Resumen de la Directiva NIS2 Europea

NIS2 es una nueva directiva de la UE a la que debes prestar atención.

Aunque no se puede negar que la digitalización ha hecho que los procesos internos y externos sean más eficientes, facilitando el movimiento de bienes y minimizando costos, es esta misma dependencia de sistemas digitales interconectados lo que ha dejado a los fabricantes—y sus cadenas de valor—vulnerables a un nivel sin precedentes de amenazas cibernéticas, ya que los ciberdelincuentes apuntan cada vez más a vulnerabilidades dentro de la cadena de suministro. 

La Unión Europea ha abordado una vez más esta área de profunda preocupación a través de la Directiva de Seguridad de Redes y de Información NIS2, tomando medidas legales para reforzar las defensas cibernéticas en una gama más amplia de sectores, introducir responsabilidad ejecutiva, hacer que las empresas sean responsables de sus cadenas de suministro e implementar sanciones financieras significativas por incumplimiento.

Exploremos cómo la Directiva NIS2 establece nuevos estándares para la ciberseguridad y qué significa para ti y tus socios comerciales.

La creciente amenaza de la ciberseguridad en la industria de PCB

A medida que las capacidades de nuestros adversarios maduran, también debe hacerlo nuestra respuesta.

Según el Informe Global de Amenazas 2024 de CrowdStrike, en 2023, el sector tecnológico fue la industria más frecuentemente objetivo de actividad de intrusión interactiva, y el sector de telecomunicaciones fue la segunda industria más objetivo.

Part Insights Experience

Access critical supply chain intelligence as you design.

Learn More

Como componentes clave en casi todos los dispositivos electrónicos, las PCBs son activos cruciales en estas y muchas otras industrias vitales como la aeroespacial, automotriz y de salud; cualquier interrupción en las cadenas de suministro de PCBs causada por amenazas cibernéticas tiene el potencial de propagarse a través de sectores enteros, causando retrasos costosos y paradas operativas. Sin embargo, durante la última década, la fabricación ha sido transformada por lo que se ha denominado como Industria 4.0 e innovaciones digitales como gemelos digitales, robótica, IA, computación en la nube y el Internet Industrial de las Cosas (IIoT). Aunque estos avances potencian el crecimiento y la eficiencia, también aumentan la exposición del sector a amenazas cibernéticas, ofreciendo nuevos puntos de entrada para que los ciberdelincuentes exploten.

Otros factores que aumentan los riesgos de ciberseguridad en la fabricación incluyen la formación insuficiente de los empleados, donde la falta de conciencia puede llevar a contraseñas débiles o vulnerabilidad a ataques de phishing. Además, la dependencia de sistemas obsoletos sin características de seguridad modernas crea riesgos cibernéticos, al igual que las cadenas de suministro complejas con numerosos socios de terceros que presentan múltiples puntos de entrada para los hackers. La naturaleza altamente competitiva de la industria y su dependencia de operaciones basadas en datos también aumenta la probabilidad de robo de propiedad intelectual o violaciones de datos.

Las amenazas cibernéticas pueden adoptar muchas formas, incluidos ataques a la cadena de suministro, ransomware, robo de propiedad intelectual y sabotaje de producción, e introducir riesgos financieros, estratégicos y de reputación significativos.

Tipos comunes de ataques cibernéticos en la fabricación

Tipos comunes de ataques cibernéticos en la fabricación y cómo funcionan:

• Ataques de ransomware: Software malicioso ("malware") que restringe el acceso a un sistema informático o archivos hasta que se paga un rescate.
• Ataques de phishing: Correos electrónicos, sitios web o mensajes engañosos diseñados para engañar a las personas para que revelen información sensible.
• Campañas de ballenas (whaling): Ataques de phishing sofisticados dirigidos a individuos de alto rango dentro de una organización.

¿Cómo se ve esto en la realidad? A través de un ataque de ransomware, los actores maliciosos pueden detener completamente la producción, con pérdidas que se propagan tanto hacia arriba como hacia abajo en la cadena de suministro. La exposición de diseños de PCB propietarios a través de violaciones de datos podría llevar a posibles pérdidas de mercado y desventajas competitivas.

Part Insights Experience

Access critical supply chain intelligence as you design.

Learn More

Como un ejemplo reciente de la amenaza muy real que la ciberseguridad representa para la industria, el proveedor de semiconductores con base en EE. UU., Microchip Technology, ha confirmado que un reciente ataque de ransomware condujo al robo de información personal y otros datos de sus sistemas. La compañía informó del incidente el 20 de agosto, notificando a la SEC de EE. UU. que algunos servidores y operaciones comerciales se vieron afectados. Sin embargo, lograron contener el ataque aislando los sistemas impactados.

Entendiendo la Directiva NIS2

Una extensión de la Directiva NIS que se introdujo en 2016, la cual se enfocaba principalmente en sectores de infraestructura crítica, como energía y transporte, NIS2 amplía el alcance del marco regulatorio original, requiriendo que organizaciones de una gama más amplia de industrias los adopten, una respuesta al aumento de madurez e intensidad del panorama actual de ciberseguridad.

Aspectos clave de la directiva a los que necesita prestar atención incluyen:

• Alcance Expandido: A diferencia de su predecesor, la Directiva NIS2 incluye una gama más amplia de sectores, expandiéndose desde las industrias de infraestructura central hasta una variedad de sectores manufactureros, incluyendo la fabricación de PCBs, que se clasifica bajo la categoría de sector "esencial". El objetivo es proteger a las entidades que proporcionan servicios críticos para las actividades económicas y sociales.
• Requisitos de Seguridad más Estrictos: NIS2 impone medidas de ciberseguridad más robustas al exigir que las organizaciones implementen procedimientos para detectar y manejar incidentes cibernéticos mientras aseguran la continuidad del negocio, incluyendo requisitos de prevención de incidentes, gestión de riesgos y respuesta a incidentes.
• Seguridad Mejorada de la Cadena de Suministro: Regulado en el Artículo 21(2)(d), uno de los elementos más importantes de la Directiva NIS2 para los fabricantes introduce estándares para evaluar la postura de ciberseguridad de los proveedores. Bajo esta disposición, las entidades clave y esenciales deben implementar medidas técnicas, operativas y organizativas apropiadas y proporcionadas para salvaguardar la seguridad de la cadena de suministro.
• Obligaciones de Reporte de Incidentes: Bajo NIS2, ahora se requiere que las organizaciones reporten incidentes a las autoridades nacionales, imponiendo un plazo de 24 horas para el reporte inicial y actualizaciones adicionales dentro de las 72 horas.
• Responsabilidad y Gobernanza: Añadiendo un nuevo nivel de responsabilidad para los ejecutivos de la empresa, bajo NIS2, las organizaciones deben nombrar a un oficial o gerente designado responsable de la ciberseguridad, y la alta dirección puede ser responsabilizada por el incumplimiento. 
• Sanciones por Incumplimiento: La Directiva NIS2 permite imponer sanciones financieras significativas por incumplimiento. Estas sanciones varían pero pueden alcanzar hasta €10 millones o el 2% del volumen de negocios global de la compañía, creando un incentivo económico convincente para adherirse a los estándares.

Qué significa NIS2 para tu cadena de suministro

Al establecer estándares de ciberseguridad más estrictos en industrias integrales, la Directiva NIS2 presenta tanto una oportunidad como una obligación para los fabricantes de PCB de cumplir con estándares de ciberseguridad más elevados y crear cadenas de suministro más resilientes mientras lo hacen.

Aquí hay algunos impactos específicos de la directiva en las cadenas de suministro de fabricación de PCB:

Meet US Government Security Requirements

Foster real-time collaboration with enhanced data security and access controls

Find Out More

Estándares de Ciberseguridad Elevados

La directiva NIS2 exige que los fabricantes de PCB cumplan con un conjunto riguroso de requisitos de ciberseguridad, incluyendo la creación y mantenimiento de marcos de seguridad sólidos, desde evaluaciones regulares de vulnerabilidad hasta la implementación de autenticación multifactor y protocolos de cifrado.

Las organizaciones necesitarán asegurarse de tener mecanismos y presupuestos en lugar para identificar, evaluar y mitigar continuamente los riesgos cibernéticos, un compromiso que puede requerir la contratación de personal de ciberseguridad dedicado, invertir en herramientas avanzadas de detección de amenazas y crear centros de operaciones de seguridad (SOCs) para monitorear la actividad de la red. Para aquellos que previamente asignaron recursos limitados a la ciberseguridad, es un cambio que debe ser cuidadosamente planificado.

Mayor Visibilidad y Transparencia en la Cadena de Suministro

El objetivo de la directiva de aumentar la seguridad de la cadena de suministro requerirá una mayor transparencia de proveedores y socios y puede requerir que los fabricantes realicen auditorías y evaluaciones de seguridad a lo largo de la cadena de suministro para asegurar el cumplimiento con los requisitos de NIS2.

Los fabricantes de PCB pueden necesitar que los proveedores externos demuestren sus prácticas de seguridad, algo que puede causar fricciones con los proveedores y llevar a una toma de decisiones más estratégica para asegurar el cumplimiento, especialmente si los proveedores no están dispuestos o no pueden cumplir con los estándares de la directiva.

Protocolos de Reporte de Incidentes Más Rigurosos

Se requiere que los fabricantes de PCB reporten incidentes significativos de ciberseguridad a las autoridades nacionales dentro de las 24 horas y proporcionen actualizaciones adicionales dentro de las 72 horas. Como bien saben los fabricantes, reducir el tiempo de acción minimiza los impactos. Aunque puede suscitar preocupaciones sobre el daño reputacional, el reporte de incidentes es esencial para limitar los daños potenciales.

Make cents of your BOM

Free supply chain insights delivered to your inbox

Learn More

Para cumplir con estos requisitos de reporte, los fabricantes necesitan procesos robustos de detección, clasificación y escalada de incidentes. Tener un plan de respuesta a incidentes bien organizado puede prevenir que las brechas se escalen y limitar el impacto en la cadena de suministro en general.

Responsabilidad Ejecutiva y Cultura de Gestión de Riesgos

Uno de los cambios más impactantes de la Directiva NIS2 es el requisito de responsabilidad ejecutiva en el cumplimiento de la ciberseguridad. Los ejecutivos de alto nivel en las empresas de fabricación de PCB ahora deben estar informados e involucrados en la planificación y estrategias de respuesta ante la ciberseguridad.

Este cambio subraya la importancia de integrar la ciberseguridad en la estructura de gobernanza corporativa. Es necesario educar a los ejecutivos sobre los riesgos cibernéticos y alentarlos a apoyar las iniciativas de ciberseguridad. A su vez, la directiva enfatiza una "cultura de ciberseguridad", donde los empleados de todos los niveles están capacitados en las mejores prácticas, conciencia de amenazas y comportamiento digital seguro.

Penalizaciones y el Costo de No Cumplir

Con penalizaciones de hasta €10 millones o el 2% de los ingresos globales de una empresa, las repercusiones financieras de no cumplir con la Directiva NIS2 son considerables, y para muchos fabricantes de PCB, representan una amenaza seria. Las organizaciones pueden enfrentar consecuencias severas por no cumplir con las obligaciones legales. Las empresas deberían adoptar una postura proactiva que aproveche la oportunidad de diferenciarse e invertir en el cumplimiento no solo como una obligación regulatoria, sino como una medida de ahorro de costos y mejora de la marca.

Más allá de las multas, el daño a la reputación podría ser sustancial, especialmente para los fabricantes que trabajan con clientes sensibles o de alto perfil. El incumplimiento o las brechas significativas de ciberseguridad podrían resultar en una pérdida de confianza de consumidores y socios y, en última instancia, arriesgar su viabilidad y crecimiento a largo plazo.

Cloud Storage and Version Control

Store your libraries and design data in one secure, accessible, and version-controlled space.

Learn More

Cómo Cumplir con la Directiva NIS2

El cumplimiento con la Directiva NIS2 requiere planificación estratégica y asignación de recursos. Aquí hay algunos pasos que los fabricantes de PCB deberían considerar:

Realizar Evaluaciones de Riesgo de Ciberseguridad: Para ayudar a crear una estrategia de ciberseguridad dirigida y abordar primero las áreas de alto riesgo, comience con una evaluación de riesgo de ciberseguridad completa para identificar vulnerabilidades potenciales. 

Desarrollar una Estrategia de Seguridad Robusta para la Cadena de Suministro: Trabaje de cerca con los proveedores para evaluar sus prácticas de ciberseguridad y establecer un plan de acción para abordar cualquier preocupación. Establezca obligaciones contractuales para el cumplimiento de los estándares de ciberseguridad y exija informes regulares sobre la postura de seguridad.

Implementar Sistemas Avanzados de Detección de Incidentes y Respuesta: Invierta en sistemas que proporcionen detección de amenazas y sistemas de respuesta en tiempo real. Establezca protocolos de respuesta ante incidentes que permitan una acción rápida y el cumplimiento de los requisitos de informes.

Capacitar a Ejecutivos y Empleados en las Mejores Prácticas de Ciberseguridad: Implemente un programa de capacitación robusto que involucre no solo al personal técnico, sino también a los ejecutivos y a todos los empleados. Construir una cultura "consciente de la ciberseguridad" puede reducir los errores humanos y reforzar la ciberseguridad en general. Si busca más ayuda en esta área, El Foro Económico Mundial ofrece un manual para construir una cultura de resiliencia cibernética en la fabricación.

Variant Manager

Meet demands of a globalized market that requires unique versions of your PCBs.

Learn More

Establecer una Gobernanza y Responsabilidad Claras: Designe a un oficial de ciberseguridad o establezca un equipo multifuncional responsable del cumplimiento de la ciberseguridad. Este equipo debe informar regularmente a la junta ejecutiva, proporcionando actualizaciones sobre el cumplimiento, los riesgos y la gestión de incidentes.

Una cadena de suministro de PCB más resiliente y segura

Aunque el cumplimiento puede ser un obstáculo que requiere un compromiso, inversión y adaptación sustanciales, la ventaja es una cadena de suministro de PCB más transparente, segura y resiliente.

Para ayudar a poner el esfuerzo y los costos en perspectiva, se estimó que el incidente en la cadena de suministro de Applied Material's en 2023 costó a la compañía $250 millones.

La importancia de la ciberseguridad en los tiempos modernos no es subestimada por los clientes y no debería ser puesta en riesgo por su cadena de suministro. Al abordar proactivamente sus puntos de vulnerabilidad y asegurar el cumplimiento con el NIS2, las empresas no solo pueden mitigar los riesgos de interrupción, sino también diferenciarse como socios confiables y de confianza que están haciendo su parte para asegurar la estabilidad y seguridad de la cadena de suministro global de PCB.