Explosión de ataques, infraestructuras envejecidas, IA generativa explotada por ciberdelincuentes: el panorama digital europeo está entrando en una zona de altas turbulencias. NIS 2 cambia las reglas del juego para todos los jugadores.
La observación es clara. Casi una de cada dos empresas (47%) sufrió al menos un ciberataque exitoso en 2024. Una tendencia alcista que difícilmente se revertirá, ya que Francia registró un aumento del 40% de los ataques digitales en cinco años.
A partir de ahora, en un contexto de fuertes tensiones geopolíticas, ningún sector u organización se salva. Las grandes empresas ya no son las únicas en el punto de mira, sino todo lo contrario. Entre las razones: la aparición de la IA generativa, que facilita en particular las campañas de phishing. Sin embargo, a pesar de la explosión en el uso de la inteligencia artificial, sólo el 22% de las empresas ha implementado medidas de ciberseguridad adecuadas.
Como resultado, las empresas y comunidades más pequeñas, a menudo con menos recursos, abren la puerta de sus sistemas de información a violaciones de seguridad y, al mismo tiempo, a los ciberdelincuentes. En cuanto a las grandes empresas, menos ágiles, quizás estén más avanzadas en su transformación, pero a menudo tienen que lidiar con infraestructuras obsoletas y profesiones reacias al cambio.
En respuesta, la Unión Europea decidió ampliar su directiva NIS 1 (Seguridad de redes y de la información – o en francés, seguridad de redes y sistemas de información) para cubrir un campo mucho más amplio de dominios y entidades. Entró oficialmente en vigor en Europa el 17 de octubre de 2024 y debería ser adoptado por Francia en 2025 con algunos ajustes.
Prepare su proyecto NIS 2 en una lógica industrial
En Francia, varios miles de entidades, clasificadas como «esenciales» o «importantes», estarán obligadas a cumplir la norma NIS 2 a partir de 2025, mientras que sólo unos cientos estaban cubiertas por la norma NIS 1. Según el estudio de impacto de la directiva NIS 2, 15.000 entidades en 18 sectores de actividad, frente a 500 en 6 sectores para la norma NIS 1, entran directamente en el ámbito de aplicación de esta directiva. Una necesidad ante los ciberataques de los que son víctimas las organizaciones: el 90% de las empresas de la región EMEA se han enfrentado a incidentes de ciberseguridad que el cumplimiento de la directiva NIS 2 podría haber evitado.
Sin embargo, pocos de ellos cumplen los requisitos de la directiva. Opacidad de determinadas obligaciones, falta de recursos, problema presupuestario, obstáculo al cambio… Los motivos son múltiples y las sanciones graves. Sanciones que, sin embargo, pueden resultar tan disuasorias que alientan la aceleración del cumplimiento y, en definitiva, la transformación de las empresas. En este sentido, NIS 2 tiende a consolidarse en los próximos años como un motor de innovación.
Este es el verdadero objetivo detrás de la directiva: estandarizar la madurez de las empresas en términos de prácticas de ciberseguridad en toda Europa. En consecuencia, en unos años la ciberseguridad estará más integrada en todas las actividades empresariales, colocando la automatización y el aprendizaje automático en el centro de los desafíos de seguridad. Sin embargo, la gestión de riesgos no puede realizarse únicamente desde una perspectiva técnica y, en la mayoría de los casos, implica iniciar una transformación organizacional para implementar una nueva gobernanza.
Es decir, una gran cantidad de proyectos a poner en marcha, a veces simultáneamente. Como resultado, las empresas pueden encontrar una serie de dificultades de implementación o incluso humanas. NIS 2 implica una visión 360 de la seguridad y un enfoque holístico, que requiere una gran cantidad de experiencia. Es por esto que las organizaciones que decidan realizar estas transformaciones internamente estarán más expuestas a los riesgos de sanciones económicas por cumplimiento parcial o errores en la interpretación de la normativa. Por lo tanto, rodearse de expertos para cumplir con NIS 2 es una verdadera necesidad.
____________________________
Par Yoann MoreauJefe de Auditoría y Asesoramiento en Ciberseguridad chez Equipo
Lea también:
NIS2, ¿un trampolín para las pymes innovadoras?
NIS 2: tu guía de supervivencia en ciberseguridad
NIS2: ¿Un gran paso adelante para la ciberseguridad europea?
Directiva NIS2: almacenamiento cifrado, ¿pilar esencial para la ciberseguridad en Europa?
[Infographie] NIS2: empresas entre la confianza y los desafíos
[
