Guillem Alsina Gonzàlez
La directiva NIS2, en vigor desde octubre de 2024, obliga a las medianas y grandes empresas de dieciocho sectores críticos a adoptar medidas de gestión de riesgos y notificar las incidencias significativas a las autoridades. Este marco legal ha extendido su campo de acción más allá de las áreas originales de energía, transporte, salud, finanzas, agua e infraestructuras digitales, incluyendo también a los proveedores de comunicaciones electrónicas públicas, servicios digitales como redes sociales, gestión de residuos y aguas residuales, fabricación de productos críticos, servicios postales, la administración pública central y regional, y el sector espacial.
Para coordinar la respuesta transfronteriza, la norma cuenta con la red de CSIRT, que son los equipos de respuesta a incidentes de seguridad informática, y con el grupo EU-CyCLONe, una red de enlace diseñada para la gestión conjunta de crisis cibernéticas a gran escala en la Unión Europea. En enero de este mismo año, la Comisión Europea propuso una serie de modificaciones específicas orientadas a incrementar la claridad legal del texto, una serie de enmiendas que se diseñaron para simplificar el cumplimiento de las obligaciones y de la gestión de riesgos a unas 28.700 compañías operativas en suelo europeo, una cifra que engloba a 6.200 microempresas y pequeñas empresas.
El Grupo de Cooperación NIS ha aprobado recientemente, y durante la trigésimo novena reunión plenaria de este órgano estratégico, celebrada en Chipre, unas plantillas comunes para la notificación de estos incidentes cibernéticos a las autoridades pertinentes. La Comisión Europea y ENISA, que es la Agencia de la Unión Europea para la Ciberseguridad, también han participado en el acuerdo.
Esta medida de unificación reducirá de manera eficiente la carga administrativa de las compañías simplificando el cumplimiento de sus obligaciones. Al homogeneizar los datos requeridos en toda la Unión Europea, los responsables de tecnología y compras dispondrán de un formato claro y estructurado que disminuye la complejidad del proceso y refuerza la resiliencia digital de las organizaciones.
Como siguiente paso en esta estrategia de simplificación, la Comisión Europea planea aprobar de manera oficial estos modelos mediante un acto de ejecución, una vía regulatoria que los convertirá en obligatorios para todos los Estados miembros.
Esta iniciativa se alineará con otros proyectos comunitarios en desarrollo, como la propuesta de un punto de entrada único para informar sobre incidentes dentro del paquete normativo conocido como Digital Omnibus, con el propósito de garantizar un sistema integrado y accesible para el tejido empresarial europeo.
