NIS 2, REC y DORA: Francia pone fin a su prórroga en ciberseguridad

Durante casi dos años, la transposición de las directivas NIS 2 y REC al derecho francés y la puesta en marcha del reglamento DORA se trataron como un asunto técnico: un texto anunciado y luego aplazado, con un plazo europeo que se deslizaba mes a mes. Ese paréntesis se cierra y las organizaciones ya no pueden seguir esperando.

Ante la comisión especial de la Asamblea Nacional, Anne Le Hénanff, ministra encargada de Digital, subrayó que la amenaza no esperó al legislador. Recientemente se vieron afectados organismos estratégicos como la ANTS y la DGFIP, lo que demuestra que nadie está fuera de alcance. El riesgo abarca a cualquier organización cuya actividad dependa de lo digital, desde un municipio rural hasta un grupo internacional.

La ciberseguridad pasa a ser cuestión de gobernanza

Muchas organizaciones justificaban su espera por la falta de una ley definitiva. El argumento pierde fuerza: los textos europeos están publicados, las obligaciones principales identificadas y la agencia ANSSI ha puesto a disposición buena parte de los referenciales necesarios.

El cambio central es que la ciberseguridad se suma a la gestión financiera, el cumplimiento y los recursos humanos entre las responsabilidades directas de los directivos. Cumplir ya no será demostrar que existen herramientas, como un antivirus o una política de contraseñas. Habrá que probar que se identifican y gestionan los riesgos, se detectan y notifican los incidentes y se restablece la actividad con rapidez tras una crisis. La resiliencia se convierte en el concepto clave y exige tiempo, método, documentación y ejercicios periódicos.

Entidades locales y carga de trabajo

Los debates parlamentarios recogieron la preocupación de las entidades locales, con presupuestos y personal limitados. Sin embargo, custodian datos sensibles, prestan servicios esenciales y pueden ser el eslabón débil de un ecosistema mayor, por lo que la UE amplió el ámbito de entidades afectadas.

Mapas de riesgos, planes de acción, auditorías, pruebas documentales y notificaciones de incidentes: ante este volumen, la gestión artesanal se queda corta. Como ocurrió con el RGPD, donde las más maduras pasaron de las hojas de cálculo a plataformas de gobernanza, el cumplimiento en ciberseguridad avanza hacia un control continuo. Muchas administraciones deben, además, gestionar la homologación de seguridad reforzada por el decreto 2022-513.