La ciberseguridad como obligación legal de las empresas
La Directiva NIS2 (Directiva (UE) 2022/2555), traspuesta en España en 2024, amplía significativamente el número de empresas sujetas a obligaciones de ciberseguridad: ya no solo las infraestructuras críticas, sino también empresas de tamaño mediano (más de 50 empleados o 10 millones de facturación) en sectores como energía, transporte, banca, sanidad, administración pública digital, servicios postales y proveedores de servicios digitales. Estas empresas tienen obligaciones de gestión de riesgos de ciberseguridad, notificación de incidentes y responsabilidad de los órganos de dirección.
Obligaciones de gestión de riesgos bajo NIS2
Las empresas sujetas a NIS2 deben implementar medidas técnicas y organizativas proporcionadas al riesgo: (1) políticas de análisis de riesgos y seguridad de los sistemas de información; (2) gestión de incidentes (detección, respuesta y recuperación); (3) continuidad del negocio y gestión de crisis; (4) seguridad de la cadena de suministro (incluyendo la evaluación de la seguridad de los proveedores tecnológicos clave); (5) seguridad en la adquisición, desarrollo y mantenimiento de sistemas; y (6) formación en ciberseguridad para todo el personal.
Notificación de brechas de seguridad: plazos
NIS2 establece un sistema de notificación escalonado: alerta temprana al CSIRT nacional en 24 horas desde que se tenga conocimiento del incidente significativo, notificación completa en 72 horas y informe final en un mes. Paralelamente, el RGPD exige notificación a la AEPD en 72 horas cuando la brecha afecta a datos personales. La empresa debe tener un procedimiento de gestión de brechas que permita cumplir ambos plazos simultáneamente. Las sanciones por incumplimiento de NIS2 alcanzan los 10 millones de euros o el 2% de la facturación mundial para las entidades esenciales. En DirectorJuridico.es asesoramos en el cumplimiento de NIS2 coordinados con LRB Tax & Legal, expertos en compliance digital y ciberseguridad legal. Contacto: Contacto@LRB.es / +34 684 234 831.