Quanovio

Directiva (UE) 2022/2555RE (UE) 2024/2690 · Anexo

Qué exige NIS2 y qué partes puede probar un sistema.

El artículo 21, apartado 2, de la directiva enumera diez medidas de gestión de riesgos en texto corrido. El Reglamento de Ejecución (UE) 2024/2690 de la Comisión las convierte en un anexo de trece puntos numerados con subrequisitos: la única enumeración válida en toda la Unión lo bastante precisa para medir con ella, y la que cita un evaluador.

A quién obliga

El RE (UE) 2024/2690 se aplica directamente a los proveedores de servicios DNS, los registros de nombres de dominio de primer nivel, los proveedores de servicios de computación en nube, de centros de datos y de redes de distribución de contenidos, los proveedores de servicios gestionados y de servicios de seguridad gestionados, los mercados en línea, los motores de búsqueda, las plataformas de redes sociales y los prestadores de servicios de confianza. Las demás entidades esenciales e importantes cumplen el artículo 21 a través de la norma nacional de transposición. En ambos casos, los requisitos numerados son la lectura técnica del artículo 21, y por eso se emplean aquí.

Los trece puntos

Frente a cada uno, lo que un sistema de supervisión puede afirmar con honestidad. Seis son documentos y decisiones, no sucesos, y se notifican como abiertos junto con la prueba que pedirá un evaluador.

PuntoRequisitoProbado mediante
1Política sobre la seguridad de los sistemas de redes y de informaciónDocumentos y decisiones
2Política de gestión de riesgosDocumentos y decisiones
3Gestión de incidentesMedición
4Continuidad de las actividades y gestión de las crisisParcialmente medible
5Seguridad de las cadenas de suministroDocumentos y decisiones
6Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de informaciónMedición
7Orientaciones y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridadDocumentos y decisiones
8Formación en seguridad y prácticas básicas de ciberhigieneParcialmente medible
9CriptografíaParcialmente medible
10Seguridad de los recursos humanosDocumentos y decisiones
11Control de accesosMedición
12Gestión de activosParcialmente medible
13Seguridad medioambiental y físicaDocumentos y decisiones

Aproximadamente un tercio de los requisitos numerados se prueba mediante medición. Una afirmación de cobertura que exceda lo que un sistema de supervisión puede observar no resiste una evaluación, así que el resto se notifica como abierto en lugar de contabilizarse en silencio como cumplido.

NotificaciónArtículo 23

El plazo empieza con el conocimiento, no con la detección.

Un incidente significativo debe notificarse al CSIRT nacional o a la autoridad competente en tres fases. Los plazos corren desde el momento en que la entidad tiene conocimiento del incidente.

24 horas sin demora indebida y, en cualquier caso, en el plazo de veinticuatro horas desde que se haya tenido constancia del incidente significativo, una alerta temprana en la que se indicará, cuando proceda, si cabe sospechar que el incidente significativo responde a una acción ilícita o malintencionada o puede tener repercusiones transfronterizas;
72 horas sin demora indebida y, en cualquier caso, en el plazo de setenta y dos horas desde que se haya tenido constancia del incidente significativo, una notificación del incidente en la que se actualizará, cuando proceda, la información contemplada en la letra a) y se expondrá una evaluación inicial del incidente significativo, incluyendo su gravedad e impacto, así como indicadores de compromiso, cuando estén disponibles;
1 mes un informe final, a más tardar un mes después de presentar la notificación del incidente contemplada en la letra b), en el que se recojan los siguientes elementos:

Citado de la Directiva (UE) 2022/2555. Este es el texto vinculante, no un resumen nuestro. Artículo 23, apartado 4

Quanovio registra la primera detección con su marca de tiempo, y es con eso con lo que un evaluador compara la notificación presentada. La presentación en sí es un proceso que usted opera; ningún sistema de supervisión puede hacerla por usted, y el que lo afirme está describiendo en realidad una alerta.

Sanciones

Entidades esenciales 10.000.000 € o el 2 %
4. Los Estados miembros garantizarán que las entidades esenciales sean sancionadas por el incumplimiento de los artículos 21 o 23, de conformidad con los apartados 2 y 3 del presente artículo, con multas administrativas de un máximo de, al menos, 10 000 000 EUR o de un máximo de, al menos, el 2 % del volumen de negocios anual total a nivel mundial de la empresa a la que pertenece la entidad esencial durante el ejercicio financiero anterior, optándose por la de mayor cuantía.
Entidades importantes 7.000.000 € o el 1,4 %
5. Los Estados miembros garantizarán que las entidades importantes sean sancionadas por el incumplimiento de los artículos 21 o 23, de acuerdo con los apartados 2 y 3 del presente artículo, con multas administrativas de un máximo de, al menos, 7 000 000 EUR o de un máximo de, al menos, el 1,4 % del volumen de negocios anual total a nivel mundial de la empresa a la que pertenece la entidad importante durante el ejercicio financiero anterior, optándose por la de mayor cuantía.

Citado de la Directiva (UE) 2022/2555. Este es el texto vinculante, no un resumen nuestro. Artículo 34, apartados 4 y 5

Artículo 20, apartado 1
1. Los Estados miembros velarán por que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas para la gestión de riesgos de ciberseguridad adoptadas por dichas entidades para dar cumplimiento al artículo 21, supervisen su puesta en práctica y respondan por el incumplimiento por parte de las entidades de dicho artículo.

ReferenciasEUR-Lex · ENISA

Fuentes

Cada cifra, plazo y título de requisito de este sitio procede de los textos que figuran a continuación. Cuando este sitio cita, cita la versión lingüística oficial en la que usted lo está leyendo.

¿Qué puntos puede probar hoy?

Describa su entorno y recibirá un estado punto por punto, incluidos aquellos que ningún sistema puede medir por usted.

Consulte su cobertura