El 6 de julio de 2016, el Parlamento Europeo aprobó la Directiva NIS (Directive of Network and Information Systems) y en agosto de 2016 comenzó a ser aplicada dando un plazo de 21 meses a los estados miembros para adaptarla a sus respectivas legislaciones. Ahora el gobierno de España ha aprobado la trasposición a la ley española de esta directiva, clave para garantizar la protección de las redes y sistemas de información digitales. 

El objetivo de la Directiva NIS es el de alcanzar un nivel mayor de ciberseguridad en la Unión Europea. Esta nueva regulación afecta principalmente a los considerados proveedores de servicios digitales, una figura que incluye a: 

  • Mercados digitales: plataformas que ponen en contacto a compradores y vendedores y que proporcionan también las herramientas para realizar las compraventas (eBay, Amazon, por ejemplo). No estarían incluidas las páginas de comercio electrónico directo como una tienda online simple. 
  • Motores de búsqueda: aquellas plataformas que permiten a sus usuarios realizar búsquedas por palabras en Internet y proporcionan enlaces relevantes para dichas búsquedas (Google, Bing, Yahoo, por ejemplo). 
  • Servicios de computación en la nube: aquellos que ofrecen acceso a una infraestructura de almacenamiento y procesamiento de datos digitales (Amazon Web Services, Microsoft Azure, Google Drive, por ejemplo). 

También estarán sujetos a una regulación especial los llamados Operadores de Servicios Esenciales tales como bancos, empresas energéticas, sanitarias, de transporte o de infraestructuras porque se considera que los efectos de una brecha de seguridad en sus sistemas informáticos tendría unos efectos especialmente graves para la sociedad y la economía.  

La directiva NIS exige que tanto los proveedores de servicios digitales como los operadores de servicios esenciales deben informar sobre cualquier incidente serio de seguridad que sufran Centro Nacional de Protección de Infraestructuras Críticas y Ciberseguridad. La gravedad de un incidente vendrá determinada por el número de usuarios afectados así como por el alcance geográfico y su persistencia. 

Los proveedores de servicios digitales deberán cumplir con esta directiva aunque estén radicados fuera de la UE siempre que realicen operaciones dentro de ésta. 

La directiva también contempla la necesidad de adoptar medidas técnicas con el fin de minimizar los riesgos de brechas de seguridad de manera preventiva. Tanto los proveedores de servicios digitales como los operadores de servicios esenciales deberán proporcionar información sobre las medidas tomadas de modo que las autoridades puedan evaluarlas.