La Comisión Europea ha remitido a Francia, Irlanda, los Países Bajos y España al Tribunal de Justicia de la Unión Europea después de que los cuatro países no implementaran la directiva de ciberseguridad NIS2 dentro del plazo requerido. La directiva debía ser trasladada a la legislación nacional antes del 17 de octubre de 2024, pero los cuatro estados miembros aún no han completado el proceso.
NIS2 es el marco actualizado de ciberseguridad de la Unión Europea destinado a fortalecer la protección de las organizaciones que operan en sectores críticos. Las normas se aplican a industrias como la sanidad, la energía, las finanzas, el transporte, la infraestructura digital, la administración pública y las telecomunicaciones, exigiendo a las organizaciones adoptar medidas de ciberseguridad más estrictas y reportar incidentes cibernéticos significativos.
La Comisión Europea afirmó que la directiva es esencial para mejorar la resiliencia tanto de las organizaciones públicas como privadas frente a las amenazas cibernéticas. También establece una cooperación más estrecha entre los Estados miembros de la UE mediante el intercambio de información y la respuesta coordinada a incidentes, al tiempo que introduce obligaciones más estrictas de gestión de riesgos y de reporte para las entidades afectadas.
Al remitir a los cuatro países al tribunal más alto de la UE, la Comisión busca hacer cumplir el cumplimiento de la legislación de ciberseguridad del bloque. Si el Tribunal de Justicia falla en contra de los Estados miembros y estos continúan retrasando la implementación, podrían enfrentarse a sanciones económicas.
La mayoría de los demás países de la UE ya han adoptado legislación nacional que implementa la directiva. Sin embargo, los Países Bajos han avanzado recientemente tras la aprobación de ambas cámaras del parlamento de la Ley de Ciberseguridad del país, que incorpora los requisitos NIS2 en la legislación neerlandesa. Se espera que la legislación entre en vigor el 15 de agosto, incorporando a más de 8.000 organizaciones holandesas bajo el nuevo marco de ciberseguridad.
Una vez implementado, NIS2 exigirá a las organizaciones cubiertas que refuercen su gobernanza en ciberseguridad, mejoren la seguridad de la cadena de suministro, establezcan procedimientos de respuesta a incidentes y reporten incidentes cibernéticos significativos dentro de los plazos establecidos. Los directivos de la empresa también pueden enfrentarse a una mayor responsabilidad en la supervisión de la ciberseguridad bajo los requisitos de gobernanza de la directiva.