La Directiva NIS2 ha elevado la ciberseguridad desde el departamento técnico hasta los órganos de dirección y, para las empresas afectadas, ya no basta con acreditar que existe un firewall en el perímetro. Las obligaciones europeas de gestión del riesgo alcanzan la continuidad de negocio, el control de accesos, la respuesta a incidentes y, para determinadas entidades digitales reguladas directamente por el Reglamento de Ejecución (UE) 2024/2690, también establecen requisitos concretos de segmentación de redes y sistemas.

Las claves de NIS2 para empresas y asesores jurídicos en 20 segundos

• NIS2 exige medidas técnicas, operativas y organizativas proporcionadas al riesgo.
• La responsabilidad de supervisar estas medidas alcanza a los órganos de dirección.
• Un reglamento europeo desarrolla obligaciones específicas de segmentación para determinados proveedores digitales.
• Cloud, centros de datos y servicios gestionados están entre los sectores afectados por ese desarrollo.
• Cumplir exige poder documentar, revisar y justificar las medidas adoptadas.

Esta última distinción resulta relevante desde el punto de vista jurídico. La Directiva (UE) 2022/2555 establece un marco general basado en riesgos para las entidades esenciales e importantes, pero el Reglamento de Ejecución (UE) 2024/2690 concreta los requisitos técnicos para determinados operadores digitales. Entre ellos figuran proveedores de computación en nube, centros de datos, servicios gestionados, servicios de seguridad gestionados, DNS, redes de distribución de contenidos y otros servicios contemplados por la norma.

Y en ese reglamento la segmentación ya no aparece únicamente como una buena práctica recomendada. Su apartado 6.8 establece expresamente que las entidades pertinentes deben segmentar sus sistemas en redes o zonas de acuerdo con los resultados de su evaluación de riesgos.

Del cumplimiento documental a demostrar cómo está protegida la infraestructura

El artículo 21 de NIS2 obliga a las entidades incluidas en su ámbito de aplicación a adoptar medidas técnicas, operativas y organizativas apropiadas y proporcionadas para gestionar los riesgos de sus redes y sistemas de información.

Esto tiene una consecuencia práctica para abogados especializados en tecnología, responsables de cumplimiento y departamentos jurídicos: el análisis de NIS2 no termina determinando si una empresa está o no dentro de su ámbito subjetivo.

Una vez establecida su aplicación, aparece una segunda cuestión: qué medidas ha adoptado realmente la organización y cómo puede demostrar que son adecuadas para sus riesgos.

La directiva contempla expresamente ámbitos como análisis de riesgos, gestión de incidentes, continuidad de negocio, recuperación ante desastres, seguridad de la cadena de suministro, gestión de vulnerabilidades, criptografía, control de accesos, autenticación multifactor y formación en ciberseguridad.

Además, las medidas deben aplicarse al conjunto de operaciones y servicios de la entidad afectada, no exclusivamente a unos pocos activos considerados críticos. Así lo han aclarado las directrices de la Comisión Europea sobre NIS2.

Para determinados proveedores digitales, el Reglamento 2024/2690 va bastante más lejos al concretar cómo debe materializarse parte de esa protección.

El texto exige separar sistemas en redes o zonas según la evaluación de riesgos y mantener los sistemas críticos en zonas seguras. También establece que deben restringirse las comunicaciones entre zonas a aquellas necesarias para el funcionamiento o la seguridad.

Hay obligaciones todavía más específicas: separar la red dedicada a la administración de la red operativa, segregar los canales de administración del resto del tráfico y separar los sistemas de producción de los utilizados para desarrollo y pruebas, incluidas las copias de seguridad.

Esto cambia sustancialmente el enfoque de cumplimiento.

Ya no resulta suficiente disponer de un documento corporativo que declare que los sistemas están protegidos. La arquitectura técnica debe poder respaldar lo que afirman las políticas de seguridad.

El cloud privado también entra en la conversación jurídica

La infraestructura cloud es uno de los ámbitos donde esta relación entre arquitectura y cumplimiento resulta más visible.

David Carrero Fernández-Baillo, cofundador de Stackscale (Grupo Aire), proveedor europeo especializado en infraestructura de cloud privado con Proxmox VE y VMware, considera que NIS2 está llevando a las empresas a revisar decisiones que anteriormente se contemplaban casi exclusivamente desde la perspectiva técnica.

“NIS2 obliga a mirar la infraestructura de otra manera. Ya no basta con tener un firewall delante de los servidores. Hay que saber qué sistemas pueden comunicarse entre sí, quién puede administrarlos y qué ocurriría si una de esas zonas quedara comprometida”, explica David Carrero Fernández-Baillo, cofundador de Stackscale.

La segmentación resulta especialmente relevante en plataformas virtualizadas. Un mismo entorno físico puede alojar máquinas virtuales de producción, bases de datos, servicios internos, herramientas de administración, sistemas de desarrollo y plataformas de copias de seguridad.

Que compartan infraestructura física no significa que deban compartir el mismo nivel de confianza.

En un entorno correctamente diseñado pueden establecerse redes diferenciadas, VLAN, firewalls, interfaces de administración separadas y políticas que determinen qué tráfico puede circular entre cada zona.

Carrero apunta además a un elemento que puede pasar inadvertido durante una auditoría centrada exclusivamente en documentación.

“Una segmentación diseñada hace tres años puede haber dejado de ser válida. Las infraestructuras cambian continuamente: aparecen nuevas máquinas virtuales, servicios, proveedores y accesos remotos. La parte importante no es solo segmentar, sino revisar periódicamente que esas separaciones siguen funcionando como fueron diseñadas”.

Esta necesidad de revisión no es únicamente una recomendación técnica para las entidades cubiertas por el Reglamento 2024/2690. El apartado 6.8.3 establece que la segmentación debe revisarse y, cuando proceda, actualizarse a intervalos planificados y también después de incidentes significativos o cambios importantes en las operaciones o los riesgos.

La dirección también tiene responsabilidades bajo NIS2

Uno de los elementos jurídicos más importantes de NIS2 es que la ciberseguridad deja de poder delegarse completamente en el departamento de sistemas.

La directiva establece responsabilidades para los órganos de dirección de las entidades esenciales e importantes. Deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su aplicación y pueden responder por incumplimientos conforme a las normas nacionales que desarrollen la directiva.

También deben seguir formación suficiente para adquirir conocimientos que les permitan identificar riesgos y evaluar las prácticas de gestión de ciberseguridad y sus consecuencias sobre los servicios de la organización.

Esto amplía considerablemente el ámbito de una auditoría NIS2.

Un asesor jurídico puede necesitar conocer quién aprobó la política de seguridad, cuándo se revisó, qué análisis de riesgos la sustenta, cómo se gestionan los proveedores, qué procedimientos existen para notificar incidentes y cómo se documenta la continuidad de negocio.

Pero algunas respuestas exigirán hablar directamente con los responsables de infraestructura.

¿Están separados producción y desarrollo? ¿Puede un proveedor externo acceder a toda la red después de conectarse por VPN? ¿Las interfaces de administración están expuestas desde redes de usuario? ¿Dónde se encuentran las copias de seguridad? ¿Qué sistemas pueden acceder a ellas? ¿Se revisan periódicamente las reglas de firewall?

Son preguntas técnicas con consecuencias de cumplimiento.

El Reglamento 2024/2690 también introduce un elemento especialmente interesante para contratos tecnológicos: exige separar los sistemas y redes propios de los sistemas y redes de terceros. Además, entre las soluciones contempladas para proteger la red aparecen restricciones de conexiones, VPN para accesos remotos y accesos de proveedores sujetos a autorización y limitados temporalmente cuando resulte apropiado.

Esto puede trasladarse a contratos de servicios gestionados, mantenimiento, outsourcing tecnológico y cloud. Definir quién puede acceder, mediante qué mecanismos, durante cuánto tiempo y con qué registros deja de ser únicamente una cuestión operativa.

NIS2 tampoco prescribe una marca concreta de firewall, hipervisor o plataforma cloud. El principio continúa siendo el riesgo y la proporcionalidad.

Por eso una empresa no puede asumir automáticamente que desplegar determinadas tecnologías equivale a cumplir.

Tampoco debería interpretarse que todas las entidades sometidas a NIS2 tienen exactamente las mismas obligaciones técnicas de segmentación recogidas en el Reglamento 2024/2690. Este último desarrolla requisitos armonizados para categorías concretas de proveedores digitales, entre ellas los proveedores cloud y de centros de datos.

Para los abogados tecnológicos, esta diferencia entre la obligación general de NIS2 y los requisitos técnicos específicos aplicables a determinados sectores resulta esencial antes de emitir conclusiones sobre cumplimiento.

Lo que sí cambia de forma general es la necesidad de conectar tres ámbitos que durante años se han tratado por separado: derecho, gestión empresarial e infraestructura tecnológica.

Una política de seguridad puede estar jurídicamente bien redactada, pero si describe controles que técnicamente no existen, difícilmente podrá sostener por sí sola una estrategia de cumplimiento.

Preguntas frecuentes

¿NIS2 obliga a todas las empresas afectadas a segmentar su red?

NIS2 establece obligaciones generales de gestión del riesgo basadas en medidas apropiadas y proporcionadas. El Reglamento de Ejecución (UE) 2024/2690 sí establece expresamente requisitos de segmentación para determinadas categorías de proveedores digitales, entre ellas proveedores cloud, centros de datos y servicios gestionados.

¿Qué responsabilidad tiene la dirección de una empresa bajo NIS2?

Los órganos de dirección de las entidades esenciales e importantes deben aprobar las medidas de gestión de riesgos de ciberseguridad y supervisar su aplicación. NIS2 también contempla formación para que sus miembros puedan comprender y evaluar adecuadamente estos riesgos.

¿Tener un firewall permite acreditar el cumplimiento de NIS2?

No por sí solo. El cumplimiento incluye aspectos como gestión de riesgos e incidentes, continuidad de negocio, vulnerabilidades, seguridad de proveedores, accesos, criptografía y otras medidas técnicas y organizativas.

¿Por qué debería un abogado tecnológico revisar la arquitectura cloud?

Porque determinadas obligaciones legales dependen de cómo están configurados realmente los sistemas. La separación de entornos, los accesos administrativos, las conexiones de proveedores o la protección de las copias de seguridad pueden resultar relevantes para determinar si las medidas declaradas por una organización se aplican efectivamente.