NIS2 y responsabilidad de la dirección: la ciberseguridad ahora es personal

Con la implementación alemana de NIS2, la ciberseguridad ha pasado definitivamente del departamento de TI a la alta dirección. Aproximadamente 30.000 empresas en Alemania, estos quedan sujetos a las nuevas obligaciones. Significativamente más que nunca, incluidos muchos que hasta ahora no se consideraban «infraestructuras críticas»: constructores mecánicos, productores alimentarios, proveedores de servicios informáticos y logistas.

La novedad: responsabilidad personal de la dirección

El núcleo de la reforma reside en § 38 BSIG: La dirección general debe [determinar/supervisar] personalmente las medidas de ciberseguridad de su empresa aprobar y supervisar su implementaciónPuede ser considerada personalmente responsable en caso de infracciones. Cualquier renuncia de la sociedad a estas reclamaciones de indemnización es nula. La implementación puede delegarse, pero la responsabilidad no. Además, se exigen capacitaciones para la propia dirección general.

¿Estoy afectado?

• Entidades esenciales: entre otros, energía, salud, transporte, infraestructura digital: a partir de 250 empleados o 50 millones de € de volumen de negocios (en parte independientemente del tamaño).
• Entidades importantes: incluyendo la industria manufacturera, alimentación, química, servicios digitales y proveedores de servicios gestionados (MSP): a partir de 50 empleados o 10 millones de euros de volumen de negocios.
• Afectados indirectamente: Proveedores y prestadores de servicios de los mencionados anteriormente, sobre los requisitos de cadena de suministro de sus clientes.

Resumen de las obligaciones

• Registro ante el BSI y la designación de un punto de contacto.
• Gestión de riesgos: Estado de la técnica, desde el control de acceso y el cifrado hasta los conceptos de copia de seguridad y la seguridad de la cadena de suministro.
• Obligaciones de notificación en caso de emergencia: Primer aviso en un plazo de 24 horasinforme de seguimiento en un plazo de 72 horas, informe final después de un mes.
• Multas: hasta 10 millones de € o el 2 % de la facturación mundial (entidades esenciales) o 7 millones de € o el 1,4 % (entidades importantes).

Empezar con pragmatismo en lugar de producir papel

El cumplimiento de NIS2 no es una carpeta en un armario, sino una operación de TI vivida: sistemas parcheados, redes supervisadas, copias de seguridad probadas, empleados capacitados y procesos definidos para casos de emergencia. Exactamente ese es el núcleo de los Managed IT Services. Quien ha estructurado su operación de manera profesional cumple los requisitos técnicos en gran medida de forma inherente. El punto de partida lógico: una Análisis de impacto, luego un cotejo de las medidas existentes frente a los requisitos y, posteriormente, un plan de acción priorizado.

Nota: Este artículo no sustituye el asesoramiento jurídico. Sirve como orientación inicial; el análisis vinculante de su situación debe ser realizado por expertos.

← todas las guías