En los últimos tiempos, la Unión Europea está reforzando el marco regulatorio sobre ciberseguridad para hacer frente a la creciente amenaza que nos plantean los ciberataques. Para ello está dotando a los Estados miembros de un marco común especialmente focalizado en la ciberseguridad dirigido a garantizar la ciberresiliencia de los procesos que dan soporte a diferentes servicios esenciales para la sociedad.

La Directiva NIS o Directiva (UE) 2016/1148 fue la primera ley de ciberseguridad de la Unión Europea y ofrecía un marco común para mejorar la resiliencia de las redes y los sistemas de información de la Unión frente a los riesgos de ciberseguridad. Ha demostrado ser una Directiva útil, pero que con el paso de los años también ha evidenciado sus limitaciones ante el incremento de las ciberamenazas y la cada vez mayor dependencia de las soluciones digitales.

Es por ello que, a final del año pasado, la Comisión Europea presentó la nueva estrategia de ciberseguridad de la UE basada en tres aspectos principales:

• La resiliencia, la soberanía tecnológica y el liderazgo;
• La capacidad operativa para prevenir, disuadir y responder;
• La cooperación para promover un ciberespacio global, seguro y abierto.

Esta estrategia contempla, entre otros objetivos, la actualización de la Directiva NIS (2016/1148 de 6 de julio de 2016) por la llamada Directiva NIS2, cuyo borrador ya se encuentra disponible, y cuya aprobación se espera en los próximos meses. Los Estados miembros deberán transponerla a sus legislaciones nacionales, previsiblemente, 18 meses después de su publicación.

Esta revisión de la directiva va a otorgar mayores herramientas de supervisión y ejecución a los controladores, hace especial hincapié en la necesidad de incrementar la ciberseguridad de la cadena de suministro, refuerza la importancia de que la alta dirección de las organizaciones respalde y sean responsables en el cumplimiento de las medidas de ciberseguridad, y mejora la capacidad de intercambio de información entre los distintos actores.

Asimismo, amplía el alcance de la actual directiva añadiendo nuevos sectores en función de su importancia para la economía y la sociedad. Y otra novedad importante es el nuevo marco de sanciones que incluye, ya que indica que la no aplicación de medidas de seguridad pueden tener consecuencias negativas para la ciberresiliencia de las entidades, y por tanto se debe establecer una lista mínima de sanciones administrativas por incumplimiento de las obligaciones de información y gestión de riesgos de ciberseguridad que sea común en todos los Estados miembros.

Contenido completo en fuente orinal Security Art Works