NIS2 multiplica el nombre d'organitzacions subjectes a obligacions de ciberseguretat i, per primera vegada, fa responsable de forma personal els òrgans de direcció. L'efecte sobre la contractació de la ciberassegurança ja s'està notant.
Qui queda dins
La directiva distingeix entitats essencials i importants i estén l'àmbit a sectors que fins ara quedaven fora: gestió de residus, alimentació, fabricació, serveis postals, química i proveïdors digitals, entre altres. El llindar general arriba a mitjanes empreses, de manera que companyies que mai s'havien plantejat un marc formal de ciberseguretat passen a estar obligades.
Les obligacions que més costen d'implantar
Anàlisi de riscos documentat, gestió d'incidents, continuïtat de negoci i còpies de seguretat, seguretat de la cadena de subministrament, i formació. La que més feina genera en la pràctica és la de cadena de subministrament: obliga a avaluar i exigir garanties als proveïdors, una cosa que la majoria d'organitzacions no tenia formalitzat.
Notificació en terminis molt curts
Alerta primerenca en 24 hores, notificació amb avaluació inicial en 72 hores i informe final en un mes. Aquests terminis conviuen amb els del RGPD quan hi ha dades personals implicades. Sense un protocol escrit i un equip de resposta identificat per endavant, complir-los durant un incident real és pràcticament impossible.
Què canvia en l'assegurança
Dos efectes. El primer, que el qüestionari de subscripció s'ha endurit: doble factor en accessos remots, còpies immutables i protecció d'endpoint gestionada són avui condició d'assegurabilitat, no una millora de prima. El segon, que la responsabilitat personal de la direcció introduïda per NIS2 reforça el paper del D&O juntament amb la ciberassegurança, perquè són cobertures que responen a reclamacions diferents.
