NIS2 para proveedores: usted no está designado, pero sus clientes sí

Cómo NIS2 alcanza a un proveedor que nunca fue designado

NIS2 se aplica directamente solo a las organizaciones que clasifica como entidades esenciales o importantes, por sector y tamaño. Si usted no es una de ellas, ninguna autoridad nacional le enviará un requerimiento. Ahí es donde muchos proveedores dejan de leer, y donde empieza el malentendido.

La directiva no regula directamente a los proveedores de sus proveedores. En cambio, hace a cada entidad sujeta responsable del riesgo de ciberseguridad de su propia cadena de suministro (artículo 21, apartado 2, letra d). Para cumplir ese deber, sus clientes deben evaluar, exigir requisitos y supervisar la seguridad de los proveedores de los que dependen. Si usted es uno de ellos, su obligación jurídica se convierte en la suya comercial. Queda implicado de forma indirecta, a través de la relación y no de una designación.

Qué debe hacer su cliente sujeto, y por qué recae en usted

El artículo 21, apartado 2, letra d exige a las entidades esenciales e importantes gestionar la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de la relación entre cada entidad y sus proveedores o prestadores de servicios directos. En la práctica, su cliente debe:

• Identificar qué proveedores son críticos para sus servicios y evaluar el ciberriesgo que cada uno introduce.
• Fijar requisitos de seguridad para esos proveedores e incorporarlos a los contratos y a los acuerdos de tratamiento de datos.
• Verificar que los requisitos se cumplen, no una vez en la incorporación sino de forma continua.
• Responder de los incidentes que se originan en un proveedor, porque según NIS2 una interrupción causada por un proveedor sigue siendo el incidente que el cliente debe gestionar y notificar.
• Demostrar a su autoridad de control que esta supervisión de proveedores ocurre realmente.

Qué le pedirán sus clientes

A medida que esa supervisión madura, las solicitudes que llegan a los proveedores convergen en un conjunto reconocible:

• Un cuestionario de seguridad o autoevaluación, a menudo mapeado a las medidas del artículo 21, apartado 2 o a una norma como ISO 27001.
• Pruebas detrás de las respuestas: políticas, certificados y resultados recientes de pruebas o análisis, en lugar de afirmaciones sin respaldo.
• Una cláusula de notificación de incidentes que le obligue a alertar al cliente con rapidez cuando algo le afecte, para que cumpla sus propios plazos de notificación.
• Requisitos de seguridad contractuales y, para los proveedores críticos, un derecho de auditoría o a solicitar una garantía independiente.
• La aceptación de un monitoreo externo continuo, porque un cuestionario puntual respondido el año pasado ya no satisface una obligación de carácter continuo.

Las medidas del artículo 21, apartado 2 que sus clientes esperan de usted

Aunque el artículo 21, apartado 2 vincula a su cliente y no a usted, sus diez medidas son la plantilla que la mayoría de los compradores reutiliza al fijar requisitos a los proveedores. Conviene poder mostrar, a su escala proporcionada, que aborda cada una:

La notificación de incidentes fluye en ambos sentidos

NIS2 impone a las entidades sujetas un calendario ajustado: una alerta temprana en 24 horas, una notificación más completa en 72 horas y un informe final en un mes (artículo 23). No pueden cumplirlo si un proveedor se guarda una mala noticia. Por eso sus contratos exigen cada vez más que les avise sin demora cuando un incidente afecte, o pueda afectar, a los servicios que les presta.

Para un proveedor no designado, la consecuencia práctica es sencilla: necesita su propio proceso de incidentes, con una escalada interna clara y una forma definida de informar a los clientes afectados, para que un problema de su lado no se convierta en un plazo incumplido del de ellos. Un proveedor que detecta, contiene y comunica bien es mucho más fácil de conservar que uno que se queda callado.

Un requisito que conviene tratar como una ventaja

Es fácil leer todo esto como una carga impuesta por la regulación de otro. Los proveedores que mejor lo hacen lo leen al revés. A medida que más compradores quedan sujetos a NIS2 y endurecen sus controles de cadena de suministro, la capacidad de responder un cuestionario de seguridad con rapidez y con pruebas se convierte en un motivo para ganar y conservar negocio, no en un obstáculo que salvar.

Lo contrario también es cierto y más silencioso: a los proveedores que no pueden demostrar su postura se les descarta cada vez más en las compras, a menudo sin que se les diga por qué. Anticiparse a las preguntas, antes de que un cliente las haga, convierte NIS2 de un coste de cumplimiento en un activo de ventas.

Cómo responder de forma creíble

No necesita convertirse en una entidad esencial de la noche a la mañana. Necesita estar listo para las preguntas y poder respaldar sus respuestas. Una vía proporcionada:

• Conozca primero su propia postura externa: dominios, certificados, autenticación del correo, servicios expuestos y vulnerabilidades conocidas, es decir, lo mismo que examinará la evaluación de un cliente.
• Cierre las brechas habituales que señalan cuestionarios y análisis: imponga TLS 1.2+, publique SPF, DKIM y DMARC, parchee con rapidez, exija MFA y elimine las interfaces de administración expuestas.
• Ponga por escrito lo básico: una política breve de seguridad de la información, un proceso de incidentes y un registro de quién es responsable de la seguridad. La prueba vence a la afirmación.
• Mantenga sus respuestas al día. Trate la garantía como continua, porque cada vez más así la tratan sus clientes.
• Si atiende a compradores más grandes o regulados, considere ISO 27001 o equivalente como atajo reconocido, pero no espere a tenerlo para empezar.

Cómo ayuda norppa.io

norppa.io ofrece a un proveedor no designado la misma visión continua y respaldada por pruebas de su seguridad que un cliente NIS2 espera ver ahora. Sus dominios se comprueban en más de cien puntos de control a diario, los más sensibles cada seis horas, y cada hallazgo se asigna al artículo NIS2 al que corresponde, de modo que puede responder un cuestionario con pruebas actuales en lugar de afirmaciones.

El cuestionario de autoevaluación recoge sus controles de proceso y contractuales, y cada respuesta se contrasta con el perfil técnico en vivo, de modo que cuando el equipo de compras de un cliente pida pruebas, podrá entregar una imagen clara y corroborada en lugar de una hoja de cálculo que era cierta la primavera pasada.