Una de las claves de la Directiva NIS2 es que la ciberseguridad ya no se analiza únicamente dentro de cada organización. También se presta atención a las empresas, servicios y tecnologías de las que depende para funcionar.
La propia NIS2 incluye entre las medidas de gestión del riesgo la seguridad de la cadena de suministro, teniendo en cuenta específicamente la relación de las organizaciones afectadas con sus proveedores directos y prestadores de servicios. Eur-Lex
Por eso una pyme puede encontrarse con nuevas exigencias de seguridad incluso cuando ella misma no se encuentre directamente dentro del ámbito de aplicación de la normativa.
INCIBE lo explica expresamente: determinadas pymes que suministran servicios, sistemas o productos a entidades afectadas por NIS2 pueden verse implicadas de forma indirecta. Entre los ejemplos menciona proveedores de almacenamiento y tratamiento de datos, servicios de seguridad gestionada o desarrolladores de software.
¿Qué cambia con NIS2 en la relación entre empresas y proveedores?
Imaginemos una empresa del sector sanitario, energético, financiero o de infraestructuras digitales que depende de varios proveedores para desarrollar su actividad.
Puede tener contratado un servicio cloud, una empresa de soporte informático, una solución de comunicaciones, un proveedor de software o una compañía que gestiona determinados sistemas.
Aunque su propia infraestructura esté correctamente protegida, una vulnerabilidad en alguno de esos terceros puede convertirse en una vía de entrada o provocar una interrupción del servicio.
¿Qué puede empezar a pedir un cliente a una pyme proveedora?
No todas las organizaciones van a solicitar exactamente lo mismo. Dependerá del servicio prestado, de la información a la que se tenga acceso y del nivel de riesgo asociado.
Pero cada vez será más normal encontrarse preguntas relacionadas con aspectos como estos:
| Área | Qué puede necesitar conocer el cliente |
|---|---|
| Accesos | Quién accede a sus sistemas y cómo se autentica |
| Usuarios | Cómo se crean, modifican y eliminan permisos |
| Dispositivos | Qué equipos tienen acceso a información o servicios |
| Actualizaciones | Cómo se gestionan parches y vulnerabilidades |
| Backup | Qué información se copia y cómo puede recuperarse |
| Continuidad | Qué ocurre si un sistema o servicio deja de funcionar |
| Incidentes | Cómo se detectan y comunican problemas de seguridad |
| Personal | Qué medidas básicas de concienciación existen |
| Proveedores | Qué terceros intervienen a su vez en el servicio |
Significa poder demostrar que existe cierto control sobre la tecnología utilizada para prestar el servicio.
¿Qué debería revisar ahora una pyme que trabaja como proveedor?
Una revisión inicial puede centrarse en:
1. ¿Sabemos quién tiene acceso a qué?
Usuarios, administradores, proveedores externos y antiguos empleados deberían estar identificados.
2. ¿Tenemos protegidos los accesos importantes?
Especialmente correo, cloud, VPN, aplicaciones empresariales y cuentas administrativas.
3. ¿Podemos recuperar nuestra información?
Tener backup es importante. Saber cuánto tardaríamos en recuperar la actividad lo es todavía más.
4. ¿Conocemos nuestros dispositivos y servicios críticos?
Ordenadores, móviles, redes, aplicaciones y servicios cloud deberían estar identificados.
5. ¿Sabemos qué hacer ante un incidente?
Quién interviene, cómo se aísla el problema, cómo se recupera la actividad y a quién debe notificarse.
6. ¿Dependemos a su vez de otros proveedores?
Porque la cadena de suministro no termina necesariamente en nuestra empresa.
Estas preguntas no sustituyen a un análisis de cumplimiento, pero ayudan a descubrir rápidamente dónde existen dependencias o riesgos tecnológicos que conviene ordenar.
Por tanto, tener organizada la seguridad ya no sirve únicamente para reducir riesgos.
También puede facilitar: la homologación como proveedor, la respuesta a cuestionarios de seguridad, la renovación de contratos o la participación en procesos donde el cliente necesita conocer mejor su cadena tecnológica.
La pregunta puede dejar de ser únicamente “¿cuánto cuesta este proveedor?” para incorporar otra igual de importante: “¿qué riesgo supone depender de él?”
Descubre más contenido de TIC junto a Proyecta TIC, tecnologías de la información y comunicación para tu negocio!
Síguenos en Linkedin para estar al día de todas las novedades.