Dos de las novedades más importantes que trae consigo la Directiva NIS2 (Network and Information Security 2 Directive) son el fortalecimiento de la cadena de suministro y el aumento del control de las relaciones entre las empresas ‘importantes’ y ‘esenciales’ y sus proveedores.
Debemos tener en cuenta la importancia de esta Directiva en el campo de la Ciberseguridad y sus implicaciones, teniendo en cuenta que los Estados Miembros tenían de plazo para trasponer esta norma hasta octubre 2024, y que España todavía sigue en proceso con el «Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad«. Por lo que debemos estar muy atentos a los avances en los próximos meses.
En este artículo, te explicamos cómo se materializa esta normativa que busca, ante todo, garantizar la protección de los sistemas de información de toda la UE.
Las cadenas de suministro y su importancia para la NIS2
Las cadenas de suministro son el conjunto de organizaciones y procesos que intervienen de una u otra forma en la entrega de productos o servicios TIC. En otras palabras, incluyen a los proveedores y subcontratistas que influyen en la seguridad y funcionalidad de los sistemas de cualquier organización que se considere importante o esencial según la normativa.
Se trata de estructuras que dependen en gran medida de la tecnología y que se encuentran conectadas entre sí, de modo que en ellas los riesgos son elevados. Por eso, la NIS2 pretende incrementar su protección a través de una serie de medidas que te explicamos a continuación.
¿Qué requisitos de seguridad se deben cumplir en las cadenas de suministro según la NIS2?
Vamos a contarte cuáles son las obligaciones de las empresas proveedoras que operan en los sectores calificados como importantes o esenciales. ¿El objetivo? Dotar de mayor robustez a la cadena de suministro, para intentar reducir los riesgos en materia de ciberseguridad y protección de datos.
- Evaluación de riesgos: los proveedores están obligados a permitir que sus riesgos en materia de seguridad sean evaluados periódicamente por parte de las entidades a las que prestan los servicios o proporcionan los productos. Además, deben gestionar y documentar debidamente esos riesgos y acreditar que cumplen con los mínimos estándares de seguridad.
- Medidas de seguridad contractuales: los proveedores han de firmar contratos que especifiquen de forma clara sus responsabilidades relacionadas con la ciberseguridad. A su vez, se comprometen a aplicar las medidas técnicas que se requieran y a comunicar a la empresa contratante cualquier incidente significativo.
- Gestión de incidentes: las empresas proveedoras deben contar con mecanismos de seguridad para detectar y tratar de evitar cualquier incidente cibernético.
Incumplimiento de la NIS2: consecuencias para los proveedores
Lo que más afecta a las empresas a las que se les aplica la NIS2 (Sectores críticos y esenciales) son las multas y sanciones a las que se enfrentan si incumplen alguno de sus requerimientos. Pero estas consecuencias no van dirigidas directamente a los proveedores, aunque sí pueden perjudicarles indirectamente.
Como hemos comentado anteriormente, las relaciones entre las entidades esenciales o importantes y sus proveedores se rigen a través de contratos, y en ellos se puede establecer una responsabilidad compartida que sí podría acarrear determinados efectos para las subcontratistas, como por ejemplo:
- La suspensión de los servicios de forma temporal.
- La rescisión definitiva de los contratos.
- Penalizaciones o indemnizaciones económicas.
- La no prórroga o renovación de los contratos.
El cuestionario de la cadena de suministro, una iniciativa para garantizar el cumplimiento
Muchas veces, lamentablemente, ni se conocen, ni se evalúan, ni se verifican las formas en las que se suministran los productos o servicios contratados. Para evitar esto y garantizar que se tiene bajo control no a uno, sino a todos los proveedores, desde el ISMS Forum (International Information Security Community) se ha confeccionado un cuestionario cuyo objetivo es facilitar este trabajo de supervisión.
Se le conoce como modelo de referencia de Declaración Responsable, y contiene una serie de preguntas o aspectos que se consideran relevantes y que cada proveedor debe contestar individualmente.
Sin duda, creemos que esta herramienta estandarizada es una buena iniciativa para que las organizaciones puedan recoger y documentar el compromiso de sus proveedores con el cumplimiento de los requisitos en materia de seguridad de la información, privacidad y cumplimiento normativo.
