NIS2: la cadena de suministro también le afecta

Uno de sus clientes regulados le envía un cuestionario de seguridad de proveedor de doce páginas sobre su política de contraseñas, su plan de continuidad y sus propios subcontratistas. Usted nunca ha pensado que NIS2 pudiera aplicarse a su estructura, y un cálculo rápido confirma que está lejos de sus umbrales. El cuestionario llega igualmente, y condiciona la renovación del contrato.

No es un error del cliente. Es el mecanismo por el que NIS2 alcanza a empresas que no regula directamente — y va a repetirse con otros clientes en los próximos meses.

¿Por qué se preocupa un cliente regulado por la seguridad de usted?#

Porque la directiva se lo impone. El artículo 21 de la directiva (UE) 2022/2555 — NIS2 — enumera los ámbitos de medidas de gestión de riesgos que una entidad regulada debe aplicar, y la seguridad de la cadena de suministro forma parte de ellos. En concreto, la entidad regulada debe tener en cuenta las vulnerabilidades propias de cada uno de sus proveedores directos y la calidad de sus prácticas de ciberseguridad — no solo las suyas.

Antes de seguir, el test de las tres preguntas — sector, tamaño, excepciones — está detallado en ¿Estoy en el ámbito de NIS2?.

Un prestador informático no es un proveedor como cualquier otro para ese cálculo. Tiene accesos de administrador sobre la infraestructura del cliente, a menudo con credenciales estables y con visibilidad sobre varios sistemas a la vez. El ejemplo que más se cita sigue siendo el ataque de 2021 contra el editor Kaseya: su software de supervisión remota, utilizado por empresas de servicios gestionados para administrar a sus propios clientes, sirvió de puerta de entrada para propagar un ransomware en cascada — en empresas que no tenían ellas mismas ninguna relación directa con Kaseya. Es exactamente el escenario que el artículo 21 pide a una entidad regulada que anticipe en sus proveedores.

¿Quién está realmente sujeto a NIS2?#

Dos criterios acumulativos: el sector de actividad y el tamaño. Los anexos I y II de la directiva establecen una lista cerrada de sectores — energía, salud, transporte, banca, infraestructuras digitales, gestión de residuos, industria y una decena más. Una empresa fuera de esos sectores no entra en el ámbito, sea cual sea su tamaño.

Para las que están en un sector listado, el artículo 2 añade un segundo filtro: hay que alcanzar al menos el tamaño de mediana empresa en el sentido de la recomendación europea 2003/361/CE — en la práctica, al menos 50 empleados, o más de 10 millones de euros a la vez de volumen de negocio y de balance anual. Por debajo, la empresa queda fuera del ámbito, salvo excepciones concretas previstas en el texto (proveedor único en un Estado miembro, operador de red pública, etc.).

Las empresas de servicios gestionados no son un punto ciego del texto: el anexo I nombra expresamente, en la categoría que cubre la gestión de servicios TIC entre empresas, a los proveedores de servicios gestionados (MSP) y a los proveedores de servicios de seguridad gestionados (MSSP) como entidades afectadas.

Entonces, ¿por qué una agencia de 15 personas está afectada igualmente?#

No lo está en el sentido del artículo 2 — y hay que decirlo sin rodeos, porque una agencia que comprueba el texto y se descubre por debajo de los umbrales va a desconfiar, con razón, de todo lo demás si antes se le ha afirmado lo contrario.

Los MSP entran en el ámbito de NIS2 como categoría — el anexo I los nombra expresamente, junto a los proveedores de servicios de seguridad gestionados. Pero los umbrales de tamaño del artículo 2 — al menos 50 empleados, o más de 10 millones de euros a la vez de volumen de negocio y de balance — dejan a la mayoría de las agencias fuera del ámbito de aplicación directa. Están afectadas por otra vía: las obligaciones de diligencia sobre la cadena de suministro que la directiva impone a sus clientes regulados (artículo 21), no por la propia directiva.

Es esa distinción la que explica el cuestionario del principio de este artículo. El cliente no le pide que se conforme a NIS2 — la directiva no se dirige a usted. Le pide que le aporte la prueba de que usted no va a ser el eslabón débil del que depende su propia conformidad.

En Francia, una señal adicional confirma que el asunto ya está operativo del lado de los clientes: la ANSSI invita ya a las futuras entidades esenciales e importantes a darse a conocer en su portal MonEspaceNIS2, sin esperar al final de la transposición. Sus clientes regulados no están descubriendo la directiva, llevan dentro de ella un tiempo — y avanzan en sus propias obligaciones, incluida la que le afecta a usted.

¿Qué le va a pedir concretamente un cliente regulado?#

Tres cosas, casi siempre en este orden. Un cuestionario de seguridad de proveedor, al inicio de la relación y después en la renovación — contraseñas, MFA, copias de seguridad, gestión de incidentes, subcontratistas que usted mismo emplea. Una cláusula contractual que le obligue en materia de seguridad y de notificación en caso de un incidente suyo que afecte a sus datos. Y, para los clientes más avanzados en su propia puesta en conformidad, un derecho de auditoría o la posibilidad de pedir pruebas puntuales.

Nada de eso es opcional para el cliente: es él quien debe documentar, ante su propio regulador, que ha evaluado la seguridad de sus proveedores críticos. Si no puede responder por usted, no puede responder por sí mismo.

¿Cómo responder de una vez para toda su cartera, en lugar de cliente por cliente?#

Construyendo un único expediente de pruebas, reutilizable, en lugar de rellenar cada cuestionario desde cero. Las preguntas se solapan de un cliente regulado a otro — casi todos preguntan lo mismo sobre el MFA, la copia de seguridad y la gestión de incidentes, con un vocabulario distinto. La respuesta correcta no es tratar cada cuestionario como una investigación nueva, sino mantener al día, de forma continua, el estado real de sus prácticas y de las que opera para sus clientes — para no volver a partir nunca de una página en blanco cuando llegue el siguiente.

Es también el momento de tratar a su propia agencia como trata a sus clientes pymes: un diagnóstico de su madurez, un plan de acción sobre las carencias, y un expediente que aguante frente a un cliente que hace preguntas precisas.

Vigicap ofrece ese diagnóstico — los mismos objetivos del referencial ANSSI ReCyF que usted pasa a sus clientes, aplicados esta vez a su propia estructura, durante el periodo de prueba gratuito.