En resumen
- Reglamentación: NIS2.
- Los fabricantes y proveedores de equipos que superen el umbral están afectados como entidades importantes.
- Gestionar los riesgos IT/OT.
- Asegurar una cadena profunda.
- Notificar los incidentes.
- Para las entidades importantes, hasta 7 M€ o el 1,4 % del volumen de negocio mundial, con posible responsabilidad de los directivos.
Plazos normativos
Las fechas clave de esta normativa.
Enero de 2023
Entrada en vigor (directiva UE)
En vigorOctubre de 2024
Plazo de transposición (UE)
En vigor2026
Transposición francesa (ley de resiliencia)
En vigor¿De qué trata NIS2?
NIS2 incluye la fabricación de vehículos y otros materiales de transporte entre las entidades importantes, más allá del umbral de tamaño. Las medidas del artículo 21 se aplican a la IT y a la OT de los centros de producción.
La especificidad del sector del automóvil es la profundidad de la cadena: nivel 1, nivel 2 y más allá, siendo cada eslabón un potencial vector de ataque.
¿El sector «Automoción» está afectado?
Los fabricantes y proveedores de equipos que superen el umbral están implicados como entidades importantes. Los proveedores más pequeños lo están a menudo de forma indirecta, a través de los requisitos de los clientes principales.
La seguridad de la cadena de suministro es la obligación más determinante del sector.
Obligaciones detalladas
Gestionar los riesgos IT/OT
Aplicar las medidas del artículo 21 a los sistemas de gestión y a los sistemas industriales de las fábricas.
Asegurar una cadena profunda
Encuadrar y evaluar la seguridad de los proveedores en varios niveles.
Notificar los incidentes
Emitir una alerta temprana y luego los informes según los plazos.
Garantizar la continuidad
Disponer de planes adaptados a los flujos ajustados de la producción automovilística.
Gobernar
Hacer que la dirección lidere el dispositivo.
Sanciones y riesgos
Para las entidades importantes, hasta 7 M€ o el 1,4 % del volumen de negocio mundial, con posible responsabilidad de los directivos. Un incidente en la cadena puede interrumpir la producción en flujo tenso, con consecuencias económicas inmediatas.
Los clientes principales imponen además requisitos de seguridad a sus proveedores.
Calendario de aplicación
- 1Directiva. Adoptada a finales de 2022.
- 2Francia. Transposición en curso; anticiparse es clave dada la profundidad de la cadena.
Errores frecuentes en el sector
- 1Cadena subestimada. Asegurar solo el nivel 1 descuidando los niveles siguientes.
- 2OT descuidado. Olvidar los sistemas industriales de las fábricas.
- 3Continuidad frágil. Subestimar el impacto de un incidente en los flujos ajustados.
- 4Dirección ausente. Limitar la ciberseguridad al ámbito técnico.
Caso práctico
Un fabricante sufre un incidente propagado desde un proveedor de nivel 2. La remediación NIS2 consiste en cartografiar la cadena más allá del nivel 1, imponer requisitos de seguridad contractuales, securizar las interconexiones IT/OT y reforzar los planes de continuidad adaptados a los flujos de producción ajustada.
Hoja de ruta de cumplimiento
- 1
Calificar. Determinar el estado (importante, fuera de ámbito).
- 2
Cartografiar la cadena. Identificar a los proveedores críticos en múltiples niveles.
- 3
Securizar IT/OT. Aplicar las medidas a las fábricas y a las interconexiones.
- 4
Encuadrar a los proveedores. Desplegar requisitos de seguridad contractuales.
- 5
Instrumentar la notificación. Implementar la alerta y la notificación de incidentes.
Preguntas frecuentes
Sí, como entidad importante por encima del umbral de tamaño.
Pase a la acción en NIS2
Diagnóstico gratuito o una charla con un experto dedicado a automoción.
Ya confían en nosotros
Descubra cómo organizaciones del sector automoción aseguraron su cumplimiento con DCO.