El impacto de la NIS2 en las empresas del Reino Unido que prestan servicios a la UE y el proyecto de ley sobre ciberseguridad y resiliencia, presentado en el discurso del Rey, implican que las empresas deben actuar
Por Steve Harris, director ejecutivo de CloudClevr
Las empresas del Reino Unido no deben tener la impresión de que la NIS2 no les afectará. La entrada en vigor de la NIS2 está prevista para el 17 de octubre de 2024 y afectará a todas las empresas del Reino Unido que presten servicios esenciales o importantes a la UE.
Incluso si no se ven afectados por la NIS2, el proyecto de ley sobre ciberseguridad y resiliencia presentado en el reciente discurso del Rey, sin duda lo hará. Aunque los detalles aún son un poco confusos, es probable que el proyecto de ley establezca requisitos similares a los de las regulaciones de la UE, como la NIS2 y la DORA.
Por lo tanto, garantizar la resiliencia ante un ciberataque u otro incidente de TI debe convertirse en una prioridad para las empresas del Reino Unido para proteger los datos y garantizar la continuidad del negocio y el cumplimiento normativo.
¿Qué cubren estas nuevas regulaciones?
La Directiva NIS2 es un acto legislativo que tiene como objetivo lograr un alto nivel de ciberseguridad en toda la UE.
La directiva NIS original tenía como objetivo mejorar la ciberseguridad de los Estados miembros de la UE, pero su aplicación ha planteado problemas. El panorama de amenazas en constante cambio y la naturaleza cada vez más sofisticada de los ciberataques han obligado a la UE a introducir la NIS2.
Es probable que el proyecto de ley sobre ciberseguridad, presentado en el discurso del Rey, una vez publicado, siga un enfoque similar al adoptado por el NIS2. Aumentará el énfasis en la protección de infraestructuras nacionales críticas, como el NHS y otros servicios públicos clave. Esto significará que las organizaciones estarán sujetas a requisitos de seguridad más estrictos y serán objeto de evaluaciones más regulares y rigurosas. Los reguladores recibirán mayores poderes y es probable que se preste especial atención a la amenaza que emana de las cadenas de suministro.
¿Cómo se preparan las empresas para estos nuevos requisitos regulatorios?
Se estima que, de manera preocupante, el 58 % de los proveedores externos (de 50 a 1000 empleados) no están preparados para cumplir con la norma NIS2. Por lo tanto, es fundamental que las organizaciones actúen rápidamente para mejorar su postura en materia de seguridad.
Con mucha ayuda, NIS2 estipula una serie de áreas clave donde las organizaciones deben cumplir.
- Deber de cuidadoDebe realizar una evaluación de riesgos. En función de esta evaluación de riesgos, debe tomar medidas para garantizar la continuidad del negocio en la medida de lo posible y proteger la información utilizada.
- Deber de informar. Cuando se produzcan incidentes que puedan interrumpir la prestación de servicios esenciales, usted tiene el deber de informar sobre ellos a la autoridad supervisora en un plazo de 24 horas. El hecho de que un incidente esté sujeto al deber de informar depende de varios factores, como el número de afectados, la duración de la interrupción y las posibles pérdidas económicas.
- Supervisión. Las organizaciones de algunos sectores cubiertos por la Directiva NIS2 estarán bajo supervisión. El organismo supervisor examinará el cumplimiento de las obligaciones de la Directiva, como el deber de diligencia y el deber de informar.
Para garantizar el cumplimiento de estas áreas, es imperativo que los informes a nivel de directorio incluyan un conjunto integral de indicadores clave de desempeño estratégicos (KPI). Las organizaciones que tienen una estructura de cumplimiento más madura también pueden analizar los indicadores clave de riesgo (KRI).
Estas métricas sirven como herramientas esenciales para evaluar el riesgo y proporcionar evidencia a la junta sobre el cumplimiento de la organización, así como para llevar a cabo el aseguramiento de proveedores externos críticos.
Es probable que estas medidas sean fundamentales en el proyecto de ley cibernética del propio Reino Unido, matando así dos pájaros de un tiro.
Ejemplos de KPI útiles
En cuanto a los KPI, las métricas que pueden respaldar la demostración del cumplimiento de NIS2 y Cyber Bill incluyen:
- Número de incidentes de seguridad. Mida la cantidad de incidentes y violaciones de seguridad que ocurrieron en un período específico. Una cantidad baja de incidentes indica que las medidas de seguridad y el cumplimiento son efectivos.
- Cumplimiento de la gestión de parches. Mide el cumplimiento de la organización con la gestión oportuna de parches. Evalúa el porcentaje de vulnerabilidades críticas parcheadas dentro de un período de tiempo específico, lo que indica un mantenimiento y cumplimiento de la seguridad proactivos.
- Tasa de finalización de la capacitación de los empleados. Realice un seguimiento del porcentaje de empleados que han completado la capacitación obligatoria en materia de ciberseguridad. Una tasa de finalización alta indica una cultura de concienciación sobre la seguridad y cumplimiento de los requisitos de capacitación.
- Evaluación de amenazas de terceros. Evalúe la frecuencia y la exhaustividad de las evaluaciones de riesgos de terceros que realiza la organización. Mida el porcentaje de proveedores externos críticos evaluados en cuanto a riesgos de ciberseguridad y garantice el cumplimiento de los requisitos de seguridad de la cadena de suministro.
- Tiempo de respuesta ante incidentesMida el tiempo que tarda la organización en responder y resolver los incidentes de seguridad. Un tiempo de respuesta a incidentes más bajo indica procesos de gestión de incidentes eficientes.
Preparándose para el cumplimiento
Aunque es probable que la ley cibernética del Reino Unido tarde aproximadamente un año en implementarse, la NIS2 se implementará en tan solo un par de meses. De cualquier manera, las empresas deben estar preparadas para cumplir con las normas y no deben demorar su camino hacia la adhesión.
Las consultorías de terceros pueden ayudar a las organizaciones en su camino hacia el cumplimiento normativo. Algunas pueden realizar un análisis detallado de las deficiencias, identificando si se encuentra dentro del ámbito de aplicación de la directiva NIS2, evaluando los riesgos, implementando medidas de seguridad basadas en la NIS2 y los posibles requisitos de la Ley sobre ciberseguridad, y garantizando el cumplimiento normativo. También pueden trabajar con usted para crear una hoja de ruta estratégica que se alinee con las partes interesadas clave para abordar cualquier problema identificado en el análisis.
Además, la implementación de soluciones y plataformas que puedan ayudar a mejorar la seguridad y la garantía al brindar una vista unificada de los activos tecnológicos puede ser un complemento crucial para la oferta de una consultoría. Puede ayudar a proporcionar paneles de control claros y prácticos para realizar un seguimiento de los indicadores clave de rendimiento vitales, como los que se mencionaron anteriormente.
Su monitoreo y análisis regular de estos indicadores puede ayudar a identificar y evidenciar áreas de mejora y demostrar el compromiso de su organización para aumentar su resiliencia cibernética y responsabilidad legal.
Con la inminente introducción de la NIS2 y la probable introducción de la Ley de Ciberseguridad en el Reino Unido, las empresas tienen que tomar medidas para garantizar su resiliencia frente a un ciberataque y aumentar el nivel de sus defensas. Si el aumento de la cantidad y el nivel de sofisticación de estos ataques no las ha convencido, la introducción de regulaciones, que deben ser monitoreadas de manera más exhaustiva que las regulaciones introducidas anteriormente, debería ser el impulso para tomar medidas.
Si bien, a primera vista, para algunos esto puede parecer una tarea abrumadora, contratar consultorías expertas, así como plataformas que le permitan registrar y monitorear mejor sus defensas cibernéticas, no solo garantizará el cumplimiento, sino que, lo que es más importante, mantendrá a los ciberdelincuentes fuera, los datos seguros y las empresas continuarán como de costumbre.
