# Regulación de la ciberseguridad

Una regulación de ciberseguridad establece directrices para proteger la tecnología de la información y los sistemas informáticos, con el fin de garantizar que las empresas y organizaciones adopten medidas para salvaguardar sus sistemas y datos contra ciberataques, como los ataques de denegación de servicio (DoS, por sus siglas en inglés). Aunque el objetivo principal de estas regulaciones es minimizar los riesgos cibernéticos y mejorar la seguridad, la incertidumbre generada por cambios frecuentes o nuevas regulaciones puede influir notablemente en las estrategias de respuesta de las organizaciones.
Existen diversas medidas disponibles para prevenir los ciberataques. Las estrategias de ciberseguridad incluyen el uso de: cortafuegos, de software antivirus, sistemas de detección y prevención de intrusiones, técnicas de cifrado y autenticación mediante contraseñas. Se han realizado esfuerzos para mejorar la ciberseguridad a través de la regulación y la colaboración entre el gobierno y el sector privado, con el objetivo de promover mejoras voluntarias en este ámbito.

## Unión Europea

Los estándares de ciberseguridad han adquirido una gran relevancia en las empresas contemporáneas que dependen en gran medida de la tecnología. Para optimizar sus operaciones, las corporaciones utilizan ampliamente Internet para realizar la mayoría de sus actividades. Sin embargo, debido a los numerosos riesgos asociados con las operaciones en línea, es necesario proteger estas actividades mediante una normativa exhaustiva y amplia. Las regulaciones de ciberseguridad existentes abarcan diversos aspectos de las operaciones empresariales y suelen variar según la región o país en el que opera la empresa. Debido a las diferencias en la sociedad, la infraestructura y los valores culturales de cada país, un estándar de seguridad cibernética universal no es ideal para mitigar los riesgos. Aunque los estándares de Estados Unidos proporcionan una base para las operaciones, la Unión Europea ha desarrollado regulaciones más adaptadas a las empresas que operan dentro de la UE. Además, en el contexto del Brexit, es importante considerar cómo el Reino Unido ha decidido alinearse con estas regulaciones de seguridad.
Tres regulaciones principales dentro de la UE que incluye la ENISA, son: la Directiva NIS, reforzada posteriormente mediante la NIS2, el GDPR de la UE.

### Directiva NIS

La Directiva sobre seguridad de redes y sistemas de información (Directiva NIS) fue aprobada por el Parlamento Europeo el 6 de julio de 2016, con el objetivo de garantizar un elevado nivel común de seguridad de las redes y sistemas de información en toda la Unión Europea. Esta directiva obliga a los Estados miembros a adoptar una estrategia nacional de seguridad, crear un grupo de cooperación para facilitar el intercambio de información entre países, y establecer una red de equipos de respuesta a incidentes de seguridad informática (CSIRT). Además, impone requisitos de seguridad y notificación para operadores de servicios esenciales y proveedores de servicios digitales.

### Directiva NIS2

La Directiva NIS2, también conocida como Directiva (UE) 2022/2555 , es una legislación europea diseñada para mejorar la ciberseguridad en toda la Unión Europea y que sustituye a la Directiva NIS original.
Se aprobó en noviembre de 2022, publicándose en el Diario Oficial de La UE (DOUE), el 27 de diciembre de 2022. Su entrada en vigor se produjo el 16 de enero de 2023. Así pues, los Estados miembros debieron de trasponerla a su legislación nacional antes del 17 de octubre de 2024.

### Ley de resiliencia cibernética

La ley de resiliencia cibernética (CRA, por sus siglas en inglés), es un reglamento aprobado por la Unión Europea que establece estándares comunes de ciberseguridad para productos de hardware y software dentro del mercado europeo. Propuesto inicialmente por la Comisión Europea el 15 de septiembre de 2022, tiene como objetivo garantizar que todos los productos digitales comercializados en la UE cumplan con requisitos estrictos de seguridad, desde su diseño hasta el final de su ciclo de vida. La CRA es la primera legislación de la UE que impone obligaciones de ciberseguridad obligatorias para productos que incluyen elementos digitales, abarcando desde dispositivos conectados hasta software y soluciones de procesamiento de datos en remoto