NIS2 es una ampliación de la directiva de ciberseguridad anterior de la UE, NIS, que se adoptó en 2016 como un conjunto de requisitos para proteger las redes y los sistemas de información en toda la UE. NIS2 se presentó en 2020 y entró en vigor el 16 de enero de 2023.
La directiva exige que las empresas identificadas como operadores de servicios esenciales implementen medidas adecuadas para mejorar la ciberseguridad y cumplir con sus obligaciones legales. NIS2 abarca varias organizaciones que no formaban parte de la directiva original, ampliando los sectores afectados de 7 a 15 para proteger aún más áreas vitales. La lista de entidades incluidas en NIS2 ahora incluye:
Energía
Salud
Transporte
Finanzas
Suministro de agua
Infraestructura digital
Administración pública
Proveedores digitales
Servicios postales
Gestión de residuos
Espacio
Alimentos
Fabricación
Productos químicos
Investigación
Además, NIS2 aumenta los requisitos para exigir el cumplimiento de la ciberseguridad, incluye reglas más estrictas para la notificación de incidentes y establece sanciones más severas por incumplimiento. Las autoridades pertinentes desempeñan un papel fundamental en la supervisión del cumplimiento y en facilitar la notificación de incidentes en sectores vitales de la economía y la sociedad. Según el sitio oficial, el proceso típico de cumplimiento de NIS2 toma aproximadamente 12 meses e incluye evaluaciones de seguridad, auditorías, consultoría e implementación de herramientas.
Ahora que la aplicación se acelera en toda la UE, las organizaciones están bajo una presión real para demostrar su postura de ciberseguridad. El artículo 21 tiene el mayor impacto, ya que se relaciona con la gestión segura de credenciales, una disposición que los auditores están examinando de cerca.
¿Qué exige realmente el artículo 21 de NIS2?
De los 45 artículos de la Directiva NIS2, el artículo 21 es al que la mayoría de las organizaciones dedicarán más tiempo. Establece las medidas mínimas de gestión de riesgos de ciberseguridad que todas las entidades esenciales e importantes deben implementar y poder demostrar en la práctica.
La directiva usa un lenguaje deliberado: las medidas deben ser "adecuadas y proporcionales" según el tamaño de la entidad, su exposición al riesgo y la probabilidad y gravedad de los incidentes. Se basa en resultados, no es prescriptiva.
El artículo 21(2) enumera diez medidas mínimas que toda organización dentro del alcance debe implementar:
(a) Análisis de riesgos y políticas de seguridad de los sistemas de información
(b) Gestión de incidentes
(c) Continuidad del negocio: gestión de copias de seguridad y recuperación ante desastres
(d) Seguridad de la cadena de suministro
(e) Seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información
(f) Políticas para evaluar la eficacia de las medidas de ciberseguridad
(g) Prácticas básicas de higiene cibernética y capacitación en ciberseguridad
(h) Políticas de criptografía y cifrado
(i) Seguridad de recursos humanos, políticas de control de acceso y gestión de activos
(j) Autenticación multifactor o soluciones de autenticación continua
Qué revisan en la práctica los auditores del artículo 21
El artículo 21 se basa en resultados, lo que significa que los auditores no solo revisan documentos de políticas, sino que verifican si los controles están operativos y respaldados con evidencia. Hay tres brechas que se señalan con mayor frecuencia:
MFA ausente o aplicada de forma inconsistente
Tener una política de autenticación multifactor (MFA) no es lo mismo que exigir el uso de MFA. Los auditores buscan aplicación a nivel organizacional, no adopción por parte de usuarios individuales.
Cuentas con privilegios excesivos
El control de acceso según el artículo 21(2)(i) requiere que se apliquen y documenten los principios de privilegio mínimo.
Credenciales de servicio no gestionadas
Las claves de API, las contraseñas de cuentas de servicio y las credenciales compartidas que están fuera de cualquier sistema gestionado son un hallazgo recurrente en las auditorías.
El hilo conductor: los auditores verifican si la seguridad se gestiona como un proceso repetible y demostrable.
¿Qué faltaba en la legislación NIS original?
El mayor problema de la NIS original era que era demasiado amplia, demasiado vaga y carecía de capacidades viables para exigir su cumplimiento.
Ahora, las sanciones por incumplimiento son significativas: las entidades esenciales enfrentan multas de hasta €10 millones o el 2 % de sus ingresos anuales globales; las entidades importantes, hasta €7 millones o el 1,4 %.
Durante los primeros días de la COVID, muchas empresas de la UE pasaron al trabajo remoto y rápidamente se hizo evidente que la NIS original no cumplía eficazmente sus objetivos declarados.
Cómo Bitwarden aborda el cumplimiento del Artículo 21 de NIS2
Los auditores que revisan el cumplimiento del Artículo 21 no leen los documentos de políticas de forma aislada. Buscan evidencia de que los controles se aplican, son coherentes y están documentados en toda la organización. Las tres brechas señaladas con mayor frecuencia —aplicación incoherente de MFA, cuentas con privilegios excesivos y credenciales no gestionadas— también son las brechas que un administrador de contraseñas está mejor posicionado para cerrar.
Aplicación de MFA a nivel organizacional
Bitwarden permite a las organizaciones exigir el inicio de sesión en dos pasos en toda la organización mediante controles de políticas empresariales. Bitwarden también se integra con Duo para la aplicación y supervisión centralizadas de MFA. Además, los informes de estado de la caja fuerte incluyen un informe de 2FA inactiva que destaca cualquier credencial almacenada sin una semilla TOTP incluida.
Control de acceso y gestión de credenciales privilegiadas
Los controles de acceso basados en roles, los permisos a nivel de colección y las políticas de grupos de usuarios permiten a los administradores aplicar principios de privilegio mínimo a cada credencial de la organización. Los propietarios de la organización también pueden modificar los ajustes de colección para restringir el acceso de los administradores a las credenciales compartidas, lo que garantiza que incluso los roles elevados no tengan visibilidad total de las credenciales confidenciales.
Credenciales no gestionadas y acceso a la cadena de suministro
Las contraseñas de cuentas de servicio y las credenciales compartidas que viven en hojas de cálculo, hilos de correo electrónico o cajas fuertes personales son un punto ciego que los auditores buscan específicamente. Bitwarden las incorpora a un entorno gobernado y auditable donde el acceso se controla, se registra y se puede revocar. Administrador de secretos de Bitwarden también aporta control de seguridad centralizado a las claves de API.
Registro de auditoría para una gestión de riesgos documentada
Los registros de eventos de la consola de administración de Bitwarden capturan quién accedió a qué credenciales, cuándo y desde dónde. Las integraciones con herramientas SIEM o el uso de claves de API permiten que estos eventos se ingieran y procesen junto con otros monitoreos de eventos en la infraestructura de la empresa.
Criptografía y cifrado de extremo a extremo
Bitwarden cifra los datos del lado del cliente antes de que salgan del dispositivo del usuario. La arquitectura de conocimiento cero y la base de código abierto permiten verificar de forma independiente la implementación del cifrado. El cifrado está claramente documentado en el documento técnico de seguridad de Bitwarden.
Para las organizaciones con requisitos estrictos de residencia de datos, Bitwarden ofrece un servicio dedicado en la nube de la UE y una opción de implementación autoalojada en la que los datos permanecen completamente dentro de su propia infraestructura.
Seguridad de credenciales en la cadena de suministro
Las organizaciones pueden compartir credenciales con proveedores mediante las funciones de uso compartido seguro de Bitwarden Send o usando RBAC e incorporando temporalmente a un contratista. Cuando finaliza la relación con un proveedor, el acceso se revoca a través de la plataforma.
Capacitación y cultura de seguridad de credenciales
Un administrador de contraseñas respalda directamente una cultura de seguridad al hacer que las contraseñas fuertes y únicas sean la opción más fácil para cada usuario. Además, los usuarios empresariales de Bitwarden también reciben una cuenta familiar gratuita para que también puedan practicar buenos hábitos de seguridad en casa.
Cumple los requisitos de NIS2 con Bitwarden hoy mismo
La aplicación de NIS2 se está acelerando en toda la UE, y el Artículo 21 establece un estándar claro: los controles deben implementarse, aplicarse y evidenciarse. Las organizaciones que resistirán el escrutinio de auditoría son aquellas que puedan mostrar a los reguladores una postura de seguridad documentada y operativa, credencial por credencial.
Bitwarden brinda a las organizaciones ambos lados de ese requisito. Los controles de políticas empresariales aplican MFA, permisos de acceso y principios de privilegio mínimo para cada usuario. Los registros de eventos de la consola de administración y las integraciones SIEM crean el registro de auditoría que demuestra que esos controles funcionan. Y, como plataforma de código abierto con opciones de implementación en la nube de la UE y autoalojadas, Bitwarden respalda los requisitos de soberanía de datos de las organizaciones de la UE.
El cumplimiento no tiene que ser un proyecto de infraestructura largo y costoso. Un administrador de contraseñas es una de las formas más rápidas de cerrar las brechas de credenciales que los auditores verifican y de crear el registro de evidencia que pedirán ver.
Comienza con una prueba empresarial gratuita de Bitwarden hoy mismo.
Preguntas frecuentes
¿Qué es NIS2?
NIS2 hace hincapié en los procesos de gestión de riesgos de ciberseguridad, diseñados para exigir a las empresas que adopten medidas para prevenir o mitigar amenazas de ciberseguridad. Cubre riesgos y medidas relacionados con la IA, incluidas pruebas de ciberseguridad, documentación y estrategias de mitigación.
¿Cuál es la diferencia entre NIST y NIS2?
A diferencia de NIS2, el Marco de Ciberseguridad del NIST no contiene una lista accionable. Usar un marco de resiliencia de ciberseguridad específico de NIST puede ayudar a las organizaciones a prepararse para cumplir eficazmente con la directiva de seguridad de la información.
¿Qué es el acto de implementación de NIS2?
La Directiva NIS2 ahora abarca entidades públicas y privadas medianas y grandes en más sectores críticos para la resiliencia cibernética.
¿Qué son los sistemas de redes y de información de NIS2?
NIS2, como legislación aplicable en toda la UE, hace hincapié en los procesos de gestión de riesgos de ciberseguridad diseñados para afrontar el desafío de un panorama de amenazas de ciberseguridad en evolución. El diseño exige que las empresas adopten medidas para prevenir o mitigar amenazas de ciberseguridad. Cubre riesgos y medidas relacionados con la IA, incluidas pruebas de ciberseguridad, documentación y estrategias de mitigación.
NIS2 abarca muchas más organizaciones que no formaban parte de la directiva NIS original. Esto incluye operadores de servicios esenciales dentro de sectores críticos como salud, energía y transporte. La Unión Europea busca armonizar las medidas y prácticas de ciberseguridad en todos sus Estados miembros.
También distingue entre entidades esenciales e importantes al establecer requisitos.
Obtén más información sobre seguridad y cumplimiento de Bitwarden.