Las vigentes normas sobre seguridad de las redes y sistemas de información (Directiva SRI ), primera normativa de ámbito europeo sobre ciberseguridad, allanaron el camino para un cambio significativo en la mentalidad, el enfoque institucional y el planteamiento regulador en materia de ciberseguridad de muchos Estados miembros. Pese a sus notables logros y sus efectos positivos, era preciso actualizarlas dado el creciente grado de digitalización e interconexión de nuestra sociedad y el auge en todo el mundo de las actividades cibernéticas malintencionadas.
Ante esta creciente exposición de Europa a las ciberamenazas, la Directiva SRI 2 contempla ahora un número mayor de sectores fundamentales para la economía y la sociedad: los proveedores de servicios públicos de comunicaciones electrónicas, los servicios digitales, la gestión de residuos y aguas residuales, la fabricación de productos esenciales, los servicios postales y de mensajería y las administraciones públicas tanto centrales como autonómicas y regionales. Además, y ante las crecientes amenazas para su seguridad surgidas durante la pandemia de COVID-19, se contempla de manera más general el sector sanitario, al incluirse, por ejemplo, a los fabricantes de productos del sector. Ampliar el ámbito de aplicación de las nuevas normas, obligando de hecho a más entidades y sectores a tomar medidas de gestión del riesgo para la ciberseguridad, contribuirá a aumentar el nivel de ciberseguridad a medio y largo plazo en Europa.
Por otra parte, la Directiva SRI 2 refuerza los requisitos sobre ciberseguridad impuestos a las empresas, contempla la seguridad de las cadenas de suministro y las relaciones con los proveedores e introduce la rendición de cuentas de los directivos en caso de incumplimiento de las obligaciones en materia de ciberseguridad. La Directiva simplifica las obligaciones de notificación, estipula medidas de supervisión más estrictas para las autoridades nacionales, junto con requisitos de ejecución más rigurosos, y pretende armonizar los regímenes de sanciones de los Estados miembros. La nueva normativa contribuirá a aumentar el intercambio de información y la cooperación en el ámbito de la gestión tanto nacional como europea de las cibercrisis.