NIS2, CRA, RED – Los nuevos requisitos de la UE para mayor protección de datos y seguridad de la red

La Comisión Europea intenta, mediante directrices y regulaciones legales, hacer el ciberespacio europeo lo más seguro y transparente posible. Actualmente, estas tres nuevas directivas introducen cambios fundamentales para las empresas. Alain de Pauw, director de la división de Seguridad de Axians Alemania y Axians Suiza, explica cuáles son.

Ningún sistema funciona sin normas, y menos aún si se compone de diversas redes globales y millones de usuarios, y opera bajo condiciones tecnológicas en constante evolución. Por ello, el ciberespacio es objeto de regulaciones cada vez más numerosas, dictadas por las autoridades competentes, principalmente la Comisión Europea.

Estas normas establecen un marco jurídico uniforme sobre temas como la ciberdelincuencia, la protección de datos, la seguridad de redes y otros aspectos. Así, tanto empresas como particulares pueden moverse por el ciberespacio con la certeza de estar protegidos y seguros. Para hacer frente a la evolución constante y a la creciente amenaza de los ciberdelincuentes, la UE ha renovado ahora algunas directrices e incluso ha aprobado nuevas regulaciones.

La directiva NIS2: más empresas afectadas y requisitos más estrictos

Desde 2016 existe en la UE la Directiva sobre Seguridad de Redes e Información, conocida como NIS, cuyo objetivo es garantizar la protección de redes y sistemas de información mediante, por ejemplo, la obligación de que ciertas empresas implementen sistemas de gestión de seguridad. Recientemente, la Comisión Europea ha aprobado una versión revisada de esta directiva, la NIS2, con requisitos significativamente modificados para las empresas. Entró en vigor a principios de año y los Estados miembros de la UE deben transponerla a la legislación nacional antes de octubre de 2024.

Con la NIS2, un número mucho mayor de empresas se verá afectado por la directiva. A partir de ahora, deberán cumplir con sus disposiciones empresas con al menos 50 empleados y una facturación anual superior a 10 millones de euros. Además, el número de sectores afectados por la directiva asciende a 18, divididos en once sectores críticos y siete importantes. También hay cambios en el contenido: ahora se exigen requisitos de seguridad más estrictos y detallados. Las empresas deben notificar más tipos de incidentes de seguridad de forma inmediata, en cualquier caso dentro de las 24 horas siguientes al conocimiento del incidente mediante una alerta temprana, y en un plazo de 72 horas con un informe detallado. Además, se refuerzan los poderes de ejecución de las autoridades reguladoras nacionales y se introducen sanciones más elevadas por incumplimiento.

Qué implica el Reglamento de Resiliencia Cibernética

 Como complemento a directivas existentes como la NIS2, el Reglamento de Resiliencia Cibernética (CRA) establece requisitos de seguridad obligatorios para los productos con elementos digitales. Su objetivo es proteger tanto a empresas como a consumidores que adquieren o utilizan productos o software digitales. El CRA afecta no solo a fabricantes de hardware, como dispositivos móviles y equipos de red, sino también a desarrolladores de software. Además, deben cumplir con estas regulaciones los importadores de productos con elementos digitales, los denominados productos de marca blanca. El CRA se encuentra actualmente en proceso de revisión por el Parlamento Europeo.

El CRA presta especial atención a los fabricantes de los denominados productos críticos. Estos deben someterse a un procedimiento especial de conformidad. En esta clasificación se distinguen diferentes categorías de productos. La primera incluye productos como navegadores de internet, programas antivirus, gestores de contraseñas y redes privadas virtuales (VPN). La segunda categoría abarca terminales de pago, ordenadores de sobremesa, dispositivos móviles y todos los dispositivos que forman parte del Internet de las Cosas (IoT).

Según las disposiciones del CRA, los fabricantes deben cumplir con los requisitos de ciberseguridad en todas las fases del proceso de producción. Esto incluye la planificación, el diseño, el desarrollo, la fabricación y la distribución. El objetivo principal es minimizar los riesgos de seguridad durante todo el ciclo de vida del producto, prevenir posibles incidentes y limitar el impacto de posibles fallos de seguridad.

Estrictas exigencias para todos los dispositivos inalámbricos: la Directiva sobre Equipos de Radio

Teléfonos móviles, tabletas y smartwatches, dispositivos Bluetooth, radios, productos de carga inalámbrica, drones controlados por radio: todos ellos quedarán sujetos a partir de agosto de 2024 a la nueva Directiva sobre Equipos de Radio (RED) de la UE. Por un lado, esta directiva busca garantizar que los dispositivos de radio disponibles en el mercado de la UE no supongan ningún riesgo para la salud o la seguridad y funcionen correctamente. Por otro, pretende fomentar el uso eficiente del espectro radioeléctrico para evitar interferencias.

Con este fin, todos los dispositivos de radio deben diseñarse y fabricarse de manera que no afecten negativamente a la salud ni a la seguridad, al tiempo que protegen adecuadamente la privacidad y los datos personales. La RED obliga a los fabricantes a realizar evaluaciones de conformidad por su cuenta. Así, deben velar por que sus productos cumplan los requisitos de la directiva antes de comercializarlos en la UE, debiendo llevar el marcado CE y disponer de una declaración de conformidad de la UE.

Qué deben tener en cuenta ahora las empresas

Las nuevas exigencias generan incertidumbre. Por ello, las empresas deben asegurarse de comprender con exactitud los textos legales y verificar si sus procesos actuales se ajustan a las nuevas disposiciones. A partir de este análisis, podrán formar y preparar a sus empleados, así como adoptar las medidas oportunas para demostrar de manera transparente el cumplimiento de los requisitos.

¡Un socio competente como Axians puede apoyar a las empresas en esta compleja tarea!

Fuente de la imagen: Adobe Stock | Florian

Para seguir leyendo

• Actualización CISA KEV del 20 de abril: Cómo abordar los ocho nuevos exploits en el consejo de administración
• La directiva NIS2 entra en vigor: tres decisiones que los órganos directivos deberán examinar en abril de 2026
• Ciberseguro 2026: primas duplicadas, cobertura reducida a la mitad: el cálculo que ningún CFO quiere ver