Guía de implementación del CIR 2024/2690
El Reglamento de Ejecución de la UE que especifica exactamente qué medidas técnicas y metodológicas deben implementar las entidades NIS2, publicado en el Diario Oficial el 17 de octubre de 2024 y directamente aplicable en todos los Estados miembros.
¿Qué es el CIR 2024/2690?
El Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024, se publicó en el Diario Oficial de la Unión Europea (serie L, 2024/2690). Establece las normas de aplicación de la Directiva (UE) 2022/2555 (la Directiva NIS2) en lo relativo a los requisitos técnicos y metodológicos de las medidas de gestión de riesgos de ciberseguridad. A diferencia de la propia Directiva NIS2, este reglamento no requiere transposición nacional: se aplica directamente en los 27 Estados miembros desde la fecha de su entrada en vigor.
El CIR es la respuesta a la pregunta que se hace todo responsable de cumplimiento: '¿Qué tenemos que implementar exactamente?'. Mientras que el §30 BSIG (la transposición alemana) enumera 10 ámbitos de medidas en términos generales, el Anexo del CIR los desglosa en requisitos técnicos y metodológicos específicos y auditables. Es la especificación oficial más detallada de las obligaciones NIS2 disponible: más detallada que la propia Directiva, más específica que el BSIG, y directamente exigible.
El reglamento se elaboró en consulta con ENISA y el Grupo de Cooperación NIS, sobre la base de marcos existentes, entre ellos ISO/IEC 27001, ETSI EN 319 401 y normas nacionales. Se aplica específicamente a los proveedores de servicios de DNS, los registros de nombres de TLD, los proveedores de servicios de computación en nube, los proveedores de servicios gestionados de TIC, los proveedores de servicios gestionados de seguridad, los proveedores de mercados en línea, los proveedores de motores de búsqueda en línea, los proveedores de plataformas de servicios de redes sociales y los prestadores de servicios de confianza, aunque sus requisitos técnicos sirven de referencia de facto para todas las entidades NIS2.
Proveedores de servicios de DNS
Registros de nombres de TLD
Proveedores de servicios de computación en nube
Proveedores de servicios gestionados de TIC (servicios gestionados) y proveedores de servicios gestionados de seguridad
Proveedores de mercados en línea
Proveedores de plataformas de servicios de redes sociales
Prestadores de servicios de confianza
Estructura del reglamento
El CIR consta de 7 artículos que definen el ámbito de aplicación, las definiciones y los requisitos, más un Anexo detallado que contiene las especificaciones técnicas y metodológicas.
Artículo 2 - Definiciones
Establece las definiciones de 'seguridad de las redes y sistemas de información', 'incidente significativo' y otros términos clave. Alinea la terminología con la Directiva NIS2, añadiendo precisión específica para la implementación.
Artículo 3 - Carácter significativo de los incidentes
Define cuándo un incidente es 'significativo': el umbral que activa las obligaciones de notificación. Un incidente es significativo si causa una pérdida económica superior a 500 000 EUR o al 5 % del volumen de negocios anual, da lugar a la exfiltración de secretos comerciales, causa la muerte o un daño considerable a la salud, o cumple los criterios específicos por entidad definidos en el artículo.
Artículo 4 - Incidentes significativos recurrentes
Especifica que los incidentes recurrentes que individualmente no alcanzan el umbral de carácter significativo pueden agregarse y tratarse como un único incidente significativo si, en conjunto, cumplen los criterios en un periodo de seis meses.
Artículo 5 - Incidentes significativos para registros de DNS y TLD
Añade criterios específicos de carácter significativo para los proveedores de servicios de DNS y los registros de TLD, incluida la disponibilidad del servicio por debajo del 99,9 % durante cualquier periodo, tasas incorrectas de respuesta de DNS y el compromiso de la integridad o confidencialidad de los datos de registro de dominios almacenados.
Artículo 6 - Requisitos técnicos y metodológicos
El artículo central: exige a las entidades cubiertas que implementen los requisitos técnicos y metodológicos establecidos en el Anexo. Las medidas deben ser 'adecuadas y proporcionadas' a los riesgos, teniendo en cuenta el tamaño de la entidad, su exposición, la probabilidad de incidentes y el impacto social.
Artículo 7 - Entrada en vigor
El reglamento entró en vigor a los veinte días de su publicación en el Diario Oficial (publicado el 17 de octubre de 2024). Se aplica directamente en todos los Estados miembros sin necesidad de transposición nacional.
Política de seguridad de las redes y sistemas de información
Exige una política de seguridad de las redes y sistemas de información documentada y aprobada por la dirección, que defina el enfoque de la entidad para la gestión de la seguridad, revisada a intervalos planificados y actualizada tras incidentes o cambios significativos. Enmarca todas las medidas que siguen.
Política de gestión de riesgos
Exige un marco de gestión de riesgos con una metodología definida, la identificación de los riesgos para las redes y sistemas de información, el análisis y la evaluación frente a criterios de aceptación del riesgo, un plan de tratamiento y la aprobación del riesgo residual por parte de la dirección, revisado a intervalos planificados.
Gestión de incidentes
Exige una política y procedimientos para detectar, analizar, contener, responder y recuperarse de los incidentes, con funciones definidas, registro, escalado y comunicación, y una revisión posterior al incidente estructurada que retroalimente las lecciones aprendidas en las medidas.
Continuidad de negocio y gestión de crisis
Exige un plan de continuidad de negocio y de recuperación ante desastres basado en un análisis de impacto en el negocio, la gestión de copias de seguridad y redundancia con procedimientos de restauración probados, y un plan de gestión de crisis con funciones definidas, revisado y probado a intervalos planificados.
Seguridad de la cadena de suministro
Exige una política de seguridad de la cadena de suministro que rija las relaciones con los proveedores directos y los prestadores de servicios, incluidos criterios de seguridad para la selección, requisitos contractuales y un directorio de proveedores mantenido y supervisado a lo largo del ciclo de vida de la relación.
Seguridad en la adquisición, el desarrollo y el mantenimiento de las redes y sistemas de información
Exige que la seguridad se integre en la adquisición, el desarrollo y el mantenimiento de los sistemas, abarcando prácticas de desarrollo seguro, gestión de la configuración, gestión de cambios, pruebas de seguridad, gestión de parches y tratamiento de las vulnerabilidades durante todo el ciclo de vida.
Políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad
Exige que la entidad defina políticas y procedimientos para evaluar si sus medidas de gestión de riesgos son eficaces, incluidos la supervisión, la revisión y la evaluación independiente, de modo que se identifiquen las deficiencias y las medidas mejoren con el tiempo.
Prácticas básicas de ciberhigiene y formación en seguridad
Exige prácticas básicas de ciberhigiene y un programa de concienciación en seguridad para todo el personal, con formación específica por funciones para el personal con tareas de seguridad y para la dirección, que abarque políticas, amenazas y deberes de notificación.
Criptografía
Exige una política y procedimientos sobre el uso de la criptografía, incluida la selección de algoritmos y longitudes de clave adecuados a los datos, y la gestión de claves que abarque la generación, el almacenamiento, la rotación y la destrucción, revisada frente a las mejores prácticas actuales.
Seguridad de los recursos humanos
Exige medidas de seguridad de los recursos humanos a lo largo del ciclo de vida laboral, incluidas la verificación previa a la contratación cuando proceda, responsabilidades de seguridad definidas, términos y condiciones, y procedimientos para los cambios de función y la terminación, de modo que el acceso finalice cuando finalice la relación laboral.
Control de acceso
Exige una política de control de acceso con la gestión de los derechos de acceso (11.2) y de las cuentas privilegiadas (11.3), los sistemas de administración (11.4), la identificación única (11.5), la autenticación (11.6) y la autenticación multifactor o continua (11.7) para el acceso a los sistemas críticos y el acceso remoto, revisada a intervalos planificados.
Gestión de activos
Exige una política de gestión de activos con la clasificación de los activos, un inventario de las redes y sistemas de información y de los activos de soporte, reglas de manejo según la clasificación, y políticas para los soportes extraíbles y la devolución o eliminación segura de los activos.
Seguridad ambiental y física
Exige la protección de las instalaciones frente a amenazas físicas y ambientales, incluidos los servicios de suministro de apoyo, el acceso físico controlado a los sistemas, y la protección frente a fallos como cortes de energía, incendios e inundaciones, de forma proporcionada al riesgo para los sistemas.
La Directiva NIS2 (UE) 2022/2555 es la legislación matriz: establece el marco, las obligaciones y el régimen de aplicación a escala de la UE. Los Estados miembros debían transponerla a su Derecho nacional antes del 17 de octubre de 2024. La transposición alemana es la NIS2UmsuCG, que modifica el BSIG. El BSIG contiene ahora todas las obligaciones NIS2 en el Derecho alemán, incluidos el §30 (medidas de ciberseguridad) y el §32 (notificación de incidentes).
El CIR 2024/2690 es un reglamento de la UE directamente aplicable: no requiere transposición y prevalece sobre las disposiciones nacionales que entren en conflicto. Cuando el CIR especifica un requisito técnico, ese requisito se aplica directamente, con independencia de que el BSIG lo aborde o no. Para los tipos de entidad enumerados en el artículo 1, el CIR es la norma de cumplimiento principal.
Para las entidades NO enumeradas directamente en el artículo 1 del CIR pero que siguen sujetas a NIS2 (por ejemplo, proveedores de energía, sanidad, transporte), el CIR sirve de referencia más autorizada de lo que constituyen medidas 'adecuadas y proporcionadas'. Se espera que los tribunales alemanes y el BSI remitan a las especificaciones técnicas del CIR al evaluar si las medidas de una empresa cumplen el estándar del §30 BSIG, aunque el CIR no vincule formalmente a esas entidades.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024 - Diario Oficial de la Unión Europea, DO L 2024/2690
- EUR-Lex - Texto completo del CIR 2024/2690 (CELEX: 32024R2690)
- Directiva (UE) 2022/2555 (Directiva NIS2) - Diario Oficial de la Unión Europea
- ENISA - Orientaciones técnicas sobre las medidas de implementación de NIS2 (2024)
- secuvera GmbH - Análisis de los requisitos del CIR 2024/2690 y correspondencia con ISO 27001 (2024)
- BSIG - §30 (Risikomanagementmaßnahmen), §32 (Meldepflichten), en su versión modificada por la NIS2UmsuCG