NIS2 para proveedores: lo que te van a pedir tus clientes aunque la ley no te obligue

Por qué te va a llegar aunque no estés en la ley

Entre las diez medidas mínimas que el anteproyecto exige a las empresas afectadas está «la seguridad de la cadena de suministro», que incluye la relación con cada proveedor directo y «el punto de contacto de seguridad principal para cada uno de los proveedores» (art. 15.2.d). Además, el responsable de seguridad de esas empresas tiene entre sus funciones «velar por el cumplimiento de empresas externas y proveedores» (art. 16.3.j).

Dicho de otra forma: tu cliente tiene que poder demostrar que sabe quién entra en sus sistemas y con qué garantías. Si eres su empresa de software, su mantenimiento, su transporte o su gestoría con acceso a sus datos, ese «quién» eres tú.

Y no hace falta esperar a la ley española. En la mayoría de países de la UE la norma ya está en vigor, así que si tu cliente pertenece a un grupo europeo es posible que el cuestionario ya esté en camino. Puedes comprobar en un minuto si tu empresa entra o no con nuestro comprobador de NIS2.

Lo que tiene sentido que te pregunten

Cada empresa hará su propio cuestionario, pero todos saldrán de lo mismo: las medidas que la ley les exige. Estas son las preguntas que se deducen de ellas, y conviene tener la respuesta antes de que lleguen:

• ¿Usáis doble factor para entrar en nuestros sistemas, en vuestro correo y en vuestros accesos remotos?
• ¿Dónde están vuestras copias de seguridad, quedan fuera del alcance de un ransomware y cuándo probasteis a restaurarlas por última vez?
• ¿Tenéis equipos o servidores sin soporte del fabricante? ¿Cada cuánto aplicáis los parches?
• ¿Quién de vuestra empresa tiene acceso a nuestros datos o sistemas, y cómo se le quita el acceso el día que se va?
• ¿Están cifrados los portátiles y móviles con los que trabajáis con nuestra información?
• Si sufrís un incidente que nos pueda afectar, ¿en cuánto tiempo nos avisaríais y por qué canal?
• ¿Quién es vuestro contacto de seguridad?
• ¿Ha recibido vuestra plantilla formación básica sobre phishing y contraseñas?

La del aviso es la que más pesa

Tu cliente tendrá 24 horas desde que sepa de un incidente grave para mandar la alerta temprana, y 72 horas para la primera evaluación (art. 18.6). Si el incidente empieza en tu casa y tardas tres días en contárselo, le has dejado sin margen. Por eso lo más probable es que el contrato acabe fijando cuántas horas tienes para avisar.

Ten pensado de antemano quién avisa, a quién y con qué datos: qué ha pasado, desde cuándo, qué sistemas toca y qué se está haciendo. Escrito en una hoja, no en la cabeza de una persona que ese día puede estar de vacaciones.

Qué arreglar primero

Si al leer la lista anterior varias respuestas son «no lo sé», este es el orden en el que lo atacaríamos, de lo que más protege y antes se nota a lo que más tiempo lleva:

• Doble factor en el correo, en los accesos remotos y en todo lo que dé entrada a sistemas de clientes. Es barato, se hace en días y es lo primero que mirará cualquier cuestionario.
• Copias fuera del alcance de un ataque y una restauración de prueba con su resultado por escrito. Una copia que nadie ha restaurado no es una respuesta, es una esperanza. Lo explicamos en la regla 3-2-1.
• Equipos sin soporte: localízalos con nuestro catálogo de fechas de fin de soporte y planifica su sustitución.
• La lista de quién tiene acceso a qué, con un procedimiento de baja que se cumpla el mismo día.
• Un contacto de seguridad nombrado y el procedimiento de aviso de incidentes del apartado anterior.

Lo que no hace falta

A un proveedor pequeño nadie razonable le va a exigir una certificación ISO 27001 ni un responsable de seguridad a jornada completa: esas obligaciones son de la empresa afectada, no tuyas. Lo que te pedirán es poder contestar con hechos a preguntas concretas, y en la mayoría de pymes eso se resuelve con unas semanas de trabajo técnico bien hecho, no con una consultoría de meses.

Si quieres saber cómo de lejos estás, en seguridad informática repasamos contigo esas preguntas sobre tu informática real y te damos por escrito qué ya puedes responder y qué falta. La parte contractual y legal, como siempre, es de tu asesor.

Servicios relacionados