En un escenario global marcado por la incertidumbre, la interdependencia y el aumento de las amenazas híbridas, proteger los servicios esenciales y las infraestructuras críticas que los sustentan se ha convertido en una prioridad estratégica para cualquier país. No obstante, no es una preocupación reciente. En España, la atención a estos activos se remonta, al menos, a 2011, con el desarrollo de la Ley 8/2011, que establecía medidas para la protección de las infraestructuras críticas y que ya reconocía la dependencia creciente de estos servicios respecto de las tecnologías de la información y la comunicación.
A escala europea, el primer gran hito normativo fue la aprobación de la Directiva NIS 1.0 (2016/1148), que, al tiempo que señalaba el papel crucial para la sociedad de las redes y sistemas, introducía por primera vez obligaciones comunes en materia de ciberseguridad para los operadores de servicios esenciales y proveedores de servicios digitales, poniendo el foco en la notificación de incidentes.
Aquel primer enfoque respondía a una necesidad clara: disponer de visibilidad sobre los ciberincidentes que afectaban a servicios clave y permitir una coordinación mínima entre Estados miembros. Sin embargo, pronto quedó demostrado que la mera notificación, aun siendo necesaria, resultaba insuficiente para garantizar un grado adecuado de protección. Notificar un incidente no evita que ocurra, ni garantiza que la entidad afectada disponga de capacidades reales para resistirlo o recuperarse de él.
Directivas NIS2 y de Resiliencia de las Entidades Críticas
La digitalización masiva de los servicios, la interconexión de las cadenas de suministro y la dependencia mutua entre sectores han multiplicado los riesgos. Hoy, una perturbación en un único operador puede generar efectos en cascada con impacto transfronterizo.
Este cambio de escenario se refleja en el nuevo paquete normativo europeo aprobado en 2022. La Directiva NIS 2 (UE) 2022/2555 y la Directiva (UE) 2022/2557 de Resiliencia de las Entidades Críticas amplían de forma significativa el alcance y la ambición de la regulación. Así, el número de sectores afectados se eleva hasta los 18 y se introduce un enfoque especial en la resiliencia de las entidades y en su cadena de suministro. El artículo 21 de la Directiva NIS 2 impone un conjunto mínimo de medidas de gestión de riesgos de ciberseguridad que las organizaciones deben implantar, incluyendo políticas de análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, uso de criptografía o formación del personal.
Otra novedad relevante de esta Directiva es la diferenciación entre entidades esenciales y entidades importantes. Las primeras, por la criticidad de los servicios que prestan, están sujetas a un régimen de supervisión más estricto y deben demostrar el cumplimiento de los requisitos mediante esquemas de certificación. Las segundas disponen de un enfoque más flexible, en el que la demostración de cumplimiento se activa en caso de incidente, pudiendo basarse en procesos de autoevaluación.
Esquema Nacional de Seguridad como modelo de esquema de certificación para Europa
Sin embargo, la Unión Europea no ha definido un esquema de certificación concreto para articular esta demostración de cumplimiento. En este contexto, España ha propuesto a sus socios europeos el Esquema Nacional de Seguridad (ENS) como referencia para alinear los requisitos de la NIS 2.
El ENS es una normativa pionera, impulsada por el CCN hace más de 15 años, que anticipó un modelo basado en requisitos verificables, auditoría independiente y mejora continua. Este Esquema (desarrollado a través de tres reales decretos, en 2010, 2015 y 2022) cuenta con una sólida base normativa y una red de laboratorios de certificación acreditados que permiten evaluar de forma independiente el cumplimiento de las medidas de seguridad, adaptándose a cualquier esquema externo que se proponga, mejorándolo con medidas propias.
Además, el ENS dispone de un elemento diferencial: los perfiles de cumplimiento específicos, que permiten adaptar los requisitos a las particularidades de cada sector o tipo de entidad, algo fundamental dada la diversidad de escenarios contemplados en la NIS 2. Así, se están desarrollando perfiles para sectores como energía, salud, agua o transporte, y para pequeñas entidades públicas, servicios en la nube o proveedores de servicios de seguridad gestionada. Esta aproximación flexible facilita una aplicación realista y eficaz de las obligaciones, sin perder rigor.
Ciberseguridad: Gestión de incidentes, de la notificación al intercambio
En paralelo, también se ha revisado el enfoque sobre la gestión de incidentes. Si bien la notificación sigue siendo obligatoria desde la NISI, desde España se considera necesario evolucionar hacia modelos de intercambio continuo de información, como el que representa la Red Nacional de SOC, impulsada también por el propio CCN, y que pretende agrupar a todos los centros de operaciones de ciberseguridad, públicos y privados. Este instrumento, que cuenta ya con 286 entidades adheridas, está siendo muy útil para coordinar la colaboración y el intercambio de información entre los centros que operan en territorio español sobre tácticas, técnicas y procedimientos de nuevas amenazas.
