La directiva europea NIS 2 busca reforzar la protección de las infraestructuras críticas frente a los ciberataques.
Con un ámbito de aplicación ampliado y requisitos reforzados respecto a la directiva NIS de 2016, impone a las empresas una puesta en conformidad rigurosa para proteger sus sistemas de información críticos, incluidos los dispositivos móviles y los servicios prestados mediante aplicaciones.
¿Su objetivo? Garantizar la continuidad de los servicios esenciales responsabilizando al mismo tiempo a las empresas frente a los riesgos digitales.
¿A qué organizaciones se aplica la directiva NIS 2?
Gaël Prado, consultor sénior en regulación de Orange Cyberdefense, lo explica: «El texto NIS 2 supone un verdadero cambio en términos de volumen. En Francia, por ejemplo, unos 300 operadores de servicios esenciales estaban designados bajo NIS 1, pero con las nuevas reglas de NIS 2 esa cifra podría alcanzar unas 20 000 empresas, tomando los datos del INSEE y sin contar las administraciones locales que podrían añadirse.»
NIS 2 regula un amplio abanico de entidades consideradas esenciales o importantes. Esto incluye organizaciones de los siguientes sectores altamente críticos:
- Administraciones públicas
- Agua potable
- Aguas residuales
- Energía • Espacio
- Gestión de servicios de tecnologías de la información y la comunicación (entre empresas)
- Infraestructuras de los mercados financieros
- Infraestructuras digitales
- Sanidad
- Sector bancario
- Transportes
- Fabricación, producción y distribución de productos químicos
- Proveedores digitales
- Gestión de residuos
- Industria manufacturera
- Producción, transformación y distribución de alimentos
- Investigación
- Servicios postales y de mensajería
La directiva NIS 2 se aplica a todas las empresas de los sectores mencionados que desarrollen actividades o presten servicios en la Unión Europea. Esto incluye tanto a las empresas establecidas en Europa como a las situadas en el extranjero, siempre que ofrezcan servicios a ciudadanos europeos y operen en los sectores afectados.
Los servicios móviles, ya dentro del ámbito de aplicación
Uno de los avances mayores de esta nueva versión de la directiva es que subraya la importancia de no excluir la protección de los servicios ofrecidos mediante aplicaciones móviles cuando se habla de servicios en línea. En efecto, en su preámbulo, la directiva NIS2 declara partir del principio de que «los servicios de computación en nube deberían cubrir los servicios digitales que permiten la gestión bajo demanda y el acceso amplio a distancia […], incluidos los prestados en teléfonos móviles, tabletas, ordenadores portátiles y puestos de trabajo».
Esta inclusión explícita de los servicios móviles refleja una consideración de las realidades actuales, en las que los dispositivos móviles desempeñan un papel central en los usos digitales profesionales y personales. Con la generalización de las aplicaciones móviles en los procesos de negocio y en los intercambios sensibles, los smartphones y las tabletas se han convertido en importantes vectores de riesgo. Al integrar estos dispositivos en el ámbito de aplicación de la directiva, el Parlamento Europeo obliga a las organizaciones a considerar los terminales móviles como un componente esencial de su estrategia global de ciberseguridad.
Artículo 21: el enfoque «todos los riesgos»
El artículo 21 de la directiva NIS 2 presenta las medidas de gestión de riesgos en materia de ciberseguridad. La necesidad de gestionar los riesgos ligados a socios y subcontratistas es un punto clave de este texto legal, que pone el acento en la noción de responsabilidad compartida en ciberseguridad. En efecto, pide a las entidades afectadas que consideren las vulnerabilidades de sus proveedores y prestadores, la calidad de sus productos, sus prácticas de ciberseguridad y sus procedimientos de desarrollo seguro.
Para ponerse en conformidad, las empresas deben adoptar ahora un enfoque proactivo y global de la ciberseguridad. Esto implica evaluar los riesgos con regularidad, detectar las vulnerabilidades y adoptar medidas preventivas, como la realización periódica de auditorías de seguridad, pruebas de intrusión o la formación de los empleados. En caso de incidente de seguridad, deben notificar el ataque a las autoridades locales competentes en 24 horas y facilitar un informe completo en 72 horas, para permitir una coordinación rápida de las respuestas.
¿Cómo le permite Pradeo cumplir la directiva NIS 2?
Para responder a las exigencias de NIS 2, Pradeo ofrece a las organizaciones soluciones que permiten asegurar sus móviles y aplicaciones, especialmente atacados por los ciberatacantes en los sectores sensibles.
Protección de las aplicaciones
La caja de herramientas de seguridad de aplicaciones de Pradeo permite proteger todo el ciclo de vida de las aplicaciones. Incluye una solución de análisis de código fuente (SAST), que permite auditar el código de las aplicaciones web y móviles para detectar las vulnerabilidades y corregirlas con un enfoque pedagógico de desarrollo seguro (este servicio también se ofrece en modo gestionado). El shielding refuerza la seguridad de las aplicaciones móviles protegiéndolas de manipulaciones maliciosas, mientras que la Runtime Application Self-Protection (RASP) ofrece una defensa en tiempo real frente a cualquier intento de intrusión.
Además, nuestra solución histórica de auditoría de conformidad permite controlar la seguridad de las aplicaciones móviles desarrolladas externamente o que se apoyan en bibliotecas externas, con el fin de validar su seguridad antes de la comercialización.
Protección de smartphones y tabletas
La solución de Mobile Threat Defense de Pradeo (MTD) protege frente a los ataques dirigidos a los dispositivos móviles identificando, analizando y bloqueando las ciberamenazas en tiempo real. Pradeo garantiza de forma autónoma una protección proactiva de los dispositivos móviles para proteger los datos sensibles y las comunicaciones profesionales, incluso en contextos de alto riesgo.
La directiva NIS 2 representa un giro esencial para las empresas europeas en materia de ciberseguridad. Ofrece no solo un marco para reforzar las defensas digitales, sino también una ocasión de replantear la gestión de riesgos dentro de las organizaciones.
«Las exigencias previstas por la directiva europea invitan a numerosas entidades a construir una hoja de ruta sólida para desplegar y reforzar sus medios de ciberdefensa, con el objetivo de un funcionamiento estructural más seguro, una mayor confianza de sus grupos de interés y una mejor competitividad para las empresas.» — Vincent Strubel, director general de la ANSSI
¿Quiere saber más sobre cómo Pradeo puede ayudarle? Contáctenos hoy mismo para una evaluación personalizada.
