NIS2 para proveedores: lo que sus clientes empezarán a pedirle

NIS2 es la principal ley de ciberseguridad de la UE para las entidades esenciales e importantes, y llega a los proveedores a través de sus clientes. Aunque su empresa no esté directamente sujeta, un cliente que sí lo esté debe gestionar "la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos". Así lo establece el artículo 21, apartado 2, letra d), de la Directiva (UE) 2022/2555.

En la práctica, esto se traduce en cuestionarios, nuevas cláusulas contractuales, peticiones de evidencias y, en ocasiones, un derecho de auditoría. También afecta a empresas de Estados Unidos que prestan servicios de software, alojamiento, TI u otros a clientes de la UE incluidos en NIS2.

Este artículo resume lo que dicen realmente la directiva y sus normas de ejecución sobre los proveedores, y cómo preparar respuestas que resistan una revisión.

Fechas y artículos clave

• La directiva se adoptó el 14 de diciembre de 2022. Los Estados miembros debían adoptar sus leyes nacionales antes del 17 de octubre de 2024 y aplicarlas desde el 18 de octubre de 2024 (artículo 41).
• El artículo 20 obliga a los órganos de dirección de las entidades afectadas a aprobar las medidas de gestión de riesgos de ciberseguridad y a supervisar su aplicación.
• El artículo 21, apartado 2, enumera al menos 10 ámbitos de medidas, desde el análisis de riesgos y la gestión de incidentes hasta la seguridad de la cadena de suministro, la gestión de vulnerabilidades y la autenticación multifactor.
• El artículo 21, apartado 3, establece que, al elegir las medidas para la cadena de suministro, las entidades deben tener en cuenta "las vulnerabilidades específicas de cada proveedor y prestador de servicios directo y la calidad general de los productos y de las prácticas de ciberseguridad de sus proveedores y prestadores de servicios".
• El artículo 23, apartado 4, fija las fases de notificación de incidentes para la entidad afectada: una alerta temprana en un plazo de 24 horas desde que tenga conocimiento de un incidente significativo, una notificación del incidente en un plazo de 72 horas y un informe final a más tardar 1 mes después de la notificación.

NIS2 es una directiva, de modo que las obligaciones vinculantes proceden de la ley nacional de cada país. Los detalles varían; el equipo jurídico de su cliente le indicará qué ley le aplica.

Lo que añade el reglamento de ejecución

Para determinados proveedores digitales (entre ellos los de computación en nube, centros de datos, servicios gestionados y servicios de seguridad gestionados), la Comisión fijó requisitos detallados en el Reglamento de Ejecución (UE) 2024/2690. Su anexo, punto 5.1, es la descripción más clara de lo que los clientes pedirán a los proveedores. Las entidades afectadas deben fijar criterios para seleccionar proveedores, incluidas sus prácticas de ciberseguridad y sus procedimientos de desarrollo seguro, y sus contratos deben especificar, cuando proceda:

• requisitos de ciberseguridad para el proveedor,
• formación y, cuando proceda, certificaciones del personal del proveedor,
• comprobación de antecedentes del personal,
• la obligación de notificar los incidentes al cliente sin demora indebida,
• el derecho a auditar o a recibir informes de auditoría,
• la obligación de gestionar las vulnerabilidades que supongan un riesgo para el cliente,
• normas sobre subcontratación,
• obligaciones al término del contrato, como la devolución y la eliminación de los datos.

Incluso los clientes que quedan fuera del ámbito de ese reglamento lo usan a menudo como plantilla, porque convierte el artículo 21 en una lista concreta.

Lo que sus clientes le enviarán realmente

Espere una combinación de lo siguiente:

1. Un cuestionario de seguridad sobre control de accesos, autenticación multifactor, copias de seguridad, cifrado, gestión de vulnerabilidades y respuesta a incidentes.
2. Anexos al contrato con plazos de notificación de incidentes lo bastante cortos para que el cliente pueda cumplir su propia alerta temprana de 24 horas.
3. Peticiones de evidencias: políticas, informes de auditoría, certificados como ISO/IEC 27001 o un informe SOC 2, y resultados de pruebas.
4. Preguntas sobre sus subcontratistas, sobre todo de alojamiento y soporte.
5. Seguimiento continuo: el punto 5.1.6 del anexo pide a las entidades que supervisen a intervalos planificados los cambios en las prácticas de ciberseguridad de sus proveedores, así que espere preguntas repetidas.

Prepare respuestas que se puedan comprobar

Es fácil rellenar un cuestionario con optimismo. Cada vez más, los clientes comprueban la parte que se ve desde fuera. Antes de responder, asegúrese de que el exterior de su empresa coincide con lo que escribe:

• Autenticación del correo. Si afirma tener una seguridad de correo sólida, su registro DMARC debería estar en modo de aplicación:

dig +short TXT _dmarc.yourcompany.com
"v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.com"

• TLS y certificados. Certificados válidos en todos los nombres de host expuestos a internet, ninguno caducado y ninguno en hosts olvidados.
• Servicios expuestos. Ningún escritorio remoto, base de datos o panel de administración abierto a internet.
• Higiene del sitio web. Cabeceras de seguridad presentes y ningún archivo .env, .git o copia de seguridad expuesto (consulte archivos .env, .git y copias de seguridad expuestos).
• Activos olvidados. Ningún servidor de preproducción o de pruebas abandonado bajo su dominio (consulte servidores de pruebas olvidados).

Una imagen exterior limpia no demuestra un programa maduro, pero una débil contradice muy rápido un buen cuestionario.

Lista de preparación

• Designe un responsable de los cuestionarios de seguridad de clientes y mantenga un conjunto de respuestas reutilizable.
• Redacte un procedimiento de notificación de incidentes con un contacto y un plazo que realmente pueda cumplir.
• Mantenga una lista actualizada de sus propios subcontratistas y de los datos que tratan.
• Documente cómo gestiona las vulnerabilidades, desde el aviso hasta la corrección.
• Reúna las evidencias en un solo lugar: políticas, informes de auditoría, certificados, resúmenes de pruebas.
• Revise su superficie externa con regularidad y corrija lo que vería un cliente.
• Vuelva a comprobarlo antes de cada renovación de contrato.

Dónde encaja Datahorses

Datahorses vigila su empresa desde fuera todos los días: dominios, DNS, certificados, autenticación del correo, sitios web y servicios expuestos. Los hallazgos llegan con los pasos exactos de corrección y se conservan como un registro al que puede remitirse cuando un cliente le pregunte cómo vigila su propia exposición. No entramos en sus sistemas ni necesitamos ningún acceso; consulte lo que vigilamos o cómo funciona la colaboración.