El 27 de diciembre se publicaba en el Diario Oficial de la Unión Europea, la Directiva UE 2022/2555 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (NIS 2) y el Reglamento UE 2022/2554 de Resiliencia Operativa (DORA) Digital del sector financiero.

Vicente Moret, letrado en Cortes Generales y «Of counsel» de Andersen en España, experto en el mundo de la ciberseguridad, advierte que hay una triple normativa que pretende modificar de forma notable el marco actual en la UE: “Bruselas se comprometió a aprobar este paquete normativo antes del 2023 que está interconectado entre sí”.

A ese respecto recuerda que “la directiva de Resiliencia de entidades críticas es más general, que sustituye a la del 2018 coordinándola con otras nomas. De ahí pasamos a NIS2 y a DORA que es un reglamento centrado en las entidades financieras. Marcará, sin lugar a dudas, un antes y un después en Europa en materia de ciberseguridad. Habrá que ver como se traspone NIS2 en España por la importancia que tiene en el plazo de dos años”.

En el caso de NIS2, “plantea obligaciones para empresas y sectores estratégicos en dos niveles, primero por sectores tradicionales como banca, telecomunicaciones, agua, energía, transporte, alimentación, farma o logística por citar algunos y luego por volumen. Todo lo que no sea pyme, hasta 250 trabajadores y 50 millones de facturación acaba en esta directiva”.

Para este jurista, “el colmo de la sofisticación es el reglamento DORA. Es un Reglamento europeo lo que implica su aplicación directa, pese a ello se ha establecido un periodo transitorio de unos veinticuatro meses”. A su juicio es obvio que las empresas tendrán que desarrollar sus políticas específicas de compliance en materia de ciberseguridad”.

“Es la primera vez que se utiliza una normativa de este tipo para canalizar la necesidad de regular la seguridad digital en el sector financiero. No es solo banco, su aplicación será para aseguradoras, agencias de valores o infraestructuras de mercados financieros, así como proveedores de servicios digitales e incluso las empresas de criptomonedas están incluidas ahí. Todo lo que maneje dinero en la UE y no sea pyme está incluido en DORA”.

A su juicio, es evidente que esta nueva normativa que se transpondrá en nuestro país va a ser muy exigente tanto para las empresas públicas como privadas: “El futuro es digital y parte de su cumplimiento supone contar con la seguridad adecuada en este tipo de negocios. Supone un cambio en la gobernanza de las compañías importante con obligaciones para el Consejo de Administración y el propio CISO con un estatuto definido de obligaciones y derechos”.

Puede leer el artículo completo en Economist & Jurist.