NIS2: cómo saber en diez minutos si le obliga a usted
La directiva europea que ha multiplicado el número de empresas españolas con obligaciones de ciberseguridad. Y el detalle que casi nadie ve: puede alcanzarle por ser proveedor de alguien a quien sí obliga.
NIS2 tiene un problema de comunicación. Suena a cosa de grandes operadores —eléctricas, bancos, hospitales— y por eso la mayoría de las pymes la han archivado mentalmente en «esto no va conmigo».
Va con bastantes más de las que creen. Y, sobre todo, va con muchísimas por la puerta de atrás.
La puerta principal
La directiva distingue entre entidades esenciales e importantes, y cubre sectores que sorprenden a la gente cuando los lee en voz alta: energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, pero también gestión de residuos, fabricación de productos químicos, producción y distribución de alimentos, fabricación de dispositivos médicos, maquinaria, vehículos, servicios postales y proveedores de servicios digitales.
El umbral general es de 50 empleados o 10 millones de euros de facturación, con excepciones que bajan ese listón en algunos sectores críticos.
Ahí ya entran unas cuantas empresas medianas andaluzas que jamás se habían visto como infraestructura crítica.
La puerta de atrás, que es la que importa
Aquí está la parte que casi nadie ve venir. NIS2 obliga a las entidades cubiertas a gestionar la seguridad de su cadena de suministro. Es decir: a exigir a sus proveedores un nivel de seguridad demostrable.
Traducido: si usted le vende software, servicios informáticos, logística, mantenimiento o cualquier cosa a una empresa obligada, esa empresa va a trasladarle a usted los requisitos por contrato, tenga usted cinco empleados o quinientos.
Y no llegará como una carta de la administración. Llegará como un cuestionario de doscientas preguntas del departamento de compras de su mejor cliente, con una fecha límite y la insinuación educada de que la renovación depende de ello.
Es exactamente lo que pasó con el RGPD hace unos años, pero con preguntas técnicas en vez de jurídicas.
Qué exige, en cristiano
Sin entrar en el articulado, las obligaciones se agrupan en:
- Análisis de riesgos y una política de seguridad escrita y aprobada por la dirección.
- Gestión de incidentes, con la capacidad real de detectarlos, y notificación en plazos cortos: un aviso temprano en 24 horas y un informe en 72 horas.
- Continuidad de negocio: copias de seguridad que se restauran de verdad y un plan para seguir funcionando.
- Seguridad de la cadena de suministro: lo que le van a exigir a usted, y lo que usted tendrá que exigir a los suyos.
- Higiene básica: segundo factor, cifrado, control de accesos, gestión de vulnerabilidades y formación.
- Responsabilidad de la dirección, que es la novedad de verdad: los órganos de dirección responden del cumplimiento y deben formarse. Las sanciones pueden alcanzar el 2% de la facturación global en las entidades esenciales.
El test de diez minutos
Hágase estas cuatro preguntas:
- ¿Mi sector aparece en los anexos de la directiva?
- ¿Supero los 50 empleados o los 10 millones de facturación?
- ¿Alguno de mis clientes principales está en un sector cubierto?
- ¿He recibido ya de algún cliente un cuestionario de seguridad más largo de lo normal?
Un sí en la 1 y la 2 significa que le obliga directamente. Un sí en la 3 o en la 4 significa que le va a llegar igual, por contrato, y probablemente antes.
Lo que conviene hacer ya
Lo primero no es comprar nada: es saber dónde está. Un análisis de brecha honesto le dice qué tiene ya cubierto sin saberlo, qué le falta y en qué orden conviene hacerlo para no gastar de más.
Nosotros lo hacemos dentro del security assessment, y el trabajo de adecuación está descrito en RGPD, ENS, NIS2 e ISO 27001. Si tiene un cuestionario de un cliente encima de la mesa y no sabe por dónde cogerlo, llámenos: esa conversación no se cobra.
