NIS2 y subcontratistas: ¿le afecta por extensión?

Por qué NIS2 le afecta sin nombrarle

La directiva (UE) 2022/2555 solo regula directamente a las entidades esenciales e importantes (véase el test en 5 preguntas). Pero su artículo 21, apartado 2, letra d, impone a estas entidades tomar medidas que cubran « la seguridad de la cadena de suministro, incluidos los aspectos relacionados con la seguridad en lo que respecta a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos ». El apartado 3 añade que deben tener en cuenta las vulnerabilidades propias de cada proveedor directo y la calidad global de sus prácticas de ciberseguridad.

La mecánica es, por tanto, contractual: la obligación recae sobre su cliente, que la repercute sobre usted. Es exactamente el esquema que conoció el RGPD con los encargados del tratamiento de datos en 2018, con una diferencia: NIS2 apunta a la seguridad de toda la relación de servicio, no solo a los datos personales.

¿Quién se ve afectado por extensión, en concreto?

Tres perfiles de proveedores están en primera línea:

1. Los prestadores digitales de las entidades reguladas: gestión de infraestructuras, mantenimiento de aplicaciones, editores SaaS de negocio, alojadores no cubiertos directamente, integradores. Atención: algunos de estos servicios están en realidad en el perímetro directo de NIS2 (proveedores de servicios gestionados y de servicios de seguridad gestionados, cloud, centros de datos están incluidos en el anexo I); verifique primero su propia sujeción.
2. Los proveedores críticos para la continuidad: logística, mantenimiento industrial, laboratorios, proveedores de componentes, siempre que su fallo perturbe el servicio de la entidad regulada.
3. Los encargados del tratamiento que tienen acceso al sistema de información del cliente: telemantenimiento, soporte, desarrolladores, prestadores de RRHH o nómina conectados. El acceso remoto es el primer vector de ataque por la cadena de suministro.

Lo que sus clientes van a pedirle

Las prácticas se estandarizan rápidamente. Espere recibir, a menudo desde la licitación:

• Un cuestionario de seguridad (50 a 300 preguntas) que cubre las 10 familias de medidas del artículo 21: gobernanza, gestión de incidentes, continuidad, control de acceso, cifrado, MFA, formación, gestión de vulnerabilidades.
• Cláusulas contractuales: obligación de notificar cualquier incidente de seguridad que afecte al servicio en un plazo corto (a menudo 24 a 72 horas), compromiso sobre medidas mínimas, derecho de auditoría, plan de reversibilidad, seguro cibernético.
• Pruebas: política de seguridad, certificados de pruebas de intrusión, certificaciones (ISO 27001, SecNumCloud para la nube de confianza, HDS en salud), resultados de auditoría.
• Una reevaluación periódica: la conformidad del proveedor ya no es un control en la firma sino un seguimiento anual.

La lista de verificación del proveedor previsor

1. Aclare su estado: ¿está en el perímetro directo (en cuyo caso sus obligaciones van mucho más allá de lo contractual) o únicamente por rebote? El test en 5 preguntas toma diez minutos.
2. Haga el diagnóstico de las 10 medidas del artículo 21 sobre su propio sistema de información: es el marco de referencia sobre el cual sus clientes le evaluarán. El autodiagnóstico NIS2 da una primera medida.
3. Prepare un expediente de confianza reutilizable: política de seguridad fechada, organización (responsable designado, incluso externalizado), procedimiento de incidente con compromiso de notificación, copias de seguridad probadas, MFA generalizada, prueba de sensibilización de los equipos.
4. Regule sus propios proveedores críticos: la cascada no se detiene en usted, y sus clientes verifican cada vez más el nivel 2.
5. Negocie cláusulas viables: un plazo de notificación de 24 horas se negocia (naturaleza de los incidentes cubiertos, punto de partida del plazo, canal); un compromiso insostenible se vuelve contra usted en el primer incidente.

La restricción que se convierte en argumento comercial

En los sectores regulados, la capacidad de responder en 48 horas a un cuestionario de seguridad con un expediente ordenado ahora hace ganar licitaciones. Los compradores descartan silenciosamente a los proveedores incapaces de producir una política de seguridad o una prueba de MFA. Por el contrario, mostrar un marco de referencia de conformidad y una puntuación de madurez actualizada acorta los ciclos de venta. Los proveedores que han industrializado su expediente de confianza transforman una restricción sufrida en ventaja competitiva medible.

Fuentes

• Directiva (UE) 2022/2555 (NIS2), artículo 21, apartados 2 y 3, y artículo 22 (evaluaciones coordinadas de los riesgos de las cadenas de suministro críticas), EUR-Lex.
• La agencia francesa de ciberseguridad (ANSSI), MesServicesCyber, « Directive NIS 2 » y Référentiel Cyber France (ReCyF).
• ENISA, Good Practices for Supply Chain Cybersecurity.