- NIS2 amplía a 18 sectores las empresas medianas y grandes obligadas a gestionar y notificar riesgos informáticos.
- DORA exige resiliencia digital a las entidades financieras y a sus proveedores tecnológicos.
- La dirección de la empresa responde de aprobar y supervisar las medidas, no solo el departamento técnico.
El 16 de enero de 2023 entraron en vigor dos normas europeas de ciberseguridad publicadas el 27 de diciembre de 2022: la Directiva (UE) 2022/2555, conocida como NIS2, y el Reglamento (UE) 2022/2554, llamado DORA. La primera obliga a los Estados a adoptar su legislación antes del 17 de octubre de 2024. El segundo, que no necesita trasposición, se aplicará directamente desde el 17 de enero de 2025.
Ambas responden a una realidad conocida por cualquier empresario: los ataques informáticos, desde el secuestro de datos hasta la interrupción de servicios, son un riesgo operativo de primer orden. La novedad es que la ley europea deja de tratarlos como una buena práctica y los convierte en una obligación con sanciones, y con consecuencias que alcanzan a la propia dirección de la empresa. Para muchas empresas medianas será la primera vez que la seguridad informática aparezca en una norma con plazos concretos.
Qué cambia con NIS2
La directiva sustituye a la de 2016 y amplía el alcance a unos sectores más numerosos, entre ellos energía, transporte, salud, agua, infraestructuras digitales, residuos, correos o fabricación de productos críticos. Como regla general se aplica a las entidades medianas y grandes de esos sectores, que deberán adoptar medidas de gestión de riesgos y notificar los incidentes significativos. La directiva cubre además a ciertas entidades con independencia de su tamaño cuando su papel es crítico, como determinados proveedores de servicios digitales y de comunicaciones.
La notificación sigue un calendario exigente: una alerta temprana sin demora y en todo caso en 24 horas desde que se conoce el incidente, y una notificación completa en 72 horas. Los Estados deben prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial para las entidades esenciales, y de al menos 7 millones o el 1,4 % para las importantes.
Qué aporta DORA
El reglamento DORA se dirige al sector financiero: bancos, aseguradoras, empresas de servicios de inversión o entidades de pago, entre otras. Fija requisitos comunes de gestión del riesgo tecnológico, pruebas de resiliencia, comunicación de incidentes y control de los riesgos que suponen los proveedores externos de tecnología, como los servicios en la nube. Pone el acento en los proveedores críticos, que quedarán sujetos a una supervisión europea específica. Su ámbito incluye también a los proveedores de servicios de tecnologías de la información y la comunicación de esas entidades.
Aunque las empresas no financieras no están directamente sujetas, sí lo estarán sus bancos y aseguradoras, que trasladarán exigencias contractuales a quienes les prestan servicios informáticos. Esa cadena de obligaciones es la que acabará alcanzando a muchas pymes proveedoras sin que figuren en el texto de la norma.
Qué conviene hacer ya
Un primer paso es averiguar si la empresa estará en el ámbito de NIS2 o si presta servicios a quien lo esté. Después conviene hacer un inventario de sistemas críticos y de proveedores, comprobar qué copias de seguridad y planes de recuperación existen y cuándo se probaron por última vez, y definir quién decide y a quién se avisa cuando ocurre un incidente. También ayuda revisar qué dicen los contratos con proveedores de nube y de soporte sobre seguridad y aviso de incidentes, porque es ahí donde la responsabilidad se concreta en la práctica.
La dirección deberá implicarse: las normas europeas piden que los órganos de administración aprueben las medidas y supervisen su aplicación. Hay tiempo hasta que cada Estado trasponga la directiva, pero la preparación lleva meses. Las pymes que sean proveedores tecnológicos de entidades financieras deberían anticipar cláusulas contractuales sobre seguridad y auditoría. Esta nota es informativa; el alcance concreto dependerá de la ley nacional y de cada caso.
La ciberseguridad empieza a medirse como lo hace la contabilidad: con reglas, plazos y responsables.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
