NIS2: cómo saber en diez minutos si le obliga a usted
La directiva europea que ha multiplicado el número de empresas españolas con obligaciones de ciberseguridad. Y el detalle que casi nadie ve: puede alcanzarle por ser proveedor de alguien a quien sí obliga.
NIS2 tiene un problema de comunicación. Suena a cosa de grandes operadores, de eléctricas, bancos y hospitales, y por eso la mayoría de las pymes la han archivado mentalmente en «esto no va conmigo».
Va con bastantes más de las que creen. Y sobre todo, va con muchísimas por la puerta de atrás.
La puerta principal
La directiva distingue entre entidades esenciales e importantes, y cubre sectores que sorprenden a la gente cuando los lee en voz alta. Están los previsibles: energía, transporte, banca, sanidad, agua, infraestructura digital y administración pública. Y están los otros, que son los que pillan a todo el mundo desprevenido: gestión de residuos, fabricación de productos químicos, producción y distribución de alimentos, dispositivos médicos, maquinaria, vehículos, servicios postales y proveedores de servicios digitales.
El umbral general son 50 empleados o 10 millones de euros de facturación, con excepciones que bajan ese listón en algunos sectores críticos. Ahí ya entran unas cuantas empresas medianas andaluzas que jamás se habían visto a sí mismas como infraestructura crítica.
La puerta de atrás, que es la que importa
Aquí está la parte que casi nadie ve venir. NIS2 obliga a las entidades cubiertas a gestionar la seguridad de su cadena de suministro, o sea, a exigirle a sus proveedores un nivel de seguridad que se pueda demostrar.
Traducido: si usted le vende software, servicios informáticos, logística, mantenimiento o cualquier otra cosa a una empresa obligada, esa empresa va a trasladarle los requisitos por contrato. Da igual que tenga usted cinco empleados o quinientos.
Y no le llegará como una carta de la administración. Le llegará como un cuestionario de doscientas preguntas del departamento de compras de su mejor cliente, con una fecha límite y la insinuación educada de que la renovación depende de ello. Es exactamente lo que pasó con el RGPD hace unos años, pero con preguntas técnicas en vez de jurídicas.
Qué exige, en cristiano
Sin entrar en el articulado, las obligaciones se agrupan en seis bloques.
Hay que hacer un análisis de riesgos y tener una política de seguridad escrita y aprobada por la dirección. Hay que gestionar incidentes, lo que implica ser capaz de detectarlos de verdad y notificarlos en plazos cortos: un aviso temprano en 24 horas y un informe en 72. Hay que garantizar la continuidad del negocio, con copias de seguridad que se restauran y un plan para seguir funcionando mientras se arregla el desastre. Hay que ocuparse de la cadena de suministro, que es lo que le van a exigir a usted y también lo que usted tendrá que exigirle a los suyos. Hay que cubrir la higiene básica: segundo factor, cifrado, control de accesos, gestión de vulnerabilidades y formación.
Y luego está la novedad de verdad, que es la responsabilidad de la dirección. Los órganos de dirección responden del cumplimiento y tienen que formarse. Las sanciones pueden llegar al 2% de la facturación global en las entidades esenciales, y eso es lo que hace que la conversación cambie de tono en cuanto llega al consejo.
El test de diez minutos
Hágase estas cuatro preguntas:
- ¿Mi sector aparece en los anexos de la directiva?
- ¿Supero los 50 empleados o los 10 millones de facturación?
- ¿Alguno de mis clientes principales está en un sector cubierto?
- ¿He recibido ya de algún cliente un cuestionario de seguridad más largo de lo normal?
Un sí en la primera y la segunda significa que le obliga directamente. Un sí en la tercera o la cuarta significa que le va a llegar igual, por contrato, y probablemente antes.
Lo que conviene hacer ya
Lo primero no es comprar nada. Es saber dónde está. Un análisis de brecha honesto le dice qué tiene ya cubierto sin saberlo, qué le falta y en qué orden conviene hacerlo para no gastar de más.
Nosotros lo hacemos dentro del security assessment, y el trabajo de adecuación está descrito en RGPD, ENS, NIS2 e ISO 27001. Si tiene un cuestionario de un cliente encima de la mesa y no sabe por dónde cogerlo, llámenos. Esa conversación no se cobra.
