Cumplimiento de la Directiva NIS 2

La NIS 2 amplía el ámbito de aplicación de la legislación a más sectores, como la energía, el transporte, la banca, las infraestructuras de los mercados financieros, la sanidad, el agua potable, las aguas residuales, las infraestructuras digitales, la gestión de servicios TIC, la administración pública y el espacio.

Quizá el aspecto más relevante se aborda en el artículo 21 de la Directiva 2022/2555 de la UE, denominado Medidas de gestión de riesgos en materia de ciberseguridad, que se basan en un enfoque multirriesgo destinado a proteger las redes y los sistemas de información y su entorno físico frente a incidentes e incluyen al menos los siguientes elementos:

• análisis de riesgos y políticas de seguridad de los sistemas de información
• gestión de incidentes;
• continuidad de la actividad, como gestión de copias de seguridad y recuperación en caso de catástrofe, y gestión de crisis
• seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a la relación entre cada entidad y sus proveedores directos o proveedores de servicios
• seguridad de la adquisición, desarrollo y mantenimiento de sistemas informáticos y de redes, incluida la gestión y divulgación de vulnerabilidades;
• estrategias y procedimientos para evaluar la eficacia de las medidas de gestión de los riesgos de ciberseguridad;
• prácticas básicas de ciberhigiene y formación en ciberseguridad
• políticas y procedimientos relativos al uso de la codificación y, en su caso, el cifrado
• seguridad de los recursos humanos, estrategias de control de acceso y gestión de activos;
• uso de soluciones de autenticación multifactor o continua; comunicaciones seguras de voz, vídeo y texto; y sistemas internos seguros de comunicación de emergencia, cuando proceda.