El Consejo de Ministros ha aprobado recientemente el anteproyecto de la Ley de Coordinación y Gobernanza de la Ciberseguridad, lo que supone el primer paso en la transposición al derecho nacional de la Directiva de Seguridad de Redes e Información 2 (en adelante, “NIS2”) de la Unión Europea, que debió transponerse antes del 17/10/2024.
El ámbito de aplicación de la normativa es muy amplio, y se extiende a entidades públicas y privadas, con especial atención a sectores considerados críticos, como energía, transporte, banca, salud, telecomunicaciones y Tecnologías de la Información (TICs).
Asimismo, y para determinados casos, se prevé que el ámbito pueda extenderse a otras áreas estratégicas (logística, alimentación, gestión de residuos e investigación científica). Esto asegura que la regulación sea lo suficientemente amplia como para cubrir posibles vectores de ciberataques en sectores esenciales.
Algunas de las principales ideas:
- Refuerzo de la ciberseguridad: En línea con la Directiva NIS2, el anteproyecto tiene como principal objetivo fortalecer la seguridad de las organizaciones frente a ciberamenazas mediante la implementación de un marco actualizado que permita detectar, prevenir y responder a incidentes de seguridad digital con mayor eficacia.
- Obligaciones para las organizaciones: Las entidades comprendidas dentro del ámbito de aplicación de la norma, deberán, entre otros: Evaluar los riesgos cibernéticos a los que están expuestas; implementar un Sistema de Gestión de Seguridad de la Información (SGSI) con medidas de seguridad adecuadas; notificar incidentes de seguridad a las autoridades competentes de manera oportuna y transparente, etc.
En particular, resalta la obligación dirigida a los órganos de dirección de las organizaciones comprendidas dentro del ámbito de aplicación de la Ley, que deberán aprobar medidas para la gestión de los riesgos de ciberseguridad, supervisar -de manera activa- su puesta en práctica y responder por el incumplimiento.
