El Departamento de Seguridad Nacional (DHS, por sus siglas en inglés) de Estados Unidos y la DG CONNECT (Dirección General de Redes de Comunicación, Contenidos y Tecnología) de la Comisión Europea publican el presente informe conjunto con el objetivo de identificar las principales similitudes y divergencias entre la Ley de Notificación de Incidentes Cibernéticos para Infraestructuras Críticas de 2022 (EEUU) y la directiva de la UE sobre un alto nivel de ciberseguridad en toda la Unión (Directiva NIS 2). El documento pretende informar sobre la aplicación en curso de ambas leyes, así como apoyar a las entidades activas en múltiples jurisdicciones en sus esfuerzos por responder a los incidentes cibernéticos.

A efectos de este ejercicio de comparación, el DHS y la DG CONNECT identificaron seis áreas principales de análisis comparativo entre el Informe del DHS y la Directiva NIS 2: definiciones y umbrales de notificación; plazos, desencadenantes y tipos de notificación de ciberincidentes; contenido de los informes de ciberincidentes; mecanismos de notificación; agregación de datos sobre incidentes; y divulgación pública de información sobre ciberincidentes. Cada una de las áreas de análisis incluye una comparación esquemática de los marcos que se ciñe a los textos reales, seguida de conclusiones generales sobre similitudes y diferencias.

Al comparar ambos textos legales se especificaron varias áreas clave de divergencia o coincidencia. La directiva y el informe utilizan un lenguaje diferente para definir los ciberincidentes notificables o para describir de otro modo el umbral de lo que es notificable. Del mismo modo, se señalan diferentes plazos y desencadenantes para las notificaciones. Sin embargo, el contenido de los informes de incidentes en ambos documentos parece comparable a nivel temático. Asimismo, los documentos intentan reducir las complicaciones innecesarias o las dificultades técnicas que las entidades pueden encontrar al intentar presentar un informe. El informe esboza los requisitos (recomendados o reales) para incluir datos de incidentes agregados y anonimizados en los informes en virtud de la Directiva NIS 2, mientras que el Informe del DHS reconoce que esta inclusión puede ser beneficiosa, pero no se incluye en las recomendaciones emitidas. Por último, detalla las similitudes y diferencias en las disposiciones de cada documento para la divulgación pública de determinados incidentes cibernéticos.