Ley de coordinación y gobernanza de ciberseguridad

Las principales novedades de la nueva Directiva en cuanto a las medidas técnicas y organizativas consisten en la obligación de que las organizaciones incluidas en el alcance tengan o establezcan medidas de seguridad técnica y organizativa como una gestión de riesgos formal, procedimientos de respuesta a incidentes efectivos y debidamente probados, planes de continuidad del negocio y recuperación ante desastres o planes de concienciación y formación para los empleados.

Una novedad importante es la relativa a la gestión de incidentes y notificación. En este sentido, las entidades dentro del alcance están obligadas a notificar los incidentes significativos en un plazo máximo de 24 horas desde su detección a su CERT/CSIRT de referencia, CCN-CERT o INCIBE-CERT dependiendo de si se trata de organizaciones públicas o privadas. Ello para facilitar una respuesta coordinada y eficiente, y así poder compartir con otras organizaciones los detalles de las técnicas y tácticas utilizadas en el ciberataque junto con recomendaciones para la respuesta al incidente para que otras organizaciones puedan estar prevenidas en caso de sufrir un incidente similar.

Las organizaciones también tendrán la obligación de notificar de forma inmediata a los destinatarios de sus servicios aquellos incidentes susceptibles de afectar negativamente a la prestación de dichos servicios.

Juan José Nombela. Director Máster Universitario en Ciberseguridad en UNIE Universidad

Juan José Nombela