Fuera del ámbito de la NIS2, pero sus clientes no: qué se pide a los proveedores

Muchas pequeñas empresas de software, proveedores de TI y consultoras están por debajo del umbral de tamaño de la NIS2. Sus clientes, a menudo, no. El artículo 21.2.d) obliga a las organizaciones incluidas en el ámbito de aplicación a abordar la seguridad en sus relaciones con los proveedores directos, y el artículo 21.3 les indica que tengan en cuenta las vulnerabilidades de cada proveedor, la calidad de sus productos y sus prácticas de seguridad, incluido el desarrollo seguro.

Lo que suelen preguntar los clientes

• ¿Dispone de una política de seguridad de la información aprobada por la dirección?
• ¿Se exige la autenticación multifactor a todo el personal con acceso a nuestros sistemas o datos?
• ¿Con qué rapidez nos notificará un incidente y por qué canal?
• ¿Cómo gestiona las vulnerabilidades de sus productos y aplica los parches a su infraestructura?
• ¿Prueba sus copias de seguridad? ¿Qué tiempos de recuperación puede comprometerse a cumplir?
• ¿Dispone de la certificación ISO/IEC 27001 o equivalente, o podemos auditarle?
• ¿Qué subcontratistas tratan nuestros datos y dónde?

Cláusulas contractuales previsibles

El Reglamento de Ejecución (UE) 2024/2690 enumera lo que deben cubrir, cuando proceda, los contratos con proveedores: requisitos de seguridad, formación y verificación de antecedentes del personal, notificación de incidentes sin dilación indebida, derecho de auditoría o de recibir informes de auditoría, gestión de vulnerabilidades, normas de subcontratación, y devolución y supresión de los datos al finalizar la relación. En Estonia, los clientes también deben asegurarse de que los proveedores que alojan u operan sus sistemas les notifiquen los incidentes en un plazo de 24 horas.

Cómo responder bien

Las respuestas honestas y concretas valen más que las políticas extensas. Indique lo que ya tiene implantado hoy y lo que está previsto, con fecha. Exagerar los controles genera responsabilidad contractual cuando algo sale mal.

Nuestra evaluación NIS2 detecta cuándo es usted un proveedor y no una entidad incluida en el ámbito de aplicación, y genera una declaración de seguridad para clientes que solo recoge los controles que confirman sus respuestas, y muestra el resto como mejoras en curso.