Requisito para el cumplimiento
Con la introducción de la Directiva de la UE 2022/2555, también conocida brevemente como NIS 2, las exigencias de cumplimiento en las empresas han aumentado. Con la NIS 2 se responde a la amenaza de ciberataques en la UE. La directiva regula la ciberseguridad y seguridad de la información de empresas e instituciones. Los ciberataques se consideran ahora uno de los mayores riesgos empresariales para las compañías en todo el mundo.
La NIS 2 sustituye a la Directiva de la UE 2016/1148 (NIS 1) y pretende contribuir a mejorar la ciberseguridad en la Unión Europea y proteger mejor a las empresas. La implementación de la directiva NIS 2 también plantea mayores exigencias en cuanto a la gestión de riesgos y el cumplimiento en muchas empresas. Si las medidas en las empresas no se implementan adecuadamente, puede haber sanciones, según la firma MTR Legal Rechtsanwälte.
La UE aprobó la directiva NIS 2 en 2023 y, para 2025, los estados miembros deben implementarla en la legislación nacional. Qué empresas se ven afectadas por la directiva depende principalmente del tipo de actividad que realicen. La directiva se ha ampliado a otras empresas que se consideran esenciales (essential) e importantes (important). Esto lleva a un aumento significativo de empresas e instituciones que tienen la obligación legal de cumplir ante la Oficina Federal de Seguridad de la Información (BSI).
Infraestructuras críticas afectadas
A las infraestructuras críticas que ya caían bajo la Directiva NIS 1, como energía, transporte, salud, finanzas, gestión del agua e infraestructura digital, se les suman otros sectores afectados por la Directiva NIS 2. Estos incluyen servicios electrónicos públicos, otros servicios digitales como plataformas sociales, gestión de aguas residuales y desechos, servicios de correos y mensajería, administración pública o fabricantes de productos críticos. Se estima que en Alemania, alrededor de 29,000 empresas de diferentes sectores se verán afectadas por la implementación de la Directiva NIS 2. Principalmente, se solicita a medianas y grandes empresas en sectores críticos que tomen medidas adecuadas para la ciberseguridad y establezcan una conformidad eficiente. También están obligadas a informar a las autoridades pertinentes sobre incidentes de seguridad con perturbaciones o daños significativos.
La directiva NIS 2 también contiene disposiciones para supervisión, ejecución y revisiones entre pares voluntarias, para fortalecer la confianza mutua y la ciberseguridad en toda la Unión Europea. Esto también significa que la gestión tiene responsabilidad cuando las medidas de gestión de riesgos de ciberseguridad no se cumplen.
Reacción ante ataques a la ciberseguridad
La Directiva NIS 2 también establece una red de equipos de respuesta a incidentes de seguridad informática, para compartir amenazas de seguridad y responder adecuadamente a los incidentes. Además, se crea la red europea de organizaciones de enlace para crisis cibernéticas. Esta red apoya un intercambio regular de información entre los estados miembros y los órganos de la UE, para poder responder a incidentes y crisis de gran magnitud.
Todavía no está claro cómo se implementará exactamente la NIS 2 en ley nacional en Alemania. La razón es que la implementación se ha retrasado debido a las elecciones generales anticipadas. Sin embargo, está claro que con la implementación, la ciberseguridad también será un tema para muchas medianas empresas.
Las empresas deben implementar medidas de seguridad
La NIS 2 las enfrenta al desafío de implementar las medidas de seguridad necesarias para proteger los datos y la infraestructura crítica de posibles ciberataques. Para ello, se deben tomar las medidas técnicas y organizativas necesarias. Si la empresa es víctima de un ciberataque, deben existir planes para mitigar el daño de inmediato y restaurar los sistemas. Asimismo, las autoridades competentes deben ser informadas. Además, las empresas deben realizar pruebas periódicas para detectar y eliminar vulnerabilidades. La ciberseguridad también debe existir dentro de la cadena de suministro. Por lo tanto, también aquí se deben abordar los riesgos.
La implementación de la directiva NIS-2 representa desafíos para una conformidad eficiente en las empresas afectadas, ya que los directivos y órganos superiores también pueden ser personalmente responsables si no se implementan las medidas de seguridad necesarias.
MTR Legal Rechtsanwälte apoya a las empresas en la implementación de sistemas de cumplimiento efectivos y asegura que se cumplan los requisitos legales. Como firma asesora, MTR Legal asesora sobre cumplimiento y otros temas de derecho penal económico.
Por favor, contáctenos ¡para mas información!
