La futura Directiva de ciberseguridad europea (NIS2) va a incluir aspectos relacionados con la respuesta a incidentes de seguridad, el cifrado de la información, la divulgación de vulnerabilidades o el refuerzo de la seguridad de la cadena de suministro. Se prevé que la ciberseguridad se reconozca expresamente como una responsabilidad empresarial al más alto nivel, lo que supondría una revisión de la responsabilidad legal de los administradores y directivos de las empresas.
Esta nueva norma, que aún está en fase borrador, recomienda a las empresas afectadas que comiencen a planificar el modo de gestionar la ciberseguridad y a identificar cuáles son las medidas nuevas que deben adoptar próximamente. Pero lo más importante es ser conscientes de que no debemos hacer esto porque nos obligue una ley o porque podamos ser sancionados, sino porque de ello depende la continuidad de la propia empresa..
Desde que en el año 2017 se aprobó la actual Directiva sobre la seguridad de las redes y sistemas de información (comúnmente conocida como NIS), una de las principales críticas es que no ha sido incorporada de manera homogénea por los Estados miembros a sus ordenamientos internos, lo que ha provocado una fragmentación y, según el Parlamento Europeo, ha colocado a los países europeos en unos niveles insuficientes de ciberseguridad. La situación actual respecto a la ciberseguridad europea, en la que los ciberataques cada vez son más numerosos y complejos, hace necesario actualizar la normativa actual, con el fin de lograr que Europa sea un lugar seguro para trabajar y para hacer negocios.
Los datos aportados al informe de la nueva Directiva NIS2 reflejan que el ciberdelito se duplicó en 2019 y el ransomware se triplicó en 2020, aunque las empresas e instituciones europeas invierten un 41% menos en ciberseguridad que Estados Unidos.
El pronóstico es preocupante: los daños causados por el ransomware podrían alcanzar los 17 mil millones de euros a finales del año 2021, 57 veces más que en 2015. Se prevé que las empresas sufrirán un ataque de ransomware cada 11 segundos, frente a los 40 segundos de 2016.
Un mayor número de empresas deberán adoptar nuevas medidas y cumplir obligaciones de ciberseguridad europea:
Bruselas también incluye en las obligaciones a más sectores
El texto de la nueva Directiva sobre ciberseguridad europea incluirá nuevas y más estrictas obligaciones en materia de ciberseguridad para las empresas, especialmente en términos de de gestión de riesgos, supervisión, de intercambio de información y de elaboración de reportes, además de regular los regímenes de sanciones para todos los Estados miembros.
En comparación con la legislación actual, que en España está desarrollada a través del Real Decreto 12/2018, desarrollado por el real Decreto-Ley 43/2021, la nueva Directiva incluirá a un mayor número de empresas, que deberán adoptar nuevas medidas y cumplir obligaciones adicionales en materia de seguridad de la información.
Entre los nuevos sectores afectados se encuentran empresas de gestión de residuos, electrónica, servicios postales, productos químicos, fabricación de dispositivos médicos, alimentación, maquinaria o vehículos a motor.
