Reglamento de seguridad de las redes y sistemas de información y Directiva “NIS 2”
El 26 de enero de 2021 se ha publicado el Reglamento de seguridad de las redes y sistemas de información (Real Decreto 43/2021) que viene a desarrollar el Real Decreto-ley 12/2018 (en adelante, “Ley NIS”) que traspuso a nuestro ordenamiento jurídico la Directiva (UE) 2016/1148 relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (Directiva NIS). Igualmente, se ha publicado por la Comisión Europea una propuesta para la actualización de dicha Directiva NIS (Directiva NIS 2).De manera previa al análisis, cabe señalar que las obligaciones descritas en la presente nota podrán ser tanto de aplicación a empresas pertenecientes a los sectores indicados, o designados mediante los procedimientos descritos, como a proveedores que puedan prestar servicios a las empresas que sean sujetos obligados por estas normas.
-
Reglamento de seguridad de las redes y sistemas
Siendo esto así, se vuelve fundamental conocer los sectores de actividad afectados por la Ley NIS, siendo éstos los siguientes:
- Servicios esenciales dependientes de las redes y sistemas de información (en adelante, “Operadores de Servicios Esenciales”)[1]:
- Servicios digitales (en adelante, “Proveedores de Servicios Digitales”) que la Ley NIS define como:
- Los mercados en línea (comúnmente conocidos como marketplaces o plataformas de venta de productos y/o servicios de terceros);
- Motores de búsqueda en línea; y
- Servicios de computación en nube o servicios cloud[2].
Dado que son varios los sectores de actividad las autoridades competentes también varían. Existirá una diferenciación entre las autoridades competentes de los Operadores de Servicios Esenciales en función de si además se les considera críticos por la Ley 8/2011, de 28 de abril y su normativa de desarrollo.
Por ejemplo, serán autoridades competentes de los Operadores de Servicios Esenciales Críticos: la Secretaría de Estado de Seguridad del Ministerio del Interior, a través del Centro Nacional de Protección de Infraestructuras y Ciberseguridad (en adelante, “CNPIC”).
Por su parte, la autoridad competente de los Operadores de Servicios Esenciales NO Críticos dependerá del sector de actividad de la empresa. Por ejemplo, el Banco de España en el caso de entidades de crédito, el Ministerio de Economía en el caso de seguros y fondos de pensiones.
En cuanto a los Proveedores de Servicios Digitales tendrán como autoridad competente la Secretaría de Estado para el Avance Digital, del Ministerio de Economía y Empresa[5].
Por último, están los CSIRT de referencia, equipos de respuesta a incidentes de seguridad informática, que también varían en función del sector de actividad y si estamos ante Operadores de Servicios Esenciales o Proveedores de Servicios Digitales. Sus funciones, entre otras, son monitorizar los incidentes a escala nacional, dar a conocer alertas tempranas a los interesados, evaluar incidentes y dar respuesta, así como fomentar prácticas comunes en materia de gestión de incidentes y riesgos.
Siendo lo anterior de esta manera, desde ECIJA hemos querido recordar cuáles son estas obligaciones y las matizaciones que realiza el Reglamento de desarrollo:
-
Adopción de medidas de seguridad atendiendo al riesgo asociado
Con carácter general, en el ámbito de la Administración Pública se tendrá como referente, en la medida de lo posible, el Esquema Nacional de Seguridad de las Administraciones Electrónicas[6] u otros esquemas nacionales de seguridad existentes.
Por su parte, en el ámbito privado será válido tomar como referencia estándares de seguridad reconocidos internacionalmente.
Asimismo, la normativa señala que en el análisis de riesgos realizado también se tendrá en cuenta el riesgo asociado al tratamiento de los datos, tal y como lo establece el Reglamento General de Protección de Datos (en adelante, “RGPD”)[7].
En particular, se establece que los Operadores de Servicios Esenciales aprueben una serie de políticas de seguridad de las redes y sistemas de información que abarquen un listado específico de aspectos como pudieran ser el análisis y gestión de riesgos, un catálogo de medidas de seguridad, organizativas, tecnológicas y físicas, sistemas de detección y gestión de incidentes o planes de recuperación y aseguramiento de la continuidad de las operaciones.
La relación de medidas adoptadas se formalizará en un documento denominado: “Declaración de Aplicabilidad de medidas de seguridad” que deberá estar suscrito por el Responsable de Seguridad de la Información e incorporarse a la Política de Seguridad que apruebe la Dirección de la empresa, existiendo un plazo de seis meses para su envío a la autoridad competente desde que se haya producido la designación como Operador de Servicios Esencial. Dicha Declaración deberá ser revisada cada tres años por parte de la empresa y podrá ser supervisada en cualquier momento por las autoridades competentes.
-
Notificación de incidentes de seguridad: Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes
Por su parte, en el caso de Operadores de Servicios Esenciales también se deberá notificar aquellos incidentes cuyo nivel de peligrosidad afecte a las redes y sistemas de información a través del cual se prestan los servicios, pero del que no se haya podido apreciar un efecto adverso real.
La obligación de notificación se extiende a los incidentes que puedan producirse tanto mediante la utilización de redes propias como de terceros. Importante también que los proveedores externos de los sujetos obligados por el Reglamento deberán de aportar medidas de seguridad adecuadas a esta normativa.
El incidente deberá notificarse a las autoridades competentes a través de la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes tan pronto se conozcan las circunstancias que determinan la notificación, debiendo realizar tantas notificaciones intermedias como sean necesarias para actualizar la información y por último una notificación final tras su resolución. Dicho lo anterior, la propia normativa incorpora unos plazos de referencia en función de si el impacto o la peligrosidad son críticos, muy alto o altos. En algunos casos, los plazos se reducen obligando a una notificación inicial inmediata.
En este sentido, importante hay que señalar que esta obligación de notificación no sustituye otras que puedan existir en normativas de sectores específicos o, por ejemplo, la notificación a la Agencia Española de Protección de datos (en adelante, “AEPD”), si se diesen los requisitos establecidos en el RGPD. También se indica que la AEPD podrá acceder a dicha plataforma.
- Nombramiento de un responsable de Seguridad de la Información, punto de contacto de la entidad
Son funciones propias del responsable de Seguridad, entre otras:
- La ya mencionada suscripción de la Declaración de Aplicabilidad de medidas de seguridad.
- La supervisión continuada de las políticas y procedimientos en materia de seguridad, así como la llevanza de controles periódicos.
- Comunicar los incidentes de seguridad que tengan efectos perturbadores en la prestación de los servicios en plazo a la autoridad competente a través del CSIRT de referencia.
- El seguir las instrucciones indicadas por las autoridades competentes.
Finalmente, la legislación cuenta con un régimen sancionador para aquellas entidades que incumplan las presentes obligaciones y las multas no son menores (hasta un millón de euros en el caso de infracciones muy graves). Se considera muy grave, por ejemplo, el incumplimiento reiterado en la notificación de los incidentes.
-
Directiva NIS 2
Aunque todavía no en vigor si procede destacar que el catálogo de sectores se amplía, aplicándose a todas las medianas y grandes empresas que puedan encuadrarse en alguno de los siguientes (se destacan los nuevos sectores incorporados):
- Infraestructuras digitales;
- Proveedores de servicios digitales;
- Proveedores de servicios y redes de comunicaciones electrónicas y públicas;
- Servicios digitales: plataformas, centros de datos y redes sociales;
- Administración Pública;
- Proveedores de energía y agua;
- Gestión de residuos;
- Servicios ejecutados/potenciados por redes espaciales;
- Servicios postales;
- Servicios de salud, farmacéutica y químicos;
- Servicios de alimentación/comida;
- Transporte;
- Sector financiero;
- Manufactura de productos críticos.
De esta manera queda atrás la distinción entre Operadores de Servicios Esenciales y Proveedores de Servicios Digitales, distinguiendo la norma únicamente entre esenciales e importantes.
La Comisión, busca la creación de unidad a nivel de ciberseguridad para Europa en los próximos años, con el objetivo de prevenir, disuadir y responder a ataques. Para ello, NIS 2 propone un conjunto de medidas para perseguir este objetivo:
- La puesta en marcha de una red europea para la coordinación de ciberataques y gestión de riesgos que afecten a nivel europeo;
- Los Estados miembros, en cooperación con la Comisión y la Agencia de la Unión Europea para la Ciberseguridad (ENISA) llevarán a cabo evaluaciones de riesgo coordinadas de las cadenas de suministro críticas;
- En línea con lo anterior, propone la creación de un registro operado por la Agencia de la Unión Europea para la Ciberseguridad (ENISA), en el cual, los Estados miembros podrán volcar los resultados provenientes de evaluaciones de riesgos de las entidades críticas identificadas;
- Refuerza el papel del Grupo de Cooperación, como autoridad competente de la toma de decisiones estratégicas comunes.
Respecto con la cadena de suministros, se promueve un aumento de la ciberseguridad y deber de cuidado, incluso proponiendo que las empresas individuales aborden los riesgos de ciberseguridad a sus cadenas de suministros y proveedores.
La propuesta introduce novedades sobre los procesos de notificación de incidentes, el contenido de los informes (que deberán ser aún más precisos), concluyendo con el objetivo de revelar mayor responsabilidad a las empresas de cumplir con las medidas de seguridad, proponiendo de manera paralela una lista de sanciones administrativas en caso de incumplimiento.
Es decir, la presente normativa ha venido para quedarse, por lo que es determinante verificar por las empresas si se encuentran dentro del ámbito de aplicación de la Ley NIS y cumplir con las obligaciones establecidas en esta materia.
Con ello, las empresas además dotarán de un sistema más robusto de protección a su información, secretos comerciales, entre otros, teniendo presente que son cada vez más elevados el número de incidentes que acontecen a diario a través de las redes y sistemas de información.
Área de Protección de Datos y Ciberseguridad
- 34 91 781 61 60
info@ecija.com
[1] La Ley NIS se remite en este extremo a Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas en donde se definen los sectores estratégicos.
[2] Lo que incluye, Infrastructure as a Service (IaaS), Platform as a Service (PaaS) y Software as a Service (SaaS).
[3] Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas
[4] De acuerdo con las definiciones recogidas en la Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas.
[5] En el caso de la Administración Pública tanto respecto de los Operadores de Servicios Esenciales como los Proveedores de Servicios Digitales no críticos la autoridad competente es el Ministerio de Defensa, a través del Centro Criptológico Nacional.
[6] Regulado en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.
[7] Es decir, “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas”.
