La jornada ‘Seguridad bajo normativa’ analiza el impacto real de NIS2, CER y LINCE en la seguridad privada

En un contexto regulatorio en plena transformación, marcado por la entrada en vigor de directivas como NIS2 y CER, así como la creciente implantación del Esquema Nacional de Seguridad (ENS) y certificaciones como LINCE, la jornada ‘Seguridad bajo normativa’ ha buscado proporcionar a profesionales de la seguridad privada una hoja de ruta clara y práctica. Fabricantes, integradores, instaladores y responsables de seguridad de sectores esenciales han podido conocer de primera mano el impacto de estas regulaciones en su operativa diaria.

La cita, organizada por Casmar y Desico, junto a la colaboración de la Asociación Catalana de Empresas de Seguridad (Acaes) y la Fundación Borredá, estuvo divida en dos mesas redondas. La primera bajo el título de ‘¿Qué nos exigen las nuevas normativas y certificaciones de seguridad?’ y la segunda titulada ‘Retos y soluciones en la aplicación real de NIS2, CER y LINCE’.

Entendiendo NIS2, CER y LINCE

Moderada por Ana Borredá, presidenta de la Fundación Borredá, esta primera mesa abordó los fundamentos normativos y certificadores que marcan el nuevo rumbo de la seguridad en Europa y España. El coloquio contó con la participación de Alma, representante del Centro Criptológico Nacional (CCN); Estefanía, responsable del Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación (CPSTIC) del CCN; Pedro Mosquera, jefe de Seguridad Lógica del Centro Nacional de Protección de Infraestructuras Críticas (CNPIC); Vicente Moret, Counsel en Deloitte Legal; y Elena de la Calle, consejera técnica en el Departamento de Seguridad Nacional.

En este sentido, Alma, la representante del CCN, destacó la labor de su organismo como pieza clave para reforzar la seguridad digital a través del ENS. Recalcó que este marco, en vigor desde 2010 y actualizado en 2022, servirá como base para el cumplimiento de NIS2. Expuso también el proyecto del Ciberescudo Nacional, basado en la ley de cibersolidaridad y enlazado con el Ciberescudo Europeo, como instrumento esencial para fortalecer la red de centros de operaciones de seguridad (SOC). Su mensaje fue claro: «no esperemos a sufrir un ciberataque para actuar, debemos prepararnos ya».

A su vez, Estefanía, responsable del CPSTIC, explicó en detalle qué es la certificación LINCE y cómo se diferencia del ENS. Mientras este último es una norma jurídica aplicable a entidades públicas y privadas que prestan servicios a la Administración, LINCE es una certificación de producto que mejora significativamente la ciberresiliencia de las soluciones tecnológicas. Subrayó que, en la evaluación de productos bajo LINCE, se detectan y corrigen más de seis vulnerabilidades de media. En su opinión, «invertir en productos certificados no es un gasto, es una garantía de seguridad y una inversión inteligente».

Por su parte, Mosquera abordó la evolución de la Directiva CER. Señaló que, desde su enfoque inicial en el terrorismo, ahora se busca garantizar la resiliencia de los servicios esenciales ante cualquier amenaza. Explicó cómo este nuevo enfoque afecta directamente a la seguridad privada, que se convierte en un eslabón clave de la cadena de protección nacional. El CNPIC, afirmó, acompañará al sector privado en la elaboración e implantación de planes de resiliencia.

Mientras que Moret destacó que tanto NIS2 como CER son «hijas de la pandemia», fruto de una toma de conciencia sobre nuestra dependencia digital. Aunque valoró positivamente el impulso normativo, advirtió que «la UE puede haber pecado de exceso regulatorio«, lo que podría dificultar su aplicación en sectores menos maduros. Aun así, insistió: «la seguridad no es opcional, es una obligación empresarial».

Por último, de la Calle, en su intervención, desgranó los objetivos de la NIS2: elevar el nivel común de ciberseguridad en Europa, homogeneizar criterios entre Estados y ampliar el número de sectores regulados. Destacó la implicación del DSN en la estrategia nacional, la colaboración con ENISA y el rol esencial de los grupos de trabajo público-privados. Subrayó que sectores como el eléctrico, financiero y telecomunicaciones lideran la madurez en ciberseguridad, mientras que otros como salud, TIC o marítimo están en zona de riesgo.

Retos y soluciones en la aplicación real

A continuación, bajo la moderación de Anna Aisa Biarnés, gerente de Acaes, la segunda mesa redonda de la jornada centró el foco en los desafíos reales a los que se enfrentan las empresas. En este coloquio participaron Ana Marzo, socia de Equipo Marzo; Enrique Bilbao, director adjunto de Desico; Jaime Bárcenas, gerente regional de ventas de STid; y Daniel Fernández-Viagas, responsable de GRC en SIRT.

Durante el debate, Marzo destacó el papel crucial del asesoramiento jurídico para implementar correctamente las exigencias de NIS2 y CER. Advirtió sobre las fuertes sanciones, la necesidad de pruebas válidas ante la administración y la dificultad de adaptar distintos marcos legales. Defendió que, sin liderazgo ni buena gobernanza, cualquier estrategia está condenada al fracaso.

Asimismo, Bilbao expuso el rol del fabricante como parte de la cadena de suministro, señalando que, si bien no son entidades críticas, sí tienen una gran responsabilidad. Subrayó la necesidad de unificar procedimientos ante la diversidad de requerimientos de los clientes, y valoró la certificación LINCE como una oportunidad para fortalecer el sector.

Por otra parte, el representante de STid señaló la dificultad de delimitar qué empresas son entidades importantes y cómo afecta eso a los requisitos normativos. Puso énfasis en la necesidad de proteger el dato y el control de accesos como elementos centrales de la seguridad. «No se trata solo de cumplir, sino de comprender que el dato es nuestro y su protección empieza desde el diseño del sistema», alegó Bárcenas.

Finalmente, Fernández-Viagas, como responsable de Gobierno, Riesgo y Cumplimiento, aportó una perspectiva centrada en la integración de la ciberresiliencia como estrategia empresarial. Recalcó la importancia de que el ámbito físico y el factor humano estén integrados en cualquier plan de seguridad, y señaló que «una organización es tan fuerte como el eslabón más débil de su cadena de suministro».

La clausura corrió a cargo de Montse Castro, CEO de Casmar y presidenta de Acaes, quien agradeció la participación de ponentes y asistentes y destacó el compromiso del sector privado con la adaptación normativa. Reivindicó la colaboración como piedra angular para construir una seguridad eficaz y sostenible: «No se trata solo de cumplir, sino de comprender. La seguridad no depende solo de la inversión, sino del compromiso colectivo».