EL HERMANO MAYOR TE ESTÁ MIRANDO. O mejor dicho, los hackers te están observando. El rápido desarrollo de nuevas tecnologías expone a empresas y personas a riesgos crecientes de ciberseguridad. Las noticias suelen estar marcadas por ataques informáticos masivos.
Así, en enero pasado, dos operadores de pagos externos, Viamedis y Almerys, fueron víctimas de un ataque sin precedentes que resultó en la filtración de datos de más de 33 millones de personas. También podemos citar el famoso caso de la empresa británica Cambridge Analytica, que recopiló los datos de más de 50 millones de usuarios de Facebook, sin autorización, para crear un programa informático que permitiera predecir e influir en las elecciones de los votantes estadounidenses en 2018.
Según una encuesta de la Unión Europea publicada en mayo de 2022, el 28% de las pymes europeas fueron víctimas de ciberdelincuencia en 2021[1]. La ciberseguridad es un problema global. De hecho, el coste anual del ciberdelito para la economía mundial en 2020 se estima en 5,5 billones de euros, el doble que en 2015.[2].
Es fundamental tomar en serio estas nuevas amenazas. Según el Foro Económico Mundial, los ciberataques se encuentran entre los diez principales riesgos que enfrenta la humanidad[3].
Para hacer frente a estos riesgos, la ley ofrece todo un arsenal. Nos centraremos en las diferentes normativas que permiten regular y comprender los retos de la ciberseguridad.
El RGPD, una herramienta de prevención contra ciberataques
El Reglamento General de Protección de Datos (GDPR)[4] es un reglamento europeo adoptado el 27 de abril de 2016 y entró en vigor el 25 de mayo de 2018, destinado a proteger a las personas en lo que respecta al procesamiento de datos personales.
Complementa y refuerza las prerrogativas previstas en la Ley de Libertad y Protección de Datos de 1978[5]. La obligación de seguridad es una herramienta preventiva esencial para evitar los riesgos de recuperación de datos por parte de un tercero malintencionado.
De hecho, si la seguridad es uno de los principios fundamentales de esta última ley, el RGPD complementa y refuerza esta obligación (artículo 32). Prevé, en particular, la implementación de medidas técnicas y organizativas para proteger los datos (artículo 25), mantener un registro de violaciones de datos (artículo 33), realizar un análisis de impacto para tratamientos sensibles (artículo 35), notificar a la CNIL de cualquier violación de datos (artículo 33), así como informar a las personas de la violación de sus datos (artículo 34) y, sobre todo, el RGPD amplía la seguridad integrando la lucha contra los riesgos que amenazan la disponibilidad de los datos. datos donde la Ley de Protección de Datos solo tenía como objetivo proteger la confidencialidad y la integridad de los datos. El incumplimiento de estas normas puede dar lugar a una multa administrativa de hasta 20 millones de euros o el 4% del volumen de negocios (artículo 83).
El RGPD es el único texto que establece obligaciones concretas y precisas en materia de ciberseguridad. Si bien impone ciertas limitaciones a las empresas, permite prevenir mejor los ciberataques al permitirles fortalecer su defensa.
NIS y NIS 2, el establecimiento de una base común de protección
La directiva “Seguridad de redes y de la información” conocida como NIS 1 (Seguridad de redes y sistemas de información) fue adoptada el 6 de julio de 2016 con el fin de ayudar a los Estados miembros de la UE a enfrentar los desafíos cibernéticos garantizando un nivel alto y común de seguridad para las redes y sistemas de información de la Unión Europea.
La directiva NIS 2 del 27 de diciembre de 2022 refuerza los requisitos de la directiva NIS 1 y establece un alto nivel de ciberseguridad en toda la Unión Europea. Se amplía el ámbito de actuación y se refuerzan los requisitos de seguridad.
Así, mientras que la directiva NIS 1 cubría siete sectores de actividad (energía, transporte, banca, infraestructuras de mercados financieros, salud, agua potable, infraestructuras digitales), la directiva NIS 2 cubre dieciocho (los sectores cubiertos por NIS 1 a los que se suman las aguas residuales, el espacio, los servicios TIC, la administración pública, los servicios postales y marítimos, los residuos, los productos alimenticios, la investigación, la industria manufacturera, la producción química y los proveedores digitales) divididos entre dos categorías de empresas: Entidades Esenciales e Importantes. Entidades. La distinción entre los dos tipos de entidades depende de criterios de tamaño o sensibilidad de los sectores de actividad.
Las Entidades Esenciales son organizaciones o empresas que operan en un sector considerado crítico para el funcionamiento de la sociedad y la economía de la Unión Europea como EDF, TotalEnergies, Air France-KLM o los Hospitales AP-HP. Las Entidades Importantes son organizaciones o empresas que operan en sectores que, aunque no son tan críticos como los de las entidades esenciales, desempeñan un papel significativo en la economía y la sociedad de la Unión Europea, como Danone, La Poste, Amazon o Google.
Las sanciones por infracciones son importantes y pueden llegar hasta 10 millones de euros o el 2% de la facturación global para Entidades Esenciales y hasta 7 millones o el 1,4% de la facturación global para Entidades Importantes.
La transposición de la directiva NIS 2, prevista para octubre de 2024 en Francia, impondrá nuevas obligaciones a las empresas. Así, la dirección de la empresa tiene una gran implicación, ya que debe aprobar las medidas de gestión de riesgos y supervisar su implementación. Los miembros de la dirección deben recibir formación periódica para adquirir conocimientos y habilidades suficientes para identificar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su impacto en los servicios prestados.
La directiva NIS 2 también requiere la implementación de medidas técnicas y organizativas como análisis de riesgos y políticas de seguridad de los sistemas de información, seguridad de la cadena de suministro y control de los proveedores de la Nube, o incluso el uso de soluciones de autenticación multifactor.
La directiva NIS 2 también impone un marco para alertas y notificaciones de incidentes de ciberseguridad que van desde la alerta temprana hasta el informe final un mes después de la notificación del incidente.
ANSSI (Agencia Nacional de Seguridad de los Sistemas de Información) es la autoridad nacional en materia de ciberseguridad y ciberdefensa que será la encargada de velar por el cumplimiento de las obligaciones derivadas de la directiva que se transpondrá al ordenamiento jurídico nacional.
La transposición de la directiva NIS 2 es una oportunidad real para que las empresas mejoren su nivel de seguridad para hacer frente a las amenazas de ciberataques.
Medidas de protección reforzadas por la LPM
Finalmente, la ley de programación militar 2024-2030 o LPM fue adoptada el 13 de julio de 2023 y tiene como objetivo permitir a Francia hacer frente a nuevas amenazas y mantener su rango entre las principales potencias mundiales. De este modo, las ciberamenazas se tienen en cuenta en el ámbito de las nuevas cuestiones.
Con la aprobación de esta ley, el presupuesto dedicado a la cibernética se ha triplicado respecto a años anteriores, es decir, casi cuatro mil millones de euros. La LPM fortalece la seguridad de los sistemas de información críticos para la defensa nacional. Establece un marco regulatorio para proteger la infraestructura de los ciberataques.
Los operadores de vital importancia (OIV), es decir, entidades cuya operación es esencial para la supervivencia de la nación, que afectan a sectores como la energía, el transporte, la salud y las finanzas, están sujetos al cumplimiento de medidas de seguridad obligatorias. Este es también el caso de los operadores de servicios esenciales (OSE), que son aquellos que prestan un servicio esencial cuya interrupción tendría un impacto significativo en el funcionamiento de la economía o la sociedad. Por tanto, las OIV y los OSE tienen la obligación de notificar los incidentes de seguridad a la ANSSI. Por ejemplo, podemos citar la obligación de identificar y declarar sistemas de información de vital importancia por parte de la OIV con el fin de identificar los sistemas más críticos para los cuales un ataque comprobado tendría graves consecuencias para la Nación.
De manera más general, las empresas, según su categoría OIV u OSE, deberán respetar medidas de seguridad específicas, establecer procedimientos de detección y reacción ante incidentes y realizar auditorías de seguridad periódicas.
Buenas prácticas a adoptar
Las empresas pueden rápidamente sentirse perdidas ante la multiplicación de obligaciones impuestas por las normas antes mencionadas. Es por esto que se recomienda ir acompañado de un profesional del derecho acompañado de un profesional de ciberseguridad, con el fin de implementar buenas prácticas para evitar sanciones o incluso ciberataques.
En cuanto al RGPD, la firma LegalProtech-Avocats se especializa en la realización de auditorías RGPD y Maître Christelle Reyno también cuenta con la certificación AFNOR como Delegado de Protección de Datos Personales (DPO).
En cuanto a las directivas NIS 1 y 2, primero debe determinar si la directiva NIS 2 se aplica a su estructura (sector de actividad enumerado por la directiva, más de 250 empleados, facturación anual superior a 50 millones de euros y/o un balance anual superior a 43 millones de euros). Es necesario identificar los riesgos y definir las medidas de seguridad a implementar.
En cuanto al LPM, también es necesario establecer una gobernanza de seguridad a través de una política de seguridad clara y precisa.
Por lo tanto, es necesaria una auditoría de ciberseguridad para comprender los riesgos y establecer las medidas a tomar. También hay que pensar en la formación de los empleados de la empresa. Por todo ello, el despacho LegalProtech-Avocats, con sus socios, puede ayudarle a establecer un plan de acción.
[1] https://europa.eu/eurobarometer/surveys/detail/2280
[2] Sitio web del Parlamento Europeo: ¿Por qué es importante la ciberseguridad y cuáles son los costos de los ciberataques? | Temas | Parlamento Europeo (europa.eu)
[3] https://www.weforum.org/publications/the-global-risks-report-2021/
[4] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de dichos datos, y por el que se deroga la Directiva 95/46/CE
[5] Ley N° 78-17 de 6 de enero de 1978 relativa a informática, archivos y libertades.
Artículo publicado el 18 de julio de 2024. Su contenido refleja el contexto de su publicación.
¿Alguna pregunta sobre tu situación? Contacta con la firma ↗
