DORA, NIS2 y CRA: Guía de campo para la nueva regla de seguridad cibernética de Europa
Tres normativas de la UE superpuestas están remodelando cómo las empresas prueban que son seguras. Esto es lo que demanda DORA, NIS2 y la Ley de Resiliencia Cibernética, y por qué los plazos importan.
El 17 de enero de 2025 entró en vigor una regulación que la mayoría de las empresas europeas habían pasado dos años preparándose y muchas todavía no estaban listas para reunirse. No era una norma de protección de datos y no estaba dirigida a hospitales o redes de energía. Estaba dirigido a bancos, aseguradoras, gestores de fondos, proveedores de pagos — y, crucialmente, a los proveedores de tecnología que los mantienen funcionando. Su nombre es DORA, y es sólo la primera de tres ondas regulatorias que ahora rompen sobre el continente. Cualquiera que haya pasado la última década viendo evolucionar la ley de ciberseguridad en Europa conoce el patrón: llega una nueva directiva, los estados miembros la transponen a diferentes velocidades, y las empresas pasan años persiguiendo un objetivo en movimiento. Lo que es diferente esta vez es la densidad de la vara. DORA, NIS2 y la Ley de Resiliencia Cibernética (CRA) no se reemplazan entre sí. They overlap, cross-reference and, in places, deliberately exclude one another. Para un líder de seguridad que trata de construir una hoja de ruta de cumplimiento, esa es la oportunidad y la trampa.Seguido/p estrechamente indicadoh2 confianzaPor qué Europa está regulando la resiliencia, no sólo la privacidad (10)/h2 títulos El GDPR enseñó a las organizaciones europeas a pensar en los datos personales como una responsabilidad con peso legal. La nueva generación de reglas hace una pregunta más difícil: no