NIS2 es una ampliación de la anterior directiva de ciberseguridad de la UE, NIS, que se adoptó en 2016 como un conjunto de requisitos para proteger las redes y los sistemas de información en toda la UE. NIS2 se presentó en 2020 y entró en vigor el 16 de enero de 2023.
La directiva exige que las empresas identificadas como operadoras de servicios esenciales implementen medidas adecuadas para fortalecer la ciberseguridad y cumplir con las obligaciones legales. NIS2 abarca varias organizaciones que no formaban parte de la directiva original, ampliando los sectores afectados de 7 a 15 para proteger aún más áreas vitales. La lista de entidades incluidas en NIS2 ahora incluye:
Energía
Salud
Transporte
Finanzas
Suministro de agua
Infraestructura digital
Administración pública
Proveedores digitales
Servicios postales
Gestión de residuos
Espacio
Alimentos
Manufactura
Productos químicos
Investigación
Además, NIS2 aumenta los requisitos para aplicar la ciberseguridad, incluye reglas más estrictas para la notificación de incidentes y establece sanciones más severas por incumplimiento. Las autoridades pertinentes desempeñan un papel crucial en la supervisión del cumplimiento y la facilitación de la notificación de incidentes en sectores vitales de la economía y la sociedad. Según el sitio oficial, el proceso típico de cumplimiento de NIS2 tarda aproximadamente 12 meses e incluye evaluaciones de seguridad, auditorías, consultoría e implementación de herramientas.
Ahora que su aplicación se está acelerando en toda la UE, las organizaciones enfrentan una presión real para demostrar su postura de ciberseguridad. El artículo 21 es el de mayor impacto, ya que se relaciona con la gestión segura de credenciales, una disposición que los auditores están examinando de cerca.
¿Qué exige realmente el artículo 21 de NIS2?
De los 45 artículos de la Directiva NIS2, el artículo 21 es aquel al que la mayoría de las organizaciones dedicará más tiempo. Establece las medidas mínimas de gestión de riesgos de ciberseguridad que todas las entidades esenciales e importantes deben implementar y poder demostrar en la práctica.
La directiva usa un lenguaje deliberado: las medidas deben ser "adecuadas y proporcionadas" según el tamaño de la entidad, su exposición al riesgo y la probabilidad y gravedad de los incidentes. Se basa en resultados, no es prescriptiva.
El artículo 21(2) enumera diez medidas mínimas que toda organización dentro del alcance debe implementar:
(a) Análisis de riesgos y políticas de seguridad de los sistemas de información
(b) Gestión de incidentes
(c) Continuidad del negocio: gestión de copias de seguridad y recuperación ante desastres
(d) Seguridad de la cadena de suministro
(e) Seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información
(f) Políticas para evaluar la eficacia de las medidas de ciberseguridad
(g) Prácticas básicas de higiene cibernética y capacitación en ciberseguridad
(h) Políticas de criptografía y cifrado
(i) Seguridad de recursos humanos, políticas de control de acceso y gestión de activos
(j) Soluciones de autenticación multifactor o autenticación continua
Qué revisan en la práctica los auditores del artículo 21
El artículo 21 se basa en resultados, lo que significa que los auditores no solo revisan documentos de políticas, sino que verifican si los controles están operativos y respaldados con evidencia. Hay tres brechas que se señalan con mayor frecuencia:
MFA ausente o aplicada de forma inconsistente
Tener una política de autenticación multifactor (MFA) no es lo mismo que tener MFA aplicada. Los auditores buscan la aplicación a nivel de la organización, no la adopción por parte de usuarios individuales.
Cuentas con privilegios excesivos
El control de acceso según el artículo 21(2)(i) requiere que se apliquen y documenten los principios de privilegio mínimo.
Credenciales de servicio no gestionadas
Las claves de API, las contraseñas de cuentas de servicio y las credenciales compartidas que existen fuera de cualquier sistema gestionado son un hallazgo recurrente en auditorías.
El hilo conductor: los auditores verifican si la seguridad se gestiona como un proceso repetible y demostrable.
¿Qué faltaba en la legislación NIS original?
El mayor problema de la NIS original era que era demasiado amplia, demasiado imprecisa y carecía de capacidades viables de aplicación.
Ahora, las sanciones por incumplimiento son significativas: las entidades esenciales enfrentan multas de hasta 10 millones de euros o el 2 % de los ingresos anuales globales; las entidades importantes enfrentan multas de hasta 7 millones de euros o el 1.4 %.
Durante los primeros días de la COVID, muchas empresas de la UE pasaron al trabajo remoto y rápidamente quedó claro que la NIS original no era eficaz para cumplir sus objetivos declarados.
Cómo Bitwarden aborda el cumplimiento del artículo 21 de NIS2
Los auditores que revisan el cumplimiento del artículo 21 no leen los documentos de políticas de forma aislada. Buscan evidencia de que los controles se apliquen, sean coherentes y estén documentados en toda la organización. Las tres brechas señaladas con mayor frecuencia: aplicación incoherente de MFA, cuentas con privilegios excesivos y credenciales no gestionadas, son también las brechas que un administrador de contraseñas está mejor preparado para cerrar.
Aplicación de MFA a nivel organizacional
Bitwarden permite que las organizaciones exijan el inicio de sesión en dos pasos en toda la organización mediante controles de políticas empresariales. Bitwarden también se integra con Duo para la aplicación y supervisión centralizadas de MFA. Además, los informes de estado de la caja fuerte incluyen un informe de 2FA inactiva que destaca cualquier credencial almacenada sin una semilla TOTP incluida.
Control de acceso y gestión de credenciales privilegiadas
Los controles de acceso basados en roles, los permisos a nivel de colección y las políticas de grupos de usuarios permiten a los administradores aplicar principios de privilegio mínimo a cada credencial de la organización. Los propietarios de la organización también pueden modificar los ajustes de colección para restringir el acceso de los administradores a las credenciales compartidas, lo que garantiza que incluso los roles con privilegios elevados no tengan visibilidad total sobre credenciales confidenciales.
Credenciales no gestionadas y acceso a la cadena de suministro
Las contraseñas de cuentas de servicio y las credenciales compartidas que viven en hojas de cálculo, hilos de correo electrónico o cajas fuertes personales son un punto ciego que los auditores buscan específicamente. Bitwarden las incorpora a un entorno gobernado y auditable donde el acceso se controla, se registra y se puede revocar. Administrador de secretos de Bitwarden también aporta control de seguridad centralizado a las claves de API.
Rastro de auditoría para una gestión de riesgos documentada
Los registros de eventos de la consola de administrador de Bitwarden capturan quién accedió a qué credenciales, cuándo y desde dónde. Las integraciones con herramientas SIEM o el uso de claves de API permiten que estos eventos se incorporen y procesen junto con otros eventos de monitoreo en la infraestructura de la empresa.
Criptografía y cifrado de extremo a extremo
Bitwarden cifra los datos del lado del cliente antes de que salgan del dispositivo del usuario. La arquitectura de conocimiento cero y la base de código abierto permiten verificar de forma independiente la implementación del cifrado. El cifrado está claramente documentado en el documento técnico de seguridad de Bitwarden.
Para las organizaciones con requisitos estrictos de residencia de datos, Bitwarden ofrece un servicio dedicado en la nube de la UE y una opción de implementación autoalojada donde los datos permanecen por completo dentro de su propia infraestructura.
Seguridad de credenciales en la cadena de suministro
Las organizaciones pueden compartir credenciales con proveedores mediante las funciones de uso compartido seguro de Bitwarden Send o mediante RBAC e incorporando temporalmente a un contratista. Cuando finaliza la relación con un proveedor, el acceso se revoca a través de la plataforma.
Capacitación y cultura de seguridad de credenciales
Un administrador de contraseñas respalda directamente una cultura de seguridad al hacer que las contraseñas seguras y únicas sean el camino de menor resistencia para cada usuario. Además, los usuarios empresariales de Bitwarden también reciben una cuenta familiar gratuita para que también puedan practicar buenos hábitos de seguridad en casa.
Cumple los requisitos de NIS2 con Bitwarden hoy
La aplicación de NIS2 se está acelerando en toda la UE, y el artículo 21 establece un estándar claro: los controles deben implementarse, aplicarse y evidenciarse. Las organizaciones que resistirán el escrutinio de las auditorías son aquellas que pueden mostrar a los reguladores una postura de seguridad documentada y operativa, credencial por credencial.
Bitwarden ofrece a las organizaciones ambos lados de ese requisito. Los controles de políticas empresariales aplican MFA, permisos de acceso y principios de privilegio mínimo para cada usuario. Los registros de eventos de la consola de administrador y las integraciones con SIEM crean el rastro de auditoría que demuestra que esos controles funcionan. Y, como plataforma de código abierto con opciones de nube en la UE e implementación autoalojada, Bitwarden respalda los requisitos de soberanía de datos de las organizaciones de la UE.
El cumplimiento no tiene que ser un proyecto de infraestructura largo y costoso. Un administrador de contraseñas es una de las formas más rápidas de cerrar las brechas de credenciales que los auditores revisan y de construir el registro de evidencia que pedirán ver.
Comienza con una prueba gratuita de Bitwarden para empresas hoy.
Preguntas frecuentes
¿Qué es NIS2?
NIS2 enfatiza los procesos de gestión de riesgos de ciberseguridad, diseñados para exigir que las empresas adopten medidas para prevenir o mitigar amenazas de ciberseguridad. Cubre riesgos y medidas relacionados con la IA, incluidas pruebas de ciberseguridad, documentación y estrategias de mitigación.
¿Cuál es la diferencia entre NIST y NIS2?
A diferencia de NIS2, el Marco de Ciberseguridad del NIST no contiene una lista práctica. Usar un marco de resiliencia de ciberseguridad específico de NIST puede ayudar a las organizaciones a prepararse para cumplir eficazmente con la directiva de seguridad de la información.
¿Qué es el acto de ejecución de NIS2?
La Directiva NIS2 ahora abarca entidades públicas y privadas medianas y grandes en más sectores críticos para la resiliencia cibernética.
¿Qué son las redes y los sistemas de información de NIS2?
NIS2, como legislación en toda la UE, enfatiza los procesos de gestión de riesgos de ciberseguridad diseñados para enfrentar el desafío de un panorama de amenazas de ciberseguridad en evolución. El diseño exige que las empresas adopten medidas para prevenir o mitigar amenazas de ciberseguridad. Cubre riesgos y medidas relacionados con la IA, incluidas pruebas de ciberseguridad, documentación y estrategias de mitigación.
NIS2 abarca muchas más organizaciones que no formaban parte de la directiva NIS original. Esto incluye operadores de servicios esenciales dentro de sectores críticos como salud, energía y transporte. La Unión Europea busca armonizar las medidas y prácticas de ciberseguridad en todos sus Estados miembros.
También distingue entre entidades esenciales e importantes al establecer requisitos.
Obtén más información sobre seguridad y cumplimiento de Bitwarden.