a Directiva SRI original, adoptada en 2016, supuso un importante paso adelante en la mejora de la postura de la UE en materia de ciberseguridad. Estableció el primer conjunto de normas vinculantes en materia de ciberseguridad en toda la Unión, exigiendo a los Estados miembros que elaboraran estrategias nacionales e imponiendo obligaciones de ciberseguridad a los operadores de servicios esenciales (OES) y a los servicio digitalServicio digital todo servicio de la sociedad de la información, es decir, todo servicio prestado normalmente a cambio de una remuneración, a distancia, por vía electrónica y a petición individual de un destinatario de servicios. A efectos de esta definición: (i) "a distancia" significa que el servicio se presta sin que las partes estén presentes simultáneamente; (ii) "por vía electrónica" significa que el servicio se envía inicialmente y se recibe en su destino mediante equipos electrónicos de tratamiento (incluida la compresión digital) y almacenamiento de datos, y se transmite, conduce y recibe íntegramente por cable, radio, medios ópticos u otros medios electromagnéticos; (iii) "a petición individual de un destinatario de servicios" significa que el servicio se presta mediante la transmisión de datos a petición individual. - Definición con arreglo al artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo. (DSP). Sin embargo, a medida que las ciberamenazas han ido evolucionando en complejidad y alcance, se han puesto de manifiesto las limitaciones de la Directiva SRI original.

La NIS 2 representa la respuesta de la UE a estos retos cambiantes. No sólo actualiza las disposiciones de la directiva original, sino que amplía considerablemente su ámbito de aplicación. La Directiva abarca ahora sectores adicionales, como la industria manufacturera, los servicios postales y de mensajería, la gestión de residuos y la producción de alimentos, entre otros. Al ampliar la gama de sectores obligados a aplicar medidas de ciberseguridad sólidas, la NIS 2 garantiza que una mayor parte de las infraestructuras críticas de la UE esté protegida contra las ciberamenazas.

No se puede exagerar el impacto de la NIS 2 en las organizaciones. El alcance ampliado y los requisitos más estrictos de la Directiva obligan a las empresas a adoptar un enfoque proactivo y global de la ciberseguridad. Las empresas de los nuevos sectores cubiertos deben adaptarse rápidamente, aplicando estrategias sólidas de gestión de riesgos, reforzando los protocolos de respuesta a incidentes y asegurando sus cadenas de suministro. El cumplimiento de la NIS 2 es ahora crucial para mantener la resiliencia de las empresas y protegerse contra las cambiantes ciberamenazas.

Uno de los aspectos más críticos de la NIS 2 es su enfoque en la seguridad de la cadena de suministro. En el ecosistema digital interconectado de hoy en día, la seguridad de su organización es tan fuerte como el eslabón más débil de su cadena de suministro. La NIS 2 reconoce este hecho y hace especial hincapié en garantizar que todos los proveedores y socios cumplan rigurosas normas de ciberseguridad. Esto requiere que las organizaciones lleven a cabo evaluaciones de riesgo exhaustivas de sus cadenas de suministro, apliquen medidas de ciberseguridad estrictas y supervisen continuamente las posibles vulnerabilidades.