Cumplimiento de la Directiva de ciberseguridad NIS 2

Resumen ejecutivo

A medida que evolucionan las amenazas y los riesgos de ciberseguridad, también lo hace el entorno normativo. La segunda versión de la Directiva sobre seguridad de las redes y la información de la Unión Europea, denominada NIS 2, es un marco normativo actualizado en materia de ciberseguridad que se incorporará a la legislación de los Estados miembros en octubre de 2024.

Diseñada para hacer frente a los crecientes retos de ciberseguridad y a las vulnerabilidades a las que se enfrentan sus Estados miembros, la normativa NIS 2 afectará a muchas organizaciones. La Directiva NIS 2 establece los requisitos que deben cumplir las entidades públicas y privadas de tamaño medio y grande que proporcionan infraestructuras críticas o servicios vitales para la economía y la sociedad de la Unión Europea. Las entidades afectadas se dividen en dos categorías: esenciales e importantes.

En comparación con su predecesora, la directiva NIS 2 actualizada establece requisitos más estrictos en materia de gestión de riesgos de ciberseguridad y notificación de incidentes, amplía el ámbito de las entidades a las que se aplica e impone sanciones más severas en caso de incumplimiento.

La Directiva NIS 2 tiene como objetivo reforzar la ciberseguridad con requisitos en cuatro áreas clave: gestión de riesgos, gobernanza corporativa, notificación de incidentes y continuidad del negocio. Para respaldar estas cuatro áreas generales, la directiva detalla diez medidas de seguridad básicas que las entidades deben implementar para gestionar los riesgos. Las sanciones por incumplimiento incluyen medidas correctoras no pecuniarias, multas administrativas y sanciones penales para los órganos de dirección.

Según la Directiva NIS 2, mantener y preservar un DNS fiable, resiliente y seguro es crucial para mantener la integridad de Internet y es esencial para su funcionamiento continuo y estable. Pero a medida que las redes se vuelven cada vez más complejas y se expanden hacia la nube, mantener una única fuente de verdad para el DNS se convierte en un reto aún mayor.

Un enfoque consolidado, automatizado y optimizado para la gestión de los servicios de red básicos del DNS, el DHCP y la gestión de direcciones IP (conocidos conjuntamente como DDI), especialmente cuando se combina con soluciones de protección y herramientas de observabilidad de la red, ofrece una respuesta sólida para cumplir con los requisitos de la NIS 2. En conjunto, estas soluciones abordan muchos de los aspectos de la directiva, entre ellos la gestión de riesgos, la gestión de incidentes, la seguridad operativa y las obligaciones de notificación.

Tres de los productos de BlueCat —Integrity, Edge e Infrastructure Assurance— ofrecen capacidades y funciones esenciales que pueden ayudar a las empresas a cumplir los requisitos de la Directiva NIS 2. Una tabla de correspondencias proporciona descripciones detalladas de cómo los productos de BlueCat pueden ayudar a abordar los requisitos específicos de los artículos de la Directiva NIS 2.

Con el apoyo de las soluciones de BlueCat para DDI unificado, DNS protector y observabilidad y estado de la red, las organizaciones pueden cumplir más fácilmente con los requisitos de la NIS 2.

Introducción a la Directiva NIS 2

La Directiva sobre Seguridad de las Redes y de la Información (NIS) fue un marco normativo histórico en materia de ciberseguridad establecido en la Unión Europea (UE) en 2016.

La UE ha presentado recientemente una segunda versión, la Directiva (UE) 2022/2555, conocida como NIS 2, para hacer frente a los crecientes retos y vulnerabilidades en materia de ciberseguridad a los que se enfrentan sus Estados miembros, especialmente los relacionados con las infraestructuras y los servicios críticos. La NIS 2 entró en vigor en enero de 2023, y cada Estado miembro debe transponer esta directiva actualizada a su legislación nacional antes del 17 de octubre de 2024.

A medida que nuestra dependencia de los sistemas digitales sigue creciendo, también lo hace el riesgo asociado. El riesgo de que los actores malintencionados se aprovechen de ello y el impacto potencial en la sociedad de los ciberataques a sectores críticos exigen reforzar las medidas de seguridad. La Directiva NIS 2 pretende reforzar y sentar mejores bases para todos los aspectos de la seguridad de las redes y la información, desde la respuesta coordinada ante incidentes y la notificación de los mismos hasta el fortalecimiento de las defensas y prácticas de ciberseguridad. Nuestra creciente interconexión también implica que debemos poder confiar en nuestras cadenas de suministro críticas, ya que estas forman redes a nivel organizativo, nacional y regional.

En virtud de la Directiva NIS 2, los Estados miembros tienen la obligación de crear o mejorar sus:

• Marcos nacionales de ciberseguridad
• Autoridades competentes
• Marcos de gestión de crisis
• Equipos de respuesta a incidentes de seguridad informática
• Bases de datos de vulnerabilidades
• Cooperación
• Evaluaciones de riesgos
• Informes
• Sistemas de certificación

En comparación con su predecesora, la directiva NIS 2 actualizada establece requisitos más estrictos para la gestión de riesgos de ciberseguridad y la notificación de incidentes, amplía el ámbito de las entidades a las que se aplica e impone sanciones más severas en caso de incumplimiento.

¿Se aplica la Directiva NIS 2 a mi organización?

Gran parte de la Directiva NIS 2 abarca las responsabilidades y los requisitos que se imponen a las entidades públicas y privadas de tamaño mediano a grande que proporcionan infraestructuras críticas o servicios vitales para la economía y la sociedad de la UE. La NIS 2 amplía significativamente la lista de sectores cubiertos, que en la directiva original se limitaba a siete. En la NIS 2, las entidades afectadas se dividen en dos categorías, «esenciales» e «importantes», que se definen en función de su tamaño y tipo.

Entidades esenciales e importantes

Según la NIS 2, una entidad esencial es una gran organización que opera en un sector de alta criticidad (véase la lista de sectores de alta criticidad más abajo). Aunque puede variar ligeramente según el sector, la NIS 2 define generalmente el umbral para una gran organización como aquella que cuenta con al menos 250 empleados y una facturación anual de al menos 50 millones de euros o un balance anual de al menos 43 millones de euros.

Entre los sectores de alta criticidad para las entidades esenciales se incluyen:

• Energía
• Transporte
• Infraestructura del sector bancario y de los mercados financieros
• Estado
• Agua potable y aguas residuales
• Infraestructura digital
• Gestión de servicios de tecnologías de la información y la comunicación (TIC) (proveedores de servicios gestionados entre empresas y proveedores de servicios de seguridad gestionados)
• Administración pública
• Espacio

La infraestructura digital hace referencia a los servicios que son cruciales para el funcionamiento de las redes. Incluye a los proveedores de puntos de intercambio de Internet, los proveedores de servicios DNS, los registros de nombres de dominio de nivel superior, los servicios de computación en la nube, los proveedores de servicios de centros de datos, las redes de distribución de contenidos, los servicios de confianza, las redes públicas de comunicaciones electrónicas y los servicios de comunicaciones electrónicas disponibles al público.

Por otra parte, una entidad importante es aquella que tiene, como mínimo, un tamaño medio y opera en otros sectores críticos que no entran dentro de la categoría de esenciales. Una vez más, aunque la definición puede variar ligeramente según el sector, el umbral para considerarse de tamaño medio es contar con al menos 50 empleados y una facturación anual de al menos 10 millones de euros o un balance de 10 millones de euros.

Otros sectores críticos para entidades importantes incluyen:

• Servicios postales y de mensajería
• Gestión de residuos
• Fabricación, producción y distribución de productos químicos
• Producción, procesamiento y distribución de alimentos
• Fabricación
• Proveedores digitales (motores de búsqueda, mercados en línea y redes sociales)
• Investigación

Es importante señalar que las organizaciones de sectores críticos que no cumplen los requisitos mínimos de tamaño de la categoría «esencial» siguen considerándose entidades «importantes».

¿Sabías que…?

Las entidades esenciales están sujetas a requisitos de supervisión adicionales, como auditorías ad hoc y supervisión proactiva, así como a multas más elevadas en caso de incumplimiento. La supervisión de las entidades importantes es reactiva, por ejemplo, cuando hay indicios de incumplimiento.

Entidades esenciales frente a importantes en NIS 2

	Sector	Headcount	Annual turnover	oR	Balance sheet total
Essential entity	Essential entity Energía Transporte Infraestructura del sector bancario y de los mercados financieros Estado Agua potable y aguas residuales Infraestructura digital ICT service management Administración pública Espacio	250 employees	€50 million		€43 million
Important entity	Important entity Servicios postales y de mensajería Gestión de residuos Fabricación, producción y distribución de productos químicos Producción, procesamiento y distribución de alimentos Fabricación Digital providers Investigación Plus, all sectors that fall under essential but are within the size threshold for important entities.	50 employees	€10 million		€10 million

Aplicabilidad obligatoria independientemente del tamaño

La NIS 2 es de aplicación obligatoria para determinadas organizaciones, independientemente de su tamaño. Entre ellas se incluyen:

• Proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles al público
• Proveedores de servicios de confianza
• Registros de nombres de dominio de primer nivel y proveedores de servicios de DNS

La aplicabilidad también es obligatoria para las organizaciones más pequeñas en casos como, por ejemplo, si la entidad es el único proveedor de un servicio en un Estado miembro que resulta esencial para mantener actividades sociales o económicas críticas, o si la interrupción de los servicios de la entidad provocaría un riesgo sistémico o tendría un impacto significativo en la seguridad pública, la protección o la salud. Los Estados miembros también pueden considerar que una entidad es crítica debido a su importancia específica a nivel nacional o regional.

Determinación de la jurisdicción

En virtud de la NIS 2, las entidades esenciales e importantes están sujetas a la jurisdicción del Estado miembro en el que están establecidas. Si las entidades prestan servicios en más de un Estado miembro, quedan sujetas a la jurisdicción separada y concurrente de cada uno de ellos.

Sin embargo, la NIS 2 también tiene en cuenta la naturaleza en cierto modo transfronteriza de las entidades digitales. Las redes públicas de comunicaciones electrónicas o los servicios de comunicaciones electrónicas disponibles al público se encuentran bajo la jurisdicción del Estado miembro en el que prestan sus servicios.

Las entidades que se indican a continuación están sujetas a la jurisdicción del Estado miembro de la UE en el que tienen su establecimiento principal. La NIS 2 define el establecimiento principal como el lugar donde se toman predominantemente las decisiones relacionadas con las medidas de gestión de riesgos de ciberseguridad, donde se llevan a cabo las operaciones de ciberseguridad o donde se encuentra el mayor número de empleados con sede en la UE. Esto se aplica a:

• Proveedores de servicios de DNS
• Registros de nombres de dominio de primer nivel
• Entidades que prestan servicios de registro de nombres de dominio
• Proveedores de servicios de computación en la nube
• Proveedores de servicios de centros de datos
• Redes de distribución de contenidos
• Proveedores de servicios gestionados y proveedores de servicios de seguridad gestionados
• Mercados en línea
• Motores de búsqueda
• Redes sociales

Aplicabilidad a las cadenas de suministro

La cadena de suministro de una entidad y sus proveedores, como los proveedores de servicios de almacenamiento y tratamiento de datos, desempeñan un papel importante en la ciberseguridad. En numerosas ocasiones, las entidades han sido víctimas de ciberataques en los que los autores malintencionados comprometieron la seguridad de la red y los sistemas de información de una entidad aprovechando vulnerabilidades que afectaban a productos y servicios de terceros. Según la NIS 2, las entidades esenciales e importantes deben evaluar y tener en cuenta la calidad y la resiliencia generales de los productos y servicios que adquieren, las medidas de gestión de riesgos de ciberseguridad incorporadas en ellos y las prácticas de ciberseguridad de sus proveedores y prestadores de servicios, incluidos sus procedimientos de desarrollo seguro. Se anima a las entidades a incorporar medidas de gestión de riesgos de ciberseguridad en los acuerdos contractuales con sus proveedores directos y prestadores de servicios.

Determinación definitiva de las entidades que entran en el ámbito de aplicación de la NIS 2

Antes del 17 de abril de 2025, los Estados miembros deben identificar las entidades esenciales e importantes de su territorio que entran en el ámbito de aplicación de la NIS 2. Las organizaciones deberán determinar si entran en el ámbito de aplicación de la NIS 2, identificar a qué Estados miembros prestan servicios incluidos en dicho ámbito y registrarse antes de la fecha límite.

¿Sabías que…?

Además de presentar los datos básicos de la organización a la autoridad competente de un Estado miembro, las entidades registradas que entren en el ámbito de aplicación también deberán comunicar los rangos de direcciones IP que se les hayan asignado. Si las entidades realizan algún cambio, deberán notificarlo a las autoridades en un plazo de dos semanas. ¿Es sólida su herramienta de gestión de direcciones IP? ¿Incluye todos los rangos de direcciones IP que enruta o administra?

Es importante que su organización revise detenidamente el texto de la Directiva NIS 2 para comprender los criterios y umbrales específicos y determinar si entra dentro de su ámbito de aplicación.

Figura 1. Cronología de NIS 2 con las fechas clave

Requisitos clave e implicaciones de la Directiva NIS 2

La Directiva NIS 2 tiene como objetivo reforzar la ciberseguridad mediante requisitos en cuatro áreas clave: gestión de riesgos, gobernanza corporativa, notificación de incidentes y continuidad del negocio.

Cuatro áreas de interés para potenciar la ciberseguridad

Gestión de riesgos

Las organizaciones están obligadas a implementar estrategias integrales de gestión de riesgos para minimizar las ciberamenazas. Deben llevar a cabo evaluaciones de riesgos periódicas, establecer políticas de seguridad e implementar medidas para proteger la integridad, la confidencialidad y la disponibilidad de sus sistemas. Las entidades también están obligadas a supervisar y documentar sus prácticas de seguridad de forma continua, asegurándose de poder identificar y abordar rápidamente las amenazas emergentes.

Gobierno corporativo

Los órganos de gestión son responsables de supervisar y aprobar los protocolos de sus respectivas entidades para la gestión de riesgos de ciberseguridad. También deben garantizar que se apliquen de forma eficaz. Asimismo, los órganos de gestión están obligados a recibir formación en ciberseguridad y deben ofrecer una formación similar a sus empleados.

Notificación de incidentes

Las entidades afectadas deben notificar sin demora los incidentes significativos a las autoridades pertinentes, proporcionando información detallada sobre la naturaleza del incidente y las medidas de mitigación adoptadas. Las entidades deben presentar una notificación inicial a más tardar 24 horas después de tener conocimiento de un ciberincidente, un informe completo a más tardar 72 horas después y un informe final un mes después.

Continuidad del negocio

Las entidades están obligadas a elaborar una estrategia que detalle cómo responderán a los incidentes y se recuperarán de ellos, con el objetivo de minimizar las interrupciones y garantizar la continuidad del negocio tras un ataque.

Medidas de seguridad básicas que las entidades deben implementar

Para respaldar estas cuatro áreas generales, la directiva detalla diez medidas de seguridad básicas que las organizaciones deben implementar para gestionar los riesgos. Entre ellas se incluyen:

1. Políticas sobre análisis de riesgos y seguridad de los sistemas de información
2. Gestión de incidentes
3. La continuidad del negocio, como la gestión de copias de seguridad y la recuperación ante desastres, así como la gestión de crisis
4. La seguridad de la cadena de suministro, incluidos los aspectos relacionados con la seguridad que afectan a las relaciones entre cada entidad y sus proveedores directos o prestadores de servicios
5. Seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información, incluyendo la gestión y divulgación de vulnerabilidades
6. Políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad
7. Prácticas básicas de ciberhigiene y formación en ciberseguridad
8. Políticas y procedimientos relativos al uso de la criptografía y, cuando proceda, al cifrado
9. Seguridad de los recursos humanos, políticas de control de acceso y gestión de activos
10. El uso de soluciones de autenticación multifactorial o de autenticación continua; comunicaciones seguras de voz, vídeo y texto; y sistemas seguros de comunicación de emergencia dentro de la entidad, cuando proceda

Sanciones por incumplimiento

La Directiva NIS 2 establece sanciones mucho más severas por incumplimiento que su versión anterior, incluyendo medidas correctoras no pecuniarias, multas administrativas y sanciones penales para los órganos de gestión.

Medidas correctoras no monetarias

La NIS 2 otorga a las autoridades de supervisión de los Estados miembros la facultad de imponer medidas correctoras no pecuniarias a las entidades que incumplan la normativa, entre las que se incluyen órdenes de cumplimiento, instrucciones vinculantes, órdenes de realización de auditorías de seguridad y órdenes de notificación de amenazas a los clientes de dichas entidades.

Multas administrativas

Las multas pueden variar según el Estado miembro, pero la Directiva NIS 2 establece niveles máximos de multa para las entidades esenciales e importantes.

Multas para entidades esenciales frente a entidades importantes

Fines for essential entities	Fines for important entities
A maximum fine of up to €10,000,000 or 2% of global annual revenue, whichever is higher.	A maximum fine of up to €7,000,000 or 1.4% of global annual revenue, whichever is higher.

Sanciones penales para los órganos de gestión

Para reducir la presión sobre los equipos de TI y de seguridad, la Directiva NIS 2 incluye medidas que pueden hacer que la alta dirección sea personalmente responsable si se demuestra negligencia grave tras un incidente de ciberseguridad. Las autoridades de supervisión pueden ordenar a las organizaciones que revelen públicamente las infracciones o que emitan comunicados identificando a la persona o personas responsables del incidente. Si la organización es una entidad esencial, una autoridad puede inhabilitar temporalmente a los ejecutivos para ocupar cargos directivos.

DNS: un elemento fundamental de una red segura en el marco de la NIS 2

El Sistema de Nombres de Dominio (DNS) es un sistema de nomenclatura jerárquico que permite la comunicación entre dispositivos en una red. Por lo general, traduce nombres de dominio legibles para las personas (como bluecatnetworks.com) a direcciones de Protocolo de Internet (IP) comprensibles para los ordenadores (como 104.239.197.100). En esencia, nos permite conectarnos a sitios web sin tener que memorizar una secuencia de números. Con el DNS, lo único que necesitamos saber al abrir un navegador web son los nombres de los sitios web.

Según la Directiva NIS 2, «mantener y preservar un sistema de nombres de dominio (DNS) fiable, resiliente y seguro son factores clave para mantener la integridad de Internet y son esenciales para su funcionamiento continuo y estable, del que dependen la economía y la sociedad digitales».

El DNS se creó, ante todo, para responder de forma correcta y eficiente a las consultas, no para cuestionar su intención. Como resultado, el DNS tiene limitaciones inherentes y el potencial de ser utilizado como vector para ciberataques. En un ataque al DNS, un actor malintencionado intenta comprometer la infraestructura que proporciona los servicios de DNS o se aprovecha de sus características intrínsecamente abiertas para llevar a cabo un ataque de mayor alcance. Un ataque al DNS bien orquestado contra una red desprotegida puede dejar a una organización por los suelos.

A medida que las redes se vuelven cada vez más complejas y se expanden hacia entornos híbridos y multinube, mantener una única fuente de información fiable para el DNS se convierte en un reto aún mayor.

Un enfoque consolidado, automatizado y optimizado para la gestión del DNS, el protocolo de configuración dinámica de hosts (DHCP) y la gestión de direcciones IP (conocidos conjuntamente como DDI), especialmente cuando se combina con herramientas de protección del DNS y de observabilidad de la red, ofrece una respuesta sólida para cumplir con los requisitos de la NIS 2.

Figura 2. La gestión del DNS, el DHCP y las direcciones IP es el núcleo de la empresa digital

DDI unificado

Las soluciones DDI unificadas integran las funcionalidades de DNS, DHCP y gestión de direcciones IP (IPAM) en una única plataforma, lo que proporciona visibilidad y control centralizados de los recursos IP y los servicios de red básicos. El DDI unificado cumple los requisitos de la NIS 2 al ofrecer:

• Mayor visibilidad de la red: una visión centralizada y unificada de sus datos de DDI proporciona una visibilidad completa de los activos de la red, sus configuraciones y sus interacciones. Esto es esencial para identificar vulnerabilidades y garantizar una seguridad de red sólida.
• Gestión automatizada de la red: la automatización reduce el riesgo de error humano y mejora la eficiencia en la gestión de los espacios de nombres, las direcciones IP y los servicios relacionados, garantizando que las configuraciones sean coherentes y seguras.
• Cumplimiento normativo y auditoría: Las plataformas DDI unificadas suelen incluir funciones de auditoría y registro, lo que ayuda a las organizaciones a mantener registros detallados de las configuraciones y los cambios de la red. Esto facilita el cumplimiento de los requisitos de la NIS 2 en materia de documentación, presentación de informes y rendición de cuentas.

Soluciones de DNS protectoras

Las soluciones de DNS protectoras mejoran la seguridad de la red mediante la supervisión y el filtrado del tráfico DNS para bloquear consultas maliciosas e impedir el acceso a sitios dañinos o a los canales de mando y control de los atacantes. A la hora de tener en cuenta los requisitos de NIS 2, las soluciones de DNS protectoras ayudan a:

• Detección y mitigación de amenazas: las soluciones de seguridad del DNS suelen ofrecer lo que se conoce como «DNS protector»: un servicio que analiza las consultas de DNS y mitiga o bloquea las conexiones a dominios maliciosos. Al bloquear el acceso a dominios y registros maliciosos conocidos, el DNS protector contribuye a la detección temprana y la prevención de ciberamenazas, reduciendo el riesgo de incidentes de seguridad.
• Respuesta ante incidentes: Las soluciones de DNS protectoras proporcionan una visibilidad profunda del tráfico DNS, lo que permite identificar más rápidamente las anomalías y las posibles amenazas, así como responder ante ellas.
• Cumplimiento normativo y presentación de informes: el registro y la supervisión de las consultas y respuestas del DNS ayudan a mantener los registros necesarios para cumplir con la normativa NIS 2 y facilitan la presentación de informes a las autoridades reguladoras.

Observabilidad y estado de la red

Las soluciones de observabilidad y estado de la red se centran en garantizar que su infraestructura de red sea segura, fiable y resiliente. Entre las capacidades de observabilidad y estado de la red que pueden ayudar a cumplir los requisitos de la NIS 2 se incluyen:

• Supervisión y evaluación continuas: estas herramientas supervisan continuamente la red en busca de vulnerabilidades y del cumplimiento de las políticas de seguridad, lo que ayuda a identificar y solucionar los problemas antes de que puedan ser explotados.
• Resiliencia y redundancia: Las soluciones de observabilidad y estado de la red le ayudan a diseñar y mantener una infraestructura de red resiliente con la redundancia adecuada, lo que garantiza que los servicios críticos sigan estando disponibles incluso durante incidentes o interrupciones del servicio.
• Respuesta ante incidentes y recuperación: Estas soluciones proporcionan herramientas y procesos para una respuesta eficaz ante incidentes y su recuperación, lo que garantiza que las organizaciones puedan restablecer rápidamente el funcionamiento normal tras un incidente operativo o de seguridad.

En conjunto, este tipo de soluciones y capacidades abordan muchos elementos de la Directiva NIS 2. Proporcionan una utilidad práctica y demostrable para:

• Gestión de riesgos: el DDI unificado, el DNS protector y las soluciones de observabilidad y estado de la red ayudan a identificar y mitigar los riesgos mediante una mayor visibilidad, la detección de amenazas y la prevención automatizada.
• Gestión de incidentes: Estas soluciones proporcionan herramientas para la detección, respuesta y notificación rápidas de incidentes de ciberseguridad, lo que contribuye a una gestión eficaz de los incidentes y reduce el tiempo medio de recuperación.
• Seguridad operativa: al automatizar y centralizar la gestión de la red, estas soluciones garantizan configuraciones coherentes, actualizadas y seguras, lo que reduce las vulnerabilidades y mejora la seguridad operativa.
• Obligaciones de notificación: Las capacidades de registro y auditoría de estas soluciones ayudan a cumplir con las obligaciones de notificación establecidas por la NIS 2, garantizando que las organizaciones puedan proporcionar la información necesaria a las autoridades cuando sea necesario.

Productos de BlueCat que ayudan a cumplir la directiva NIS 2

Tres de los productos de BlueCat —Integrity, Edge e Infrastructure Assurance— ofrecen capacidades y funciones esenciales que pueden ayudar a las empresas a cumplir los requisitos de la NIS 2.

Integridad

Integrity es la plataforma de BlueCat para la gestión integrada de DDI destinada a grandes empresas. Simplifica y consolida la visibilidad y el control de DDI en las infraestructuras de red más complejas. Gracias a las API RESTful, Integrity automatiza todos los aspectos de la gestión de DDI. Integrity se compone de BlueCat Address Manager y BlueCat DNS/DHCP Server (BDDS). Address Manager se encarga de la gestión de direcciones IP y actúa como la principal plataforma de gestión de DNS y DHCP (en clúster o como nodo único). En función de sus necesidades, arquitectura y huella, los BDDS pueden ser instancias individuales o clústeres que proporcionan de forma selectiva servicios DNS y/o DHCP autoritativos. Cada componente es flexible y puede implementarse de forma física o virtual.

Cloud Discovery & Visibility, un complemento de Integrity, detecta la totalidad de su infraestructura local y multicloud y transmite esos datos a Address Manager para ofrecer información actualizada.

Edge

Edge aporta capacidades adicionales de reenvío, detección, resolución y seguridad de IP a la infraestructura DDI estándar en tres áreas clave: redes, seguridad y nube. Edge es una solución de software ligera y gestionada en la nube que ofrece capacidades avanzadas de DNS a través de puntos de servicio desplegados en el perímetro de su red.

• Para las redes, Edge utiliza el reenvío inteligente a través de puntos de servicio para establecer condiciones y dirigir las consultas al destino correcto.
• En materia de seguridad, Edge proporciona protección avanzada contra amenazas que también bloquea consultas maliciosas, garantiza el cumplimiento de las políticas y ofrece información procedente de fuentes de datos sobre amenazas de última generación.
• En la nube, los equipos de redes pueden resolver consultas de DNS en complejas implementaciones en la nube con facilidad utilizando Cloud Resolver.

Edge proporciona una capa de control inteligente para hacer frente a las amenazas, resolver colisiones de espacios de nombres y optimizar la latencia de respuesta a las consultas en función de las políticas de la organización. Al adaptarse directamente a estos marcos, Edge ayuda a los usuarios a cumplir los requisitos de seguridad y cumplimiento normativo.

Garantía de la infraestructura

Infrastructure Assurance proporciona observabilidad proactiva, resolución de problemas y medidas correctivas para la infraestructura de red y de seguridad, incluyendo Integrity, cortafuegos y equilibradores de carga. Identifica problemas ocultos, realiza diagnósticos automatizados y ofrece pasos de corrección recomendados por expertos.

Gracias a una visibilidad profunda y a la automatización, evita las interrupciones en la red y agiliza tareas como el mantenimiento y la validación de la alta disponibilidad, analizando de forma eficiente los datos críticos basándose en las mejores prácticas. Entre sus capacidades clave se incluyen:

Figura 3. El DDI unificado, el DNS protector y las herramientas de observabilidad y estado de la red ofrecen una respuesta sólida a los requisitos de NIS 2.

Correspondencia entre los artículos sobre NIS 2 y los productos de BlueCat

La Directiva NIS 2 se divide en nueve capítulos, compuestos por artículos numerados consecutivamente que abarcan temas aplicables a los Estados miembros y a las entidades públicas y privadas.

Chapter	Title	Articles
I	General Provisions	1–6
II	Coordinated Cybersecurity Frameworks	7–13
III	Cooperation at Union and International Level	14–19
IV	Cybersecurity Risk-Management Measures and Reporting Obligations	20–25
V	Jurisdiction and Registration	26–28
VI	Information Sharing	29–30
VII	Supervision and Enforcement	31–37
VIII	Delegated and Implementing Acts	38–39
IX	Final Provisions	40–46

La tabla siguiente ofrece descripciones detalladas de cómo los productos de BlueCat pueden ayudar a cumplir los requisitos específicos de los artículos de la Directiva NIS 2.

NIS 2 article	BlueCat product	How it helps
Chapter I, Article 3, Essential and Important Entities
4. For the purpose of establishing the list referred to in paragraph 3, Member States shall require the entities referred to in that paragraph to submit at least the following information to the competent authorities: (b) the address and up-to-date contact details, including email addresses, IP ranges and telephone numbers;	Integrity	Visibility of full IP footprint and namespaces, including public and private clouds, automated network discovery, and a single source of truth that stretches across all network footprints. Cloud Discovery & Visibility removes the need for manually updating managed ranges.
	Edge	Edge’s Cloud Resolver gives full visibility into any cloud changes related to zones, virtual private clouds, or delegations, no matter how much they churn. Changes are automatically synchronized to Integrity’s core IP address management functionality.
Chapter IV, Article 20, Governance
2. Member States shall ensure that the members of the management bodies of essential and important entities are required to follow training, and shall encourage essential and important entities to offer similar training to their employees on a regular basis, in order that they gain sufficient knowledge and skills to enable them to identify risks and assess cybersecurity risk- management practices and their impact on the services provided by the entity.	Infrastructure Assurance	Continuous measurement of security, performance, and configuration metrics, cross-referenced with benchmark data defined by internal policies or external standards.
Chapter IV, Article 21, Cybersecurity Risk-Management Measures
Member States shall ensure that essential and important entities take appropriate and proportionate technical, operational and organisational measures to manage the risks posed to the security of network and information systems which those entities use for their operations or for the provision of their services, and to prevent or minimise the impact of incidents on recipients of their services and on other services.	Integrity	Full operational management of DDI-related tasks and services across native and hybrid footprints. Cloud discovery and visibility, early detection, and prevention of threats.
	Edge	Intelligent and protective DNS that incorporates threat feeds with enumeration and resolution across churning assets or ephemeral entities.
	Infrastructure Assurance	Auto-triage and root-level diagnosis of issues—like errors, misconfigurations, vulnerabilities, and downtime—as soon as they occur, with contextual awareness of related issues.
2. (b) incident handling	Integrity	Digital asset lookup (IP prefixes or namespaces, including user-defined fields for arbitrary assets or tags). Forward and reverse resolution, including event enrichment for manual or automated investigation (via APIs plus integrations with security information and event management (SIEM) tools). Blocking and policy enforcement.
	Edge	Intelligent DNS, including DNS firewalling, threat feeds for real-time blocking, deep querying for identifying malicious or infected nodes, and protective policy enforcement. DNS forensics and investigation.
	Infrastructure Assurance	Performs auto-triage, issues alerts for detected anomalies, and provides recommended remediation steps that IT or security teams can follow to resolve identified issues.
2. (c) business continuity, such as back- up management and disaster recovery, and crisis management	Integrity	Application layer clustering, crossover high availability pairs, database replication, and, if required, manual system failover.
	Edge	Cloud-based management service with as many service points as desired for architectural redundancy and resiliency.
	Infrastructure Assurance	Health and capacity checks, external critical services and dependencies checks, high availability readiness, automated configuration backups, and misconfiguration identification.
2. (d) supply chain security, including security-related aspects concerning the relationships between each entity and its direct suppliers or service providers	Edge	Protection against an exploit’s payloads, particularly for command-and-control channels, leveraging threat feeds, block lists, and domain generation algorithm detection.
	Infrastructure Assurance	Detection of anomalies and common vulnerabilities and exposures (CVEs) across multi-vendor environments, including auto-triage, reporting, and alerting.
2. (f) policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Edge	Reporting on potential distributed denial- of-service attempts and ability to isolate potentially infected user endpoints due to types of DNS queries and related data. These reports and data bolster or highlight the efficacy of other security devices, policies, or procedures.
	Infrastructure Assurance	Ongoing reporting and alerting on vulnerabilities and related proliferation across security infrastructure. Analysis using Mitre’s CVE database and NIST’s National Vulnerability Database.
2. (h) policies and procedures regarding the use of cryptography and, where appropriate, encryption;	Edge	Block DNS over HTTPS resolvers with threat feeds or custom block lists.
2. (i) human resources security, access control policies and asset management	Integrity	Primary asset management for IP prefixes and addresses, namespaces, and zones, including role-based access control for managing DDI assets and services.
2. (i) human resources security, access control policies and asset management	Integrity	Supports single sign-on (SSO) via SAML 2.0 and acts as a service provider for SSO.
	Edge	Custom policy enforcement for intelligent DNS resolution based on source IP, site, or content.
2. (j) the use of multi-factor authentication or continuous authentication solutions, secured voice, video and text communications and secured emergency communication systems within the entity, where appropriate.	Edge	Supports configuration as a service provider in a SAML 2.0 federation, enabling an SSO user experience.
Chapter IV, Article 23, Reporting Obligations
4. Member States shall ensure that, for the purpose of notification under paragraph 1, the entities concerned submit to the CSIRT or, where applicable, the competent authority
(d) a final report not later than one month after the submission of the incident notification under point (b), including the following:
4. (d) (i) a detailed description of the incident, including its severity and impact;	Integrity	Provides the underlying IP, digital asset management, and service logs for incident investigation and event enrichment across multiple systems. Without an IP address management tool and related fresh DNS entries, incident logs lack context and meaning.
	Edge	Intelligent DNS with extensive logging and deep querying allows for DNS forensics when rebuilding timelines and actions for digital events across an enterprise (including across private or public clouds).
	Infrastructure Assurance	Customizable dashboard for top 10 alerts to prioritize troubleshooting efforts based on the severity and frequency of identified issues.
4. (d) (ii) the type of threat or root cause that is likely to have triggered the incident;	Integrity	Provides core services and the context around netblocks, prefixes, namespaces, zones, and individual resource records to make sense of IPs, hostnames, and services throughout an organization.
	Edge	With historical DNS query and response logging and deep DNS forensics capabilities, incident investigations can look deeper and further into what led to flows and connections being made.
	Infrastructure Assurance	Performs observability based on triggers like performance metrics, security flaws, or configuration drift. Once a trigger condition is met, auto-triage follows a root cause analysis workflow to surface related issues and determine the cause(s).
4. (d) (iii) applied and ongoing mitigation measures;	Integrity	Detect and block DNS-based threats and mitigate security risks associated with DNS hijacking and cache poisoning, DHCP snooping, and IP address conflicts.
	Edge	Ongoing and intelligent mitigation delivered via DNS using ongoing threat intelligence feeds, automated blocking, SIEM integrations, policy enforcement, and machine learning (applied to evasion techniques like domain generation algorithms).
	Infrastructure Assurance	Codified domain expertise and community-contributed experience are used to auto-triage and recommend remediation steps, mitigating the risk of major outages for detected issues.

Perspectivas

Los servicios digitales y su funcionamiento seguro son fundamentales para el tejido social. Sin embargo, una mayor interdependencia conlleva un mayor riesgo. Nuestra responsabilidad de proteger a las entidades esenciales e importantes de los sectores críticos exige más rendición de cuentas y cooperación que nunca.

Con el apoyo de las soluciones de BlueCat para DDI unificado, DNS protector y observabilidad y estado de la red, las organizaciones pueden estar a la altura de los requisitos de la NIS 2.

A medida que las amenazas evolucionan y las normativas se vuelven más complejas, las organizaciones tendrán que adaptar continuamente sus estrategias de ciberseguridad. La integración de soluciones avanzadas como las de BlueCat será crucial para mantener la seguridad y el cumplimiento de la NIS 2 y de futuras normativas.

Descubre cómo BlueCat puede ayudarte a cumplir los requisitos de NIS 2.

Este documento tiene carácter general y resumido, se proporciona únicamente con fines informativos y no pretende sustituir el asesoramiento profesional ni un análisis detallado de los requisitos de la Directiva sobre seguridad de las redes y la información (NIS 2). Aunque analizamos cómo los productos de BlueCat pueden contribuir a los esfuerzos generales de cumplimiento relacionados con la NIS 2, la responsabilidad de garantizar el cumplimiento de todas las leyes y normativas aplicables recae en los usuarios de nuestros productos. Le rogamos que revise todas las capacidades de los productos de BlueCat, que puede encontrar en nuestro portal de documentación de productos, y que consulte con sus asesores profesionales internos y externos sobre la idoneidad de los productos de BlueCat para los fines que usted persiga, incluso en lo que respecta al cumplimiento de la NIS 2.