Editores de software y NIS2: ¿está usted concernido?

¿De qué trata NIS2?

NIS2 clasifica las organizaciones en entidades esenciales e importantes según su sector (anexos I y II) y su tamaño. Las entidades importantes están sujetas a un control a posteriori, mientras que las esenciales quedan sometidas a una supervisión más intensa.

Los editores pertenecen con mayor frecuencia a la categoría «proveedores digitales» o «gestión de servicios TIC (B2B)», siempre que superen el umbral de tamaño.

¿El sector «Editores de software» está afectado?

Un editor que preste servicios digitales (SaaS, mercado, cloud) o de gestión de servicios TIC, por encima del umbral de «entidad mediana», está contemplado como entidad importante. Existen excepciones para ciertos actores considerados críticos con independencia de su tamaño.

Por debajo del umbral, la obligación recae frecuentemente de forma indirecta: los clientes sujetos a NIS2 deben asegurar su cadena de suministro y, por tanto, trasladan los requisitos por vía contractual.

Obligaciones detalladas

Sanciones y riesgos

Para las entidades importantes, las multas pueden alcanzar los 7 M€ o el 1,4 % del volumen de negocio mundial (10 M€ o el 2 % para las entidades esenciales). NIS2 introduce sobre todo la responsabilidad personal de los directivos, quienes pueden verse sometidos a medidas y, en determinados casos, a una prohibición temporal de ejercer funciones de dirección.

El riesgo comercial es igualmente real: un incumplimiento puede descalificar al editor de licitaciones ante clientes que están ellos mismos sujetos a NIS2.

Calendario de aplicación

• 1Directiva. Adoptada a finales de 2022; transposición prevista por los Estados miembros.
• 2Francia. Ley de transposición en curso de finalización; anticipar las obligaciones sin esperar a la entrada en aplicación.

Errores frecuentes en el sector

• 1«Solo para grandes grupos». Creer que NIS2 se limita a las grandes empresas, cuando el umbral se alcanza desde 50 empleados o 10 M€.
• 2Cadena de suministro ignorada. Descuidar la seguridad de los componentes y proveedores, pese a ser el núcleo de NIS2.
• 3Sin proceso de gestión de incidentes. No disponer de un procedimiento de alerta y notificación.
• 4Dirección ausente. Dejar la ciberseguridad únicamente al área técnica, sin implicación del órgano de dirección.

Caso práctico

Un editor de 80 empleados con una facturación de 12 M€ presta un SaaS a entidades públicas locales. Al superar el umbral, queda sujeto a las entidades importantes. Estructura su cumplimiento implantando la autenticación multifactor de forma generalizada, un plan de respuesta a incidentes y una evaluación de sus proveedores cloud, y hace validar el dispositivo por su dirección — tres exigencias directamente derivadas del artículo 21.

Hoja de ruta de cumplimiento

1. 1

   Calificar. Determinar si usted es entidad importante, esencial o fuera de ámbito.

2. 2

   Analizar los riesgos. Realizar un análisis de riesgo cibernético y un diagnóstico de situación respecto al artículo 21.

3. 3

   Desplegar las medidas. Implementar las medidas pendientes y un plan de respuesta a incidentes.

4. 4

   Proteger a los proveedores. Cartografiar y encuadrar la cadena de suministro de software.

5. 5

   Instrumentar la notificación. Implantar el proceso de alerta y de notificación de incidentes.

Preguntas frecuentes