NIS2, la directiva europea que ya obliga a las pymes a implementar medidas de ciberseguridad
Asumir las áreas de mejora que el tejido empresarial vasco, especialmente las pymes, presenta en un ámbito como el de la ciberseguridad es asumir que por su estructura son las empresas más vulnerables a la hora de ser atacadas y es asumir que dado que sus recursos económicos no son infinitos, están poco dotadas para implementar en su día a día sistemas de seguridad. En este contexto, Europa está decidida a actuar y revertir esta situación, para lo que acaba de redactar una directiva europea de obligado cumplimiento que entrará en vigor en breve. ¿Con qué objetivo? Que todas las empresas introduzcan medidas en materia de ciberseguridad. Para dar respuesta a las cuestiones derivadas de esta nueva realidad, la tecnológica vasca Cybertix, presidida por Xabier Michelena y dirigida por Lorenzo Díaz de Apodaca, acaba de desarrollar una herramienta que ayuda y simplifica toda esta casuística a la que ahora mismo se enfrenta la pyme vasca.
El Grupo SPRI da la oportunidad a las empresas vascas de informar sobre su actividad en sus canales propios. Si tu proyecto está relacionado con nuestras temáticas (I+D+i, digitalización, internacionalización, emprendimiento, innovación…) puedes participar en la iniciativa Hablamos de ti.
¿Cuál es la última hora de esta normativa europea que va a obligar a todas las empresas a implementar protocolos de ciberseguridad?
La directiva europea se llama NIS2 y se publicó en diciembre de 2022 pero entró en vigor en enero de 2023 y la transposición, en este caso a la legislación española, estaba prevista para el pasado 17 de octubre, de modo que estamos en tiempo porque la implantación no va a ser inmediata y es un buen momento para que las empresas empiecen a tomar medidas.
¿A qué se expone una empresa que no la cumpla?
Pues como casi siempre que hay algo que cumplir, el castigo más evidente es el económico. Parece que si no nos tocan el bolsillo no reaccionamos, y en este caso estamos hablando de sanciones de hasta 10 millones de euros o el 2% de la facturación siempre y cuando la empresa pertenezca a un sector Crítico, o de 7 millones de euros ó el 1,4% si pertenece a uno Importante. Y al margen de la sanción económica estaríamos hablando de la reputación y, sobre todo, de la competitividad, que quedaría muy tocada. La directiva, insistimos, es de obligado cumplimiento, lo que significa que no va a ser cuestión de comprar, hablando de forma muy clara, un sello que nos permita salir al paso. Es una forma de hacer que va a marcar el presente y el futuro.
¿La medida afecta a todas las empresas en general o solo a las pymes?
Afecta a todas las empresas que pertenezcan a unos sectores críticos que están muy definidos. Y también depende de nuestra facturación o del número de empleados. Todas las empresas somos proveedores de terceros y formamos parte de una cadena de suministro, y como tal, puede darse el caso de que sea Europa o nuestro propio cliente el que nos va a demandar que cumplamos con la directiva para gestionar sus riesgos en la cadena de suministro.
Otro aspecto importante de esta norma es que tiene una afección directa en la Dirección de las empresas… ¿Esto qué quiere decir?
Que el responsable último de todo esto a nivel nominal es el directivo, con responsabilidades legales, económicas y de inhabilitación, de ahí que vaya a tener que disponer de una formación adecuada para poder gestionar la empresa a nivel de ciberseguridad.
Con este contexto encima de la mesa, ¿qué es lo que realmente pretende Europa desde este punto de vista de la ciberseguridad?
Mejorar el nivel de seguridad. Puede que haya algo de meternos miedo para poner remedio a un problema tremendo; o puede que se quiera obligar a que las empresas hagamos méritos no solo para proteger nuestros propios activos, sino también el de los propios clientes para los que trabajamos. La ciberseguridad es algo crítico en nuestras vidas, pues está presente absolutamente en todos los sectores económicos que nos afectan, hasta el más mínimo. Por eso lo que Europa pretende no es otra cosa que mejorar el nivel de ciberseguridad de sus empresas, proteger las infraestructuras críticas y, sobre todo, que tengamos una mejor capacidad y más ordenada capacidad de respuesta ante estos ataques que día a día recibimos. Además de todo lo anterior, se quiere fomentar la colaboración y la comunicación efectiva.
En el ámbito pyme es habitual escuchar ese mantra histórico del “¿A mí cómo me van a atacar, sino tengo nada de valor; qué me van a robar?”…
Pues eso se acabó y este tipo de excusas van a tender a desaparecer. Como no hemos sido capaces de acabar con la desidia digital por pura pereza, ahora lo vamos a tener que hacer por obligación y asumiendo responsabilidades. En abril de 2025 se publicará un listado de empresas a las que les aplica NIS2 para evitar cualquier tipo de duda. Además, a los que formamos parte de la cadena de suministro, nuestros clientes nos lo van a exigir.
Ataques diarios, acaba de decir…. ¿De verdad hablamos de eso y qué tipo de ataques?
Los ataques se producen segundo a segundo, con total recurrencia y con un coste de decenas de miles y millones de euros. Y respecto a los ataques, pues vamos aprendiendo, vamos tomando medidas y no todos, afortunadamente, son exitosos. Pero no podemos olvidar que el 60% de las pymes que reciben un ataque exitoso desaparece en los siguientes seis meses. Cesan su actividad. Así de duro.
¿Y qué tipo de ataques son?
Los más habituales son el típico correo electrónico que recibimos haciendo una suplantación de identidad que lo que pretende es hacerse con nuestras credenciales o el ransomware, que cifra nuestros datos para pedirnos después un rescate o extorsiones por nuestra información. Y también, claro, está el caso en que nuestro sistema se ve comprometido no para exigirnos nada sino como vía de acceso a un tercero. A veces no somos el fin si no el medio para llegar al objetivo.
Y una compañía como Cybertix , ¿qué aporta en todo este contexto?
En Cybertix tenemos un reto, que es tratar de ayudar a las pymes, siendo conocedores de que los recursos que tienen el día a día son para sacar su negocio adelante. Y estamos trabajando con una plataforma que lo que hace es simplificar y automatizar la seguridad de ese tipo de empresas. Es un modelo que hace que desde una plataforma única y sin tener un conocimiento muy elevado a nivel técnico, podamos cubrir el 95% de lo que hacen las herramientas habituales de seguridad en el resto de grandes compañías. Es decir, queremos que de forma sencilla y casi automática, con una única plataforma la pyme quede perfectamente cubierta y gestionada internamente por cualquiera que manifieste un poco de interés. Hacemos accesible y operable la ciberseguridad para todas las empresas.
¿A qué puerta pueden llamar las pymes interesadas?
Pueden solicitar las ayudas del programa SOCs (Security Operations Center) y Certificaciones en Ciber, que impulsa el Grupo SPRI y tiene como objetivo reforzar la ciberseguridad de las pymes mediante la financiación de proyectos relacionados con la implementación de servicios SOC y la obtención de certificaciones reconocidas en ciberseguridad. Las subvenciones cubren hasta el 75% de los gastos relacionados con estos servicios, con un límite máximo de 25.000 euros por pyme, lo que permite a las empresas mejorar su seguridad digital sin afrontar el coste completo del proyecto.
¿Y qué tipo de proyectos son susceptibles de ser financiados?
Hay dos tipos de líneas. Una que financia la contratación de servicios de Centros de Operaciones de Seguridad (SOC) para que las empresas reciban apoyo para monitorear y vigilar sus sistemas informáticos en tiempo real, dentro de la cual entra la solución que ofrecemos desde Cybertix para detectar incidentes de seguridad y ejecutar medidas de mitigación de manera proactiva. Y la segunda es para servicio de Pentesting y Certificaciones tipo ENS, ISO 27001 o la adecuación de la propia NIS2 donde también ofrecemos servicios a medida.
Noticias relacionadas
CAI, el primer ‘framework’ de código abierto de IA para ciberseguridad que ha superado a humanos en competición
La empresa vasca Alias Robotics ha llevado a cabo este proyecto, que ha contado con la financiación del programa europeo EIC Accelerator.
Hemoline desarrolla un sistema portátil multitest que obtiene un diagnóstico rápido y preciso de la hemostasia
El proyecto liderado por iLine Microsystems avanza en un dispositivo para el sector médico donde se manejan pacientes anticoagulados. Ha contado con el apoyo del Programa de Ayudas Hazitek de Grupo SPRI.
Lantek, líder mundial en software industrial que ha superado ya los 36.000 clientes
La empresa ubicada en el Parke de Álava, que ha recibido una ayuda del programa de ciberseguridad del Grupo SPRI, tiene más de 400 empleados
El proyecto EGOKIA obtiene una plataforma pionera cibersegura de aprendizaje automático colaborativo
Este proyecto Hazitek fue desarrollado por una decena de empresas y centros de investigación vascos, liderados por Mondragon Assembly.
Lowerton, la startup que acelera los procesos de innovación gracias a la inteligencia artificial
Su tecnología permite implantar en solo dos días mejoras que suelen requerir cuatro meses de trabajo
Lezama Demoliciones, cuando el derribo es casi un arte
La empresa vizcaína, con sede en Trapagaran, celebra su 30º aniversario como referente en el Estado en el campo de la demolición industrial.
Duplostock se reinventa como diseñador y fabricante de soluciones industriales personalizadas
Tras un cambio en la dirección, la empresa vasca apuesta por la transformación digital, la eficiencia energética y la automatización de sus procesos.
Abuelo Actual, dos décadas transformando los hogares de las personas mayores en un espacio sin barreras
Forma parte de la Guía de Empresas de la Silver Economy de Bizkaia, impulsada por Nagusi Intelligence Center, proyecto estratégico de la Diputación Foral.
Moldes Ura se decanta por la innovación para seguir siendo competitiva
Ubicada en Zamudio, la empresa fabrica moldes de inyección y compresión para el sector de la automoción, y ha participado recientemente en el programa Hazinnova del Grupo SPRI.
Amazinglers: “Las personas jóvenes buscan y hasta encuentran trabajo por TikTok y hay que adaptarse a ello”
La startup creada por la alavesa Igone Ruiz de Azua aspira a ser mucho más que una plataforma que conecta jóvenes con empleos y prácticas; una comunidad que asesora a empresas en busca de talento y apuesta por el potencial de las nuevas generaciones.