La Directiva (UE) 2022/2555 («NIS2»), en vigor desde enero de 2023, busca reforzar la ciberseguridad en la UE estableciendo requisitos comunes para empresas cuya actividad se centra en sectores de alta criticidad. Para adaptarse a esta normativa, España ha desarrollado el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, con la finalidad de establecer un marco normativo para las empresas españolas.
Principales aspectos comparativos
- Ámbito de aplicación: Ambas normativas afectan a entidades de sectores críticos, aunque el Anteproyecto español amplía su alcance a la industria nuclear y empresas de seguridad privada.
- Autoridad competente: En España, el Centro Nacional de Ciberseguridad será el encargado de coordinar la gestión de riesgos y crisis cibernéticas.
- Medidas de seguridad: las empresas deben gestionar los riesgos cibernéticos mediante la aplicación de medidas concretas y políticas de seguridad.
- Notificación de incidentes: Se requiere informar a los CSIRT nacionales en 24 horas, con un informe detallado en 72 horas.
- Otros aspectos importantes: la NIS2 y el Anteproyecto contemplan unas medidas de supervisión para asegurar que las entidades críticas cumplen con la normativa. Las multas por incumplimiento en España pueden alcanzar los 10 millones de euros. Adicionalmente, es esencial gestionar adecuadamente las brechas de seguridad y cumplir con el procedimiento de notificación establecido en el RGPD.
En resumen, el Anteproyecto de Ley de Ciberseguridad representa un avance en la creación de un marco normativo nacional en el ámbito de la ciberseguridad, si bien será fundamental estar atentos a su evolución y al texto definitivo tras su entrada en vigor.
