¿Incluye su estrategia de ciberseguridad de OT actualizaciones rutinarias de software y hardware? De no ser así, podría estar arriesgándose a una multa de EUR 10000000 o el 2 % de la facturación anual global1.
¿Por qué? Sencillo. Para octubre de 2024, todos los estados miembros de la UE deberán haber aprobado la Directiva Revisada de Seguridad de Redes y Sistemas de Información (NIS2) de la UE como ley. Y la nueva directiva especifica multas de EUR 10000000 o el 2 % de la facturación anual global para las organizaciones que incumplan sus reglas. Una de esas reglas establece claramente que las organizaciones sujetas a la directiva deben tener políticas de ciberseguridad que incluyan:
“…políticas de higiene de ciberseguridad que comprendan un conjunto de prácticas de línea base común, incluidas actualizaciones de software y hardware…”
Más organizaciones que nunca están cubiertas por la directiva actualizada. Esto incluye sectores completamente nuevos como telecomunicaciones, productos químicos, aguas residuales y alimentos, todos considerados “esenciales” o “importantes” para la seguridad y la vida económica de la UE. El artículo 7 de NIS2 refuerza aún más el hecho de que más organizaciones que nunca se verán impactadas por la nueva directiva:
“La estrategia nacional de ciberseguridad incluirá el fortalecimiento de la resiliencia cibernética y la línea base de higiene de ciberseguridad de las pequeñas y medianas empresas, en particular aquellas excluidas del alcance de esta Directiva…”
¿La cuestión principal? Casi todas las organizaciones que operan tecnología operacional en la UE deben empezar a pensar ahora en prepararse para NIS2 o arriesgarse a las consecuencias de una brecha.
¿Por qué las actualizaciones de software son un riesgo bajo NIS2?
Las organizaciones de tecnología operacional (OT), ya sean fabricantes o proveedores de infraestructura, a menudo tienen cientos o incluso miles de dispositivos en sitio. Un informe reciente de McKinsey estimó que algunas instalaciones energéticas tienen hasta 30000 dispositivos conectados2.
Muchos de esos dispositivos también pueden contener componentes inteligentes y conectados, incluidos variadores de frecuencia variable, interruptores industriales, controladores programables, PC industriales, y así sucesivamente. Todos estos componentes también pueden tener su propio software y hardware.
Incluso instalaciones más pequeñas, incluidas aquellas con entornos de producción relativamente pequeños, pueden tener cientos de dispositivos de OT sin mapear y sin gestionar. Y si incluso uno de estos dispositivos ejecuta software desactualizado y eso conduce a una brecha de datos, una interrupción operativa u otro problema significativo, eso constituye una posible infracción de NIS2 y, en consecuencia, una multa.
