción, instalaciones de refinado y tratamiento, almacenamiento y transporte, entidades centrales de almacenamiento).
- Gas (Empresas suministradoras de gas, gestores de la red de distribución, gestores de la red de transporte, gestore de almacenamiento, gestores de la red de GNL, compañías de gas natural, operadores de instalaciones de refinado y tratamiento de gas natural).
- Hidrógeno (Operadores de producción, almacenamiento y transporte).
2. Transporte
- Transporte aéreo (Compañías aéreas, entidades gestoras de aeropuertos, aeropuertos, entidades que explotan instalaciones anexas dentro de los recintos de los aeropuertos, operadores de control de la gestión del tráfico que prestan servicios de control del tráfico aéreo).
- Transporte por ferrocarril (Administradores de infraestructuras, empresas ferroviarias).
- Transporte marítimo y fluvial (Empresas de transporte marítimo, fluvial y de cabotaje, tanto de pasajeros como de mercancías, organismos gestores de los puertos incluidas sus instalaciones portuarias y entidades que operan obras y equipos que se encuentran en los puertos, operadores de servicios de tráfico de buques (STB)).
- Transporte por carretera (Autoridades varias responsables del control de la gestión del tráfico, excluidas las entidades públicas para las cuales la gestión del tráfico o la explotación de sistemas de transporte inteligentes sea una parte no esencial de su actividad general, operadores de sistemas de transporte inteligentes).
3. Banca
- Entidades de crédito.
4. Infraestructuras de los mercados financieros
- Gestores de centros de negociación.
- Entidades de contrapartida central (ECC).
5. Sector sanitario
- Prestadores de asistencia sanitaria.
- Laboratorios de referencia de la UE.
- Medicamentos (Entidades que realizan actividades de investigación y desarrollo de medicamentos, entidades que fabrican productos farmacéuticos de base y especialidades farmacéuticas, entidades que fabrican productos sanitarios que se consideran esenciales en situaciones de emergencia de salud pública).
6. Agua potable
- Suministradores y distribuidores de aguas destinadas al consumo humano (excluidos los distribuidores para los que la distribución de aguas destinadas al consumo humano sea una parte no esencial de su actividad general de distribución de otros bienes y productos básicos).
7. Aguas residuales
- Empresas dedicadas a la recogida, la eliminación o el tratamiento de aguas residuales urbanas, domésticas o industriales (excluidas las empresas para las que la recogida, la eliminación o el tratamiento de aguas residuales urbanas, domésticas o industriales sea una parte no esencial de su actividad general).
8. Infraestructura digital
- Proveedores (de puntos de intercambio de internet, de servicios de DNS excluidos los operadores de servidores raíz, de nombres de dominio de primer nivel, servicios de computación en la Nube, servicios de centro de datos, de redes de distribución de contenidos, de servicios de confianza, de redes públicas de comunicaciones electrónicas, de servicios de comunicaciones electrónicas disponibles para el público).
9. Gestión de servicios TIC B2B (de empresa a empresa)
- Proveedores de servicios gestionados.
- Proveedores de servicios de seguridad gestionados.
10. Entidades de la Administración pública, con exclusión del poder judicial, los parlamentos y los bancos centrales
- Entidades de la Administración pública central (tal como se definen en el Estado miembro con arreglo a las disposiciones del Derecho nacional).
- Entidades de la Administración pública a escala regional (según su definición en el Estado miembro con arreglo a las disposiciones del Derecho nacional).
11. Espacio
- Operadores de infraestructuras terrestres (cuya propiedad, gestión y explotación descansa en los Estados miembros o en entidades privadas, que apoyan la prestación de servicios espaciales, excepto los proveedores de redes públicas de comunicaciones electrónicas).
¿Cuáles son los ‘otros sectores críticos’ que determina el Anexo II de la Directiva NIS2?
Se presenta una lista no exhaustiva derivada del Anexo II de la Directiva NIS2:
1. Servicios postales
- Proveedores de servicios postales (incluidos los proveedores de servicios de mensajería).
2. Gestión de residuos
- Empresas que realizan la gestión de residuos (excepto aquellas para las que la gestión de residuos no es su principal actividad económica).
3. Fabricación, producción y distribución de sustancias y mezclas químicas
- Empresas que realizan la fabricación de sustancias y la distribución de sustancias o mezclas (incluidas empresas que realizan la producción de artículos a partir de sustancias y mezclas.
4. Producción, transformación y distribución de alimentos
- Empresas alimentarias (que se dediquen a la distribución al por mayor y a la producción y transformación industriales).
5. Fabricación
- Fabricación de productos sanitarios y productos sanitarios para diagnóstico in vitro (Entidades que fabrican los productos sanitarios y entidades que fabrican los productos sanitarios para diagnóstico in vitro, con algunas excepciones).
- Fabricación de productos informáticos, electrónicos y ópticos.
- Fabricación de material eléctrico.
- Fabricación de maquinaria y equipos no comprendidos en otras partes.
- Fabricación de vehículos de motor, remolques y semirremolques.
- Fabricación de otro material de transporte.
6. Proveedores de servicios digitales
- Proveedores de mercados en línea.
- Proveedores de motores de búsqueda en línea.
- Proveedores de plataformas de servicios de redes sociales.
7. Investigación
- Organismos de investigación.
¿Se incluye en la definición de proveedor de servicios gestionados el mantenimiento de las redes de los clientes?
Sí, el artículo 6 (39) de la NIS2 define a los proveedores de servicios gestionados como una entidad que presta servicios relacionados con la instalación, la gestión, la explotación o el mantenimiento de productos, redes, infraestructuras o aplicaciones de TIC o cualesquiera otros sistemas de redes y de información [...]. La definición se refiere explícitamente a actividades llevadas a cabo en las instalaciones del cliente o a distancia.
Cada una de estas tareas (instalación, gestión, explotación y mantenimiento) no son excluyentes unas de otras y una entidad puede acometer una o varias de ellas.
¿Puede un proveedor de servicios de seguridad gestionados prestar apoyo en caso de emergencia?
El proveedor de servicios de seguridad gestionados, como parte de las medidas de gestión de riesgos de ciberseguridad, puede prestar servicios de gestión de incidentes en caso de emergencia.
Ejemplos de servicios de ciberseguridad que ofrecen los proveedores de servicios de seguridad gestionados
Tal y como recoge el artículo 6 (40) de la NIS2, el proveedor de servicios de seguridad gestionados es aquel que “lleva a cabo actividades relativas a la gestión de riesgos de ciberseguridad o presta asistencia para ello”. Ejemplos de estos servicios pueden encontrarse en el artículo 21 (2) que aglutina diversas medidas de gestión de riesgos de ciberseguridad como el análisis de riesgos, la gestión de incidentes, la seguridad de la cadena de suministro o los planes de continuidad.
Fale-nos do seu projeto e entraremos em contacto consigo o mais rapidamente possível.