Formación en ciberseguridad para cumplir NIS2.

Por sector y por tamaño

Se aplica a las empresas medianas y grandes de los 18 sectores de sus anexos. Mediana, según la definición europea, es la que ocupa a 50 personas o más, o supera los 10 millones de euros tanto de volumen de negocios como de balance.

• Anexo I, sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
• Anexo II, otros sectores críticos: servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, fabricación, proveedores de servicios digitales e investigación.

Algunas entidades entran sea cual sea su tamaño: proveedores de redes y servicios de comunicaciones electrónicas públicos, prestadores de servicios de confianza, registros de dominios y proveedores de DNS, o quien sea el único proveedor de un servicio esencial en el país.

Fuente: Directiva (UE) 2022/2555, art. 2 y anexos I y II; Recomendación 2003/361/CE, anexo, art. 2.

Esenciales o importantes

Las grandes empresas de los sectores del anexo I son entidades esenciales. Las medianas de ese anexo y las de los sectores del anexo II son, en general, entidades importantes.

Las obligaciones de formación son las mismas para las dos. Lo que cambia es la supervisión y el techo de las multas: a las esenciales se las puede inspeccionar y auditar de forma periódica; a las importantes, cuando hay indicios de incumplimiento.

Y si sois proveedor

Aunque vuestra empresa no esté dentro, NIS2 pide a las entidades obligadas que cuiden la seguridad de su cadena de suministro y tengan en cuenta las prácticas de ciberseguridad de sus proveedores. Esa exigencia os puede llegar por contrato.

Fuente: Directiva (UE) 2022/2555, arts. 3, 21.2.d, 21.3, 32 y 33.

Multas

• Entidades esenciales: un máximo de, al menos, 10 millones de euros o el 2 % del volumen de negocios anual mundial, la cifra que sea mayor.
• Entidades importantes: un máximo de, al menos, 7 millones de euros o el 1,4 % del volumen de negocios anual mundial, la que sea mayor.

Son techos mínimos: la cuantía concreta en España la fijará la ley de transposición. Además de la multa, la autoridad puede apercibir, dar instrucciones vinculantes o exigir que se corrijan las medidas en un plazo.

Fuente: Directiva (UE) 2022/2555, arts. 32.4, 33.4 y 34.

Responsabilidad de la dirección

Los órganos de dirección responden por el incumplimiento del artículo 21 (art. 20.1). En las entidades esenciales, las personas físicas que las dirigen o representan pueden ser consideradas responsables de no garantizar el cumplimiento (art. 32.6).

Y si una entidad esencial no corrige las deficiencias en el plazo que le dan, la autoridad puede pedir que se prohíba temporalmente ejercer funciones de dirección a su director general o representante legal (art. 32.5).

Supervisión

A las esenciales se les pueden hacer inspecciones, auditorías periódicas y auditorías específicas. A las importantes, supervisión a posteriori cuando hay pruebas o indicios de incumplimiento.

Fuente: Directiva (UE) 2022/2555, arts. 20.1, 32 y 33.

Qué entregas

• Certificado individual. A nombre de cada persona, directivos incluidos, con el curso, la fecha y la puntuación del test. Caduca al año y se renueva con los contenidos actualizados.
• Registro de formación por empleado. Quién ha completado cada píldora, cuándo y con qué nota, en tiempo real desde el panel.
• Resultados de las simulaciones. Phishing por correo, SMS y QR: quién picó y cómo evoluciona la plantilla. Es la medida de eficacia que pide el artículo 21.2.f.
• Informe y presentación a dirección. Incluidos en todos los planes, para que la dirección apruebe y supervise con datos.
• Informe para la auditoría. Un PDF firmado, con marca de tiempo y trazabilidad por empleado y equipo.

Las simulaciones de phishing se repiten durante el año con dificultad creciente, y la formación en píldoras con test llega con recordatorios automáticos.

Con Legitec detrás

LegiLearn nace dentro de Legitec, consultora de cumplimiento normativo desde 2002, con auditores ENS e implantadores ISO 27001 en el equipo. Cuando llega el supervisor o el auditor, no estás solo con un panel.

Una formación, varias normas

La misma formación y las mismas evidencias os sirven si además os aplica el ENS o tenéis la ISO 27001. Y si un incidente afecta a datos personales, entra también el RGPD.

Las seis normativas que piden formar a la plantilla, comparadas, están en cumplimiento normativo.