La seguridad cibernética se ha convertido en una prioridad absoluta para las organizaciones de todos los tamaños y sectores. Con este fin, el Centro Criptológico Nacional (CCN) ha lanzado la nueva guía CCN-STIC 892 Perfil de Cumplimiento Específico (PCE-NIS2), diseñada para ayudar a las organizaciones a cumplir con la Directiva NIS2 y el Esquema Nacional de Seguridad (ENS). Esta guía es importante para las entidades dentro del ámbito de la NIS2, que cubre una amplia gama de sectores críticos, desde energía hasta servicios digitales.
La guía CCN-STIC 892 del CCN es una herramienta para las organizaciones que buscan funcionar el complejo panorama de la ciberseguridad bajo las directrices de la Directiva NIS2 y el ENS. Proporciona un marco claro y práctico para el cumplimiento, asegurando que las entidades esenciales e importantes no solo protejan sus propios activos, sino que también contribuyan a la seguridad cibernética global.
Directiva NIS2 y ENS
La Directiva NIS2, adoptada por la Unión Europea, busca garantizar un nivel elevado de ciberseguridad en toda la comunidad, ampliando el ámbito de aplicación de su predecesora, la NIS, e introduciendo requisitos más estrictos para las entidades operativas en sectores críticos. Paralelamente, el ENS establece un marco para asegurar la seguridad de la información en las administraciones públicas y entidades privadas que gestionan servicios esenciales.
El documento CCN-STIC 892 aborda específicamente cómo las organizaciones pueden alinear sus prácticas de seguridad con las expectativas de ambas regulaciones. Está estructurado en varios capítulos que detallan los requisitos del perfil de cumplimiento específico, aplicabilidad de la normativa, y un marco para la implementación efectiva de medidas de seguridad tras un análisis de riesgos detallado.
Estrategias de implementación y cumplimiento
El enfoque de la guía es práctico y detallado. Primero, identifica y categoriza los sistemas de información que soportan servicios críticos, estableciendo claramente los activos esenciales que deben ser protegidos. Esto incluye desde infraestructuras críticas, de energía, hasta servicios financieros y de salud, entre otros. La guía sugiere englobar estos activos en el menor número de sistemas posibles para simplificar la gestión y protección.
Una parte esencial de la guía es la ‘Declaración de Aplicabilidad’, donde cada organización debe declarar cuáles requisitos de la directiva y del ENS son aplicables a sus operaciones específicas y cómo planean cumplir con estos. Esto se acompaña de un análisis de riesgos que debe ser llevado a cabo para entender las vulnerabilidades específicas y las amenazas que enfrenta la organización.
Los Anexos I y II son particularmente útiles, ofreciendo un mapeo directo entre los requisitos de la Directiva NIS2 y los del ENS, además de definir los sectores de ‘Alta Criticidad’ y otros sectores críticos. Este mapeo facilita a las organizaciones ver claramente cómo las directrices nacionales e internacionales se interrelacionan y cómo pueden cumplir con ambas simultáneamente.
Implicaciones para entidades
Las entidades esenciales y entidades importantes tienen responsabilidades adicionales bajo la Directiva NIS2, reflejadas en la guía del CCN. Deben identificar los servicios críticos que ofrecen, llevar a cabo un análisis de riesgos específico para estos servicios y reforzar sus medidas de seguridad en consecuencia. Esto no solo es crucial para la seguridad de la información y las operaciones de la entidad, sino también para la seguridad nacional y el bienestar público.
La guía también aborda la importancia de la continuidad y la mejora continua de las prácticas de seguridad. Las medidas adoptadas no deben ser vistas como un chequeo único, sino como parte de un proceso continuo de evaluación y adaptación a las nuevas amenazas y cambios en el entorno operativo.
La implementación efectiva de esta guía será un paso adelante significativo en la protección de infraestructuras críticas y la preservación de la integridad y la confianza en los servicios esenciales que sostienen la sociedad moderna.
