Introducción
Los riesgos de ciberseguridad asociados a las estaciones de recarga de vehículos eléctricos van en aumento. Para gestionar estas estaciones de forma centralizada, ya estén en espacios públicos o en ubicaciones privadas, los operadores de puntos de recarga (CPO) deben operar varios sistemas interconectados y son responsables de proteger datos sensibles como la identidad de los usuarios y la información de pago. La complejidad y la interconexión de estos sistemas los exponen a diversas ciberamenazas, desde filtraciones de datos hasta posibles interrupciones de la red eléctrica. Resolver estas vulnerabilidades es fundamental y exige medidas de seguridad sólidas, como protocolos de autenticación robustos, estándares de cifrado y arquitecturas de red segmentadas. Los marcos normativos, como la Directiva NIS2 europea, buscan reforzar los estándares de ciberseguridad de la infraestructura de VE, pero la colaboración amplia del sector sigue siendo vital para protegerse eficazmente frente a unas ciberamenazas en constante evolución.
La Directiva NIS2, oficialmente Directiva (UE) 2022/2555, fue publicada en diciembre de 2022 por el Parlamento Europeo y el Consejo. Su objetivo principal es mejorar la ciberseguridad en la Unión Europea estableciendo un elevado nivel común de seguridad de las redes y sistemas de información. Esta directiva sustituye a su predecesora, la Directiva NIS (Directiva 2016/1148/CE), y amplía su ámbito de aplicación a más sectores y entidades. Analizamos el impacto de la Directiva NIS2 en el sector de la recarga de VE y cómo AMPECO puede ayudarle con los retos de NIS2.
Resumen de la Directiva NIS2
La Directiva NIS2 introduce varias medidas para mejorar la gestión de riesgos de ciberseguridad, obligaciones de notificación y mecanismos de cooperación, dirigidas a las entidades esenciales e importantes de sectores críticos como la energía, el transporte, la sanidad y la infraestructura digital.
Dado el papel crucial de los CPO en la transición hacia un transporte sostenible, los operadores de puntos de recarga figuran en el anexo I de la Directiva NIS2, en la lista de entidades del sector de la energía de alta criticidad. Los proveedores de servicios digitales que ofrecen servicios de computación en la nube, como los sistemas de gestión de puntos de recarga (CPMS, Charge Point Management System), también entran en el ámbito de la directiva.
La tabla siguiente resume los aspectos clave de la directiva.
Tabla 1. Aspectos clave de la Directiva NIS2
Impacto en el sector de la recarga de VE
La Directiva NIS2 promueve un enfoque de ciberseguridad que abarca todos los peligros y obliga a las entidades a proteger de forma integral sus redes y sistemas de información. Según el artículo 21, apartado 2, las medidas destinadas a proteger las redes y los sistemas de información y su entorno físico frente a incidentes incluirán, como mínimo, lo siguiente:
1. Las políticas de seguridad de los sistemas de información y análisis de riesgos
2. La gestión de incidentes
3. La continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis
4. La seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos;
5. La seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información, incluida la gestión y divulgación de las vulnerabilidades
6. Las políticas y los procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad;
7. Las prácticas básicas de ciberhigiene y la formación en ciberseguridad;
8. Las políticas y procedimientos relativos a la utilización de criptografía y, en su caso, de cifrado;
9. La seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos;
10. Soluciones de autenticación multifactorial o de autenticación continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicaciones de emergencia en la entidad.
Requisitos para los operadores de puntos de recarga
La Directiva NIS2 exige a las entidades de todos los sectores un enfoque de ciberseguridad que abarque todos los peligros, centrado en la protección integral de las redes y los sistemas de información. Para los CPO, esto se traduce en varios requisitos concretos destinados a reducir los riesgos de ciberseguridad y garantizar el cumplimiento.
- Gestión integral de riesgos: los CPO deben aplicar medidas técnicas, operativas y organizativas adecuadas para gestionar eficazmente los riesgos de ciberseguridad.
- Políticas y procedimientos sólidos: esto incluye políticas de análisis de riesgos, de seguridad de los sistemas de información y de gestión de incidentes. Además, los CPO deben establecer procedimientos de continuidad de las actividades, como la gestión de copias de seguridad y la recuperación ante desastres, así como una gestión segura de los activos.
- Seguridad de la cadena de suministro: los CPO deben abordar los aspectos de seguridad de sus relaciones con proveedores o prestadores de servicios directos.
- Criptografía y comunicaciones seguras: deben aplicarse políticas de criptografía y cifrado que garanticen comunicaciones y sistemas de emergencia seguros dentro de la entidad. Las soluciones de autenticación multifactorial o de autenticación continua son vitales para proteger estas comunicaciones.
- Obligaciones de notificación: en caso de incidentes significativos, los CPO deben notificarlo sin demora indebida a su equipo de respuesta a incidentes de seguridad informática (CSIRT, Computer Security Incident Response Team) o a la autoridad competente. También deben comunicar a tiempo a los destinatarios de sus servicios que puedan verse afectados las ciberamenazas significativas, junto con las medidas o soluciones recomendadas.
- Formación continua en seguridad: la formación periódica en ciberseguridad para los órganos de dirección y los empleados es esencial para mantener y aplicar eficazmente las medidas de ciberseguridad y garantizar el compromiso en todos los niveles de la organización.
Requisitos para los sistemas de gestión de puntos de recarga
Para garantizar el cumplimiento de NIS2 por parte de los CPO, los proveedores de sistemas de gestión de puntos de recarga deben trasladar estos requisitos a su proceso de desarrollo de producto y asegurarse de que se cumplen los requisitos de seguridad.
- Protocolos de seguridad avanzados y proporcionales a los riesgos para gestionar y supervisar el estado de ciberseguridad de toda la red de recarga.
- Controles de cumplimiento y auditorías periódicas: los proveedores de CPMS deben asegurarse de que todos sus proveedores cumplen los requisitos de ciberseguridad mediante controles de cumplimiento y auditorías periódicas, con la evaluación y la supervisión continua de proveedores y prestadores de servicios.
- Seguridad del sistema: debe integrarse en el desarrollo y el mantenimiento del CPMS para que las vulnerabilidades se resuelvan con rapidez. La supervisión continua debe planificarse y ejecutarse de forma periódica para detectar y mitigar eficazmente los nuevos riesgos.
- Programas de formación completos para el personal y la dirección, que deben formar parte de la estrategia general de desarrollo del personal para concienciar sobre la importancia de NIS2 y mantenerse al día de las últimas ciberamenazas y buenas prácticas.
ChargeUp Europe, que representa al sector de la infraestructura de recarga de VE en la UE, respalda la Directiva NIS2 y las normas actualizadas sobre seguridad de las redes y sistemas de información. Con empresas asociadas que operan más de 175.000 puntos de recarga en todos los Estados miembros de la UE, ChargeUp Europe subraya la importancia crítica de una infraestructura de recarga segura y fiable para acelerar la adopción de la movilidad de cero emisiones. La asociación defiende que la infraestructura de recarga de VE se clasifique como infraestructura crítica en el marco de la Directiva NIS, para garantizar medidas de seguridad sólidas y estándares de privacidad en toda la cadena de valor. También destaca la necesidad de definiciones coherentes, varias opciones de certificación, medidas de cumplimiento rentables y una posible supervisión normativa a escala de la UE, para que los conductores de VE disfruten de una experiencia fluida y segura en toda Europa.
Cómo le ayuda AMPECO a cumplir NIS2
Como proveedor líder de software de gestión de recarga de VE de marca blanca, AMPECO se compromete plenamente a ayudar a los operadores de puntos de recarga (CPO) a alcanzar y mantener el cumplimiento de la Directiva NIS2. Nuestra certificación ISO 27001 garantiza que nuestros productos cumplen estándares elevados de gestión de la seguridad de la información. Así se ajustan las funciones del software de AMPECO a los requisitos de NIS2.
Protocolos de seguridad avanzados
El software de AMPECO integra protocolos de seguridad avanzados para gestionar y supervisar el estado de ciberseguridad de toda su red de recarga. Estos protocolos ayudan a mitigar los riesgos y a mantener su infraestructura resiliente frente a unas ciberamenazas en constante evolución.
Cifrado de datos y criptografía
Para proteger datos sensibles como la identidad de los usuarios y la información de pago, AMPECO aplica estándares de cifrado sólidos. Nuestro software cifra los datos tanto en tránsito como en reposo, conforme a los estándares de seguridad más exigentes y a las políticas de criptografía que impone NIS2.
Prácticas de desarrollo seguro
El proceso de desarrollo de AMPECO sigue prácticas de seguridad estrictas para que nuestro software resista las vulnerabilidades. Las actualizaciones y el mantenimiento periódicos resuelven con rapidez las nuevas amenazas, de modo que sus sistemas siguen siendo seguros y cumplen los requisitos de NIS2.
Cumplimiento y supervisión de proveedores
AMPECO evalúa a fondo y supervisa de forma continua a todos los proveedores y prestadores de servicios integrados en nuestro ecosistema de software. Así, cada componente de su red de recarga cumple los estándares de ciberseguridad necesarios y sus operaciones se desarrollan en un entorno seguro y conforme a la normativa.
Gestión de incidentes
AMPECO está obligada a notificar cualquier incidente relacionado con el entorno o los datos de los CPO como parte de su proceso de gestión de incidentes de seguridad. Este es el primer paso para cumplir el requisito de NIS2 de notificar a tiempo a los CSIRT locales.
Continuidad del negocio
AMPECO garantiza la continuidad de las actividades mediante prácticas de gestión de copias de seguridad, recuperación ante desastres y gestión de crisis. Estas prácticas permiten que las operaciones de su CPMS se recuperen con rapidez y sigan funcionando con normalidad en caso de incidente.
Autenticación multifactorial
AMPECO admite la autenticación multifactorial (MFA) en su portal de administración del backend para mayor seguridad, mientras que los CPO gestionan la MFA de los usuarios finales.
Plazos importantes
A más tardar el 17 de octubre de 2024, los Estados miembros deben adoptar y publicar las medidas necesarias para cumplir la Directiva NIS2. Aplicarán dichas medidas a partir del 18 de octubre de 2024. La Directiva (UE) 2016/1148 (Directiva NIS) queda derogada con efectos a partir del 18 de octubre de 2024.
A más tardar el 17 de abril de 2025, los Estados miembros establecerán una lista de las entidades esenciales e importantes, así como de las entidades que prestan servicios de registro de nombres de dominio. Los Estados miembros revisarán esta lista periódicamente y, al menos, cada dos años a partir de entonces, y la actualizarán cuando proceda.
Obligaciones de entidades no UE que operan en la UE
Las entidades de fuera de la UE que prestan servicios en la Unión Europea en virtud de la Directiva NIS2 deben designar un representante en uno de los Estados miembros en los que se ofrecen los servicios. Este representante determina la jurisdicción del Estado miembro correspondiente sobre la entidad y, a falta de representante, cualquier Estado miembro en el que se presten servicios puede emprender acciones legales por infracciones de la directiva. Los actos jurídicos sectoriales de la Unión deben, como mínimo, ajustarse a los requisitos de gestión de riesgos de ciberseguridad establecidos en el artículo 21, apartados 1 y 2, de la Directiva NIS2, o superarlos. Con un «enfoque que abarca todos los peligros», estas medidas no solo deben proteger las redes y los sistemas de información, sino también garantizar la seguridad física y del entorno frente a sucesos como sabotajes, robos, incendios, inundaciones, fallos de telecomunicaciones o de suministro eléctrico y accesos físicos no autorizados que puedan comprometer la integridad de los datos y la disponibilidad de los servicios.
