Europa está entrando en una nueva era en materia de regulación de la ciberseguridad. Con la entrada en vigor de la NIS2 y la DORA, las organizaciones se enfrentan a unas expectativas cada vez mayores en materia de gobernanza, resiliencia y seguridad operativa. Estas normativas no se limitan a fomentar unos estándares de seguridad más elevados, sino que los imponen, respaldadas por sanciones significativas y la responsabilidad de la dirección.

Las organizaciones que actúan con antelación reforzando sus capacidades básicas de seguridad —en particular mediante pruebas de penetración, la norma ISO 27001 y SOC 2— reducen significativamente su exposición a incidentes cibernéticos y a la intervención de las autoridades supervisoras. Además, se posicionan como socios de confianza y resilientes en unas cadenas de suministro cada vez más reguladas.

‍

Comprender el cambio normativo de la UE

La NIS2 amplía las obligaciones en materia de ciberseguridad a una gama más amplia de sectores, entre los que se incluyen los proveedores de servicios digitales, las empresas de tecnologías de la información, los proveedores de servicios gestionados, la sanidad, la logística, la energía y la industria manufacturera.
Exige a todas las entidades esenciales e importantes que implementen un programa de seguridad basado en el riesgo que abarque la respuesta a incidentes, el control de acceso, la continuidad del negocio, la gestión de vulnerabilidades y la seguridad de la cadena de suministro.
Las multas pueden ascender hasta 10 millones de euros o el 2 % de la facturación anual global.

La normativa DORA se aplica a los servicios financieros y a sus proveedores de TIC, y exige una sólida gestión de los riesgos relacionados con las TIC, pruebas de resiliencia, un riguroso sistema de notificación de incidentes y, en algunos casos, pruebas de penetración basadas en amenazas.
El incumplimiento de esta normativa puede dar lugar a medidas de supervisión y a importantes consecuencias económicas.

‍

Tres medidas fundamentales que refuerzan el cumplimiento normativo y reducen el riesgo

Aunque la NIS2 y la DORA difieren en su ámbito de aplicación, ambas exigen a las organizaciones que demuestren prácticas de ciberseguridad consolidadas, controles documentados, pruebas periódicas y una gestión proactiva de los riesgos. Los siguientes marcos y actividades constituyen una base eficaz.

‍

Pruebas de penetración

Las pruebas de penetración simulan ciberataques reales para identificar vulnerabilidades antes de que los atacantes las descubran.
Tanto la NIS2 como la DORA hacen hincapié en la realización periódica de pruebas técnicas como elemento clave de la ciberresiliencia.

Las pruebas de penetración ayudan a las organizaciones a:

• detectar las deficiencias a tiempo y dar prioridad a su corrección
• demostrar una gestión proactiva y continua de la seguridad
• proporcionar a los organismos reguladores y a los auditores pruebas claras y basadas en ensayos
• reforzar la seguridad de las aplicaciones, la infraestructura y la nube

Para determinadas entidades clasificadas según el sistema DORA, las pruebas de penetración basadas en amenazas (TLPT) podrían llegar a ser obligatorias.

ISO 27001

La norma ISO 27001 ofrece un marco estructurado y reconocido internacionalmente para la implantación de un sistema de gestión de la seguridad de la información (SGSI). Su enfoque basado en el riesgo se ajusta estrechamente a las expectativas en materia de gobernanza, documentación y control establecidas por NIS2 y DORA.

La norma ISO 27001 ayuda a las organizaciones a:

• establecer procesos de seguridad repetibles y auditables
• garantizar una responsabilidad clara por parte de la dirección
• reducir el impacto y la probabilidad de que se produzcan incidentes de seguridad
• aportar pruebas de una gobernanza estructurada en materia de ciberseguridad
• mejorar la confianza en la cadena de suministro y la aceptación por parte de los proveedores

Las organizaciones que cumplen con la norma ISO 27001 suelen enfrentarse a menos dificultades en materia de supervisión, ya que pueden presentar un entorno de control maduro y trazable.

SOC 2

SOC 2 es una norma de garantía ampliamente adoptada —especialmente en el ámbito del SaaS y los servicios en la nube— que evalúa la eficacia de los controles internos en relación con los criterios de servicios de confianza: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.

SOC 2 mejora la preparación ante los requisitos normativos mediante:

• que ofrece pruebas verificadas por terceros de un entorno de control sólido
• mejorar la transparencia para los clientes, los socios y las autoridades reguladoras
• cumplir con las expectativas de NIS2 y DORA en materia de gobernanza y seguimiento documentados
• reforzar las prácticas de gestión de incidentes, registro y supervisión de proveedores
  , lo que supone una ventaja competitiva en mercados sensibles a la seguridad

A diferencia de la norma ISO 27001, que se centra en los sistemas de gestión, la norma SOC 2 hace hincapié en la eficacia operativa de los controles a lo largo del tiempo, especialmente en un informe SOC 2 de Tipo II.

En conjunto, las normas ISO 27001 y SOC 2 constituyen una base sólida y complementaria para cumplir con las exigencias normativas de la UE.

‍

El coste de una preparación deficiente

Las organizaciones que incumplan la normativa NIS2 o la DORA pueden enfrentarse a:

• sanciones económicas considerables
• medidas correctoras jurídicamente vinculantes
• mayor supervisión reguladora
• daño a la reputación y pérdida de clientes
• perturbaciones en las cadenas de suministro dependientes

Un programa de seguridad consolidado, basado en pruebas y verificado de forma independiente es la forma más eficaz de mitigar estos riesgos.

‍

Cómo ayuda AuditOne

AuditOne presta apoyo a las organizaciones de la UE mediante:

• pruebas de penetración en la web, la infraestructura, la nube y Web3
• Evaluaciones de preparación para la norma ISO 27001 y auditorías internas
• Evaluaciones de preparación para SOC 2 y preparación de la documentación justificativa
• Análisis de deficiencias de NIS2 y DORA
• Evaluaciones de seguridad de proveedores y de la cadena de suministro
• una plataforma de auditoría moderna que agiliza la recopilación de pruebas y la elaboración de informes

Tanto si estás creando un nuevo programa de seguridad como si estás ampliando uno ya existente, AuditOne te permite cumplir con la normativa de forma más rápida, clara y fiable.

‍

Conclusión

La NIS2 y la DORA suponen un cambio fundamental en la normativa europea en materia de ciberseguridad. Las pruebas de penetración, la norma ISO 27001 y el SOC 2 proporcionan a las organizaciones la estructura, las pruebas y la resiliencia que necesitan para cumplir estas expectativas, al tiempo que reducen el riesgo operativo y evitan sanciones.
Las empresas que actúen con antelación no solo lograrán el cumplimiento normativo, sino que obtendrán una ventaja cuantificable en cuanto a confianza, transparencia y resiliencia a largo plazo.

‍