NIS2, CRA, RED – Los nuevos requisitos de la UE para mayor protección de datos y seguridad de la red

10.10.2023

4 min de lectura

La Comisión Europea intenta, mediante directrices y normativas legales, configurar el ciberespacio europeo de la manera más segura y transparente posible. Actualmente, estas tres nuevas directivas están introduciendo cambios fundamentales para las empresas. Alain de Pauw, director de la división de Seguridad de Axians Alemania y Axians Suiza, explica cuáles son.

Ningún sistema funciona sin reglas, y menos aún cuando está compuesto por diversas redes globales y millones de usuarios, y se basa en condiciones tecnológicas en constante evolución. El ciberespacio es, por tanto, objeto de regulaciones cada vez más nuevas, emitidas por las autoridades competentes, principalmente la Comisión Europea.

Estas regulaciones establecen un marco legal unificado con disposiciones sobre temas como la ciberdelincuencia, la protección de datos, la seguridad de las redes y mucho más. De este modo, tanto empresas como particulares tienen la certeza de que pueden moverse en el ciberespacio de forma protegida y segura. Para adaptarse a los constantes avances y al creciente peligro que representan los ciberdelincuentes, la UE ha renovado algunas directrices y aprobado nuevas normativas.

La Directiva NIS2: más empresas afectadas, requisitos más estrictos

Desde 2016 existe a nivel de la UE la Directiva sobre Seguridad de las Redes y los Sistemas de Información, conocida como NIS. Su objetivo es garantizar la protección de redes e sistemas de información, por ejemplo, mediante la imposición de qué empresas deben implementar sistemas de gestión de la seguridad. Recientemente, la Comisión Europea ha aprobado NIS2, una versión revisada con requisitos significativamente modificados para las empresas. Está en vigor desde principios de año, y los Estados miembros de la UE deben transponer la directiva a su legislación nacional antes de octubre de 2024.

Con NIS2, muchas más empresas quedan ahora sujetas a la directiva. En el futuro, las empresas con 50 o más empleados y una facturación anual superior a 10 millones de euros deberán cumplir con estas disposiciones. Además, el número de sectores afectados por la directiva aumenta a un total de 18, divididos en once sectores críticos y siete importantes. También en cuanto al contenido, las empresas se enfrentan a varios cambios. Por ejemplo, ahora se aplican requisitos de seguridad más estrictos y detallados, y las empresas deben notificar más tipos de incidentes de seguridad de inmediato, en cualquier caso, dentro de las 24 horas siguientes a su conocimiento con una llamada «alerta temprana», y detalladamente en un plazo de 72 horas. Además, se refuerzan los poderes coercitivos de las autoridades nacionales de regulación y se introducen sanciones más elevadas por incumplimiento.

Lo que aporta la Ley de Resiliencia Cibernética

Como complemento a directivas existentes como NIS2, la Ley de Resiliencia Cibernética (CRA) establece requisitos de seguridad vinculantes para productos con elementos digitales. El objetivo es proteger tanto a empresas como a consumidores que adquieren o utilizan productos digitales o software. Además de los fabricantes de hardware como dispositivos móviles y equipos de red, los desarrolladores de software también se ven afectados por el CRA. Asimismo, los importadores de productos con elementos digitales – los llamados productos de marca blanca – deben cumplir con estas regulaciones. Actualmente, el CRA está en proceso de revisión por el Parlamento Europeo.

El CRA presta especial atención a los fabricantes de los denominados productos críticos. Estos deben someterse a un procedimiento de conformidad especial. En esta clasificación, se distinguen varias categorías de productos. El primer grupo incluye productos como navegadores de internet, programas antivirus, gestores de contraseñas y VPN. La segunda categoría, en cambio, abarca lectores de tarjetas, ordenadores de sobremesa, dispositivos móviles y todos los dispositivos que forman parte del Internet de las Cosas (IoT).

Según las disposiciones del CRA, los fabricantes están obligados a cumplir con los requisitos de ciberseguridad en todas las fases del proceso de producción. Esto incluye la planificación, el diseño, el desarrollo, la producción y la distribución. El objetivo principal es minimizar los riesgos de seguridad durante todo el ciclo de vida del producto, prevenir posibles incidentes y limitar el impacto de eventuales brechas de seguridad.

Requisitos estrictos para todos los dispositivos inalámbricos: la Directiva de Equipos Radioeléctricos

Teléfonos móviles, tabletas y relojes inteligentes, dispositivos Bluetooth, radios, productos de carga inalámbrica, drones controlados por radio: todos ellos estarán sujetos a partir de agosto de 2024 a la nueva Directiva de Equipos Radioeléctricos (RED) de la UE. La directiva tiene como objetivo, por un lado, garantizar que los equipos de radio disponibles en el mercado de la UE no supongan ningún riesgo para la salud o la seguridad y funcionen correctamente. Por otro lado, busca fomentar el uso eficiente del espectro radioeléctrico para evitar interferencias.

Con este fin, todos los equipos de radio deben diseñarse y fabricarse de manera que no afecten a la salud y la seguridad, y al mismo tiempo protejan adecuadamente la privacidad y los datos personales. La RED obliga a los fabricantes a realizar sus propias evaluaciones de conformidad. Por lo tanto, deben asegurarse de que sus productos cumplan con los requisitos de la directiva. Estos deben llevar el marcado CE antes de su venta en la UE, así como disponer de una declaración de conformidad de la UE.

Qué deben tener en cuenta las empresas ahora

Los nuevos requisitos generan incertidumbre. Por ello, las empresas deben asegurarse de entender con precisión los textos legales y verificar si sus procesos actuales cumplen con las nuevas disposiciones. Basándose en este análisis, podrán preparar y formar a sus empleados, así como tomar las medidas necesarias para demostrar de manera transparente el cumplimiento de los requisitos.

¡Un socio competente como Axians puede ayudar a las empresas en este exigente proyecto!

Fuente de la imagen: Adobe Stock | Florian