- Las empresas que prestan servicios esenciales y los proveedores de determinados servicios digitales tendrán que gestionar el riesgo informático.
- Deberán evaluar riesgos, adoptar medidas adecuadas y notificar a las autoridades los incidentes que sufran.
- Aunque no se esté obligado, la norma marca el nivel de diligencia que clientes y proveedores empezarán a exigir a cualquier empresa.
El 7 de septiembre de 2018 el Consejo de Ministros aprobó el Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, publicado en el BOE al día siguiente. La norma traspone al ordenamiento español la Directiva (UE) 2016/1148, de 6 de julio de 2016, conocida como directiva NIS, cuyo plazo de transposición había vencido en mayo de 2018.
Se aplica a las entidades que prestan servicios esenciales para la comunidad y dependen de las redes y sistemas de información para su actividad, así como a los proveedores de determinados servicios digitales. Establece que estas entidades deben realizar una evaluación previa de riesgos, adoptar medidas adecuadas para gestionar los que se planteen y notificar los incidentes que sufran.
A quién afecta
El decreto identifica los sectores en los que es necesario garantizar la protección de las redes y los sistemas de información y fija procedimientos para determinar qué servicios son esenciales y quiénes son los principales operadores. Las autoridades deben designar de forma concreta a los operadores esenciales con los criterios de la directiva, de modo que no todas las empresas de un sector quedarán incluidas automáticamente. La directiva europea cubre sectores como la energía, el transporte, la banca, las infraestructuras de los mercados financieros, la salud, el agua potable y las infraestructuras digitales.
Los servicios digitales incluidos son los mercados en línea, los motores de búsqueda y la computación en la nube. Esto alcanza tanto a grandes operadores como a empresas tecnológicas de menor tamaño que ofrezcan esos servicios a clientes en la Unión. Las microempresas y pequeñas empresas proveedoras de servicios digitales quedan, en general, fuera del ámbito, pero cualquier empresa puede verse afectada de forma indirecta por ser proveedora o subcontratista de un operador esencial.
Qué obligaciones introduce
La primera obligación es de gestión del riesgo: conocer qué sistemas son críticos, qué amenazas los afectan y qué medidas técnicas y organizativas los protegen. La segunda es de notificación: los incidentes con efectos significativos para la continuidad del servicio deben comunicarse a las autoridades competentes. Estas exigencias complementan las del Reglamento general de protección de datos, que ya obliga a notificar las brechas de seguridad con datos personales, pero tienen un objeto distinto: la continuidad del servicio.
Para las empresas, supone pasar de una ciberseguridad entendida como asunto técnico a otra tratada como riesgo del negocio, con responsabilidades definidas y procedimientos documentados. También introduce un régimen de supervisión y sanción para quienes no cumplan, de modo que la ciberseguridad pasa a formar parte del cumplimiento normativo.
Qué conviene revisar
Un primer paso es comprobar si la empresa presta servicios que podrían considerarse esenciales o digitales en el sentido de la norma, o si depende de clientes o proveedores que sí lo son. Después conviene hacer un inventario de los sistemas críticos, evaluar los riesgos y verificar que existen copias de seguridad, planes de respuesta ante incidentes y un responsable claro. También conviene revisar los seguros, que no siempre cubren los ciberincidentes, y las cláusulas de seguridad con los proveedores externos de informática.
Aunque la norma no obligue a una empresa en concreto, sus clientes más grandes sí pueden pedirle garantías por contrato. Disponer de políticas de seguridad escritas, formación del personal y un procedimiento de aviso ante incidentes es una ventaja competitiva, y su preparación puede apoyarse en un asesor jurídico y en un especialista técnico.
La ciberseguridad deja de ser opcional para los servicios esenciales, y empieza a ser una exigencia de mercado para el resto.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
