Si has recibido hace poco un cuestionario de ciberseguridad de un cliente o un contrato con una cláusula que menciona la Directiva NIS 2, no eres el único. Esta normativa europea se ha convertido en una nueva realidad para muchas empresas, y no solo para las grandes.
El motivo es sencillo: los ciberataques rara vez entran por la puerta principal. Con frecuencia llegan a través de un proveedor con menos protección. Por eso los requisitos de ciberseguridad están descendiendo por la cadena de suministro.
La buena noticia es que, con información clara y un plan realista, es un reto totalmente abordable.
¿Qué es la Directiva NIS 2 y por qué afecta a los proveedores?
La directiva NIS 2 (Directiva UE 2022/2555) es la norma europea que busca elevar el nivel de ciberseguridad de las organizaciones que prestan servicios esenciales o importantes para la economía y la sociedad. Sustituye a la primera directiva NIS, amplía los sectores incluidos y exige medidas más concretas de gestión de riesgos y notificación de incidentes.
¿Y por qué afecta a los proveedores?
Porque obliga a las empresas incluidas a gestionar también los riesgos de su cadena de suministro. Una gran empresa obligada no puede limitarse a proteger sus propios sistemas: debe asegurarse de que quienes le suministran productos o servicios, o acceden a su información, cumplan unos mínimos.
Para ello traslada exigencias a sus proveedores mediante cuestionarios, cláusulas contractuales o auditorías.
Sectores obligados por la Directiva NIS 2
La directiva distingue dos grandes grupos de sectores:
- Sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable y residual, infraestructura digital, gestión de servicios TIC para empresas, administración pública y espacio.
- Otros sectores críticos: servicios postales y de mensajería, gestión de residuos, productos químicos, alimentación, fabricación (por ejemplo, maquinaria, vehículos, electrónica o productos sanitarios), proveedores digitales (mercados en línea, buscadores, redes sociales) e investigación
Con carácter general, se aplica a empresas medianas y grandes de estos sectores. Pero conviene tener claro algo importante: aunque tu empresa no esté directamente obligada, puede recibir requisitos de sus clientes. Si suministras software, transporte, mantenimiento, materiales o servicios a una organización de estos sectores, es muy probable que te pida garantías de ciberseguridad.
Requisitos básicos de ciberseguridad que pueden exigir las grandes empresas
Aunque el lenguaje de los requerimientos basados en la Directiva NIS 2 puede resultar intimidante, las medidas suelen ser de sentido común y proporcionadas al tamaño y al riesgo de cada empresa. Las más habituales son:
- Gestión de riesgos: saber qué información y qué sistemas son importantes, qué amenazas los afectan y qué se hace para protegerlos.
- Control de accesos: que cada persona acceda solo a lo que necesita para trabajar, con contraseñas robustas y verificación en dos pasos.
- Respuesta ante incidentes: tener claro qué hacer, a quién avisar y en qué plazo si se produce un ataque, una pérdida de datos o una interrupción del servicio.
- Continuidad de negocio: disponer de copias de seguridad comprobadas y de un plan para seguir operando si algo falla.
- Seguridad en la cadena de suministro: evaluar también a tus propios proveedores, especialmente los que acceden a tus sistemas o datos.
- Formación del personal: enseñar al equipo a reconocer correos fraudulentos y a actuar con prudencia.
No se espera que una pyme tenga el nivel de protección de un banco, sino que demuestre que gestiona sus riesgos de forma ordenada y razonable.
¿Qué hacer si un cliente te exige cumplir con la Directiva NIS 2?
Lo primero es mantener la calma. Recibir un requerimiento no significa que vayas a perder el cliente. Un enfoque práctico puede ser este:
- Revisa el requerimiento con detalle. Identifica qué te piden exactamente, en qué plazo y qué evidencias esperan: un cuestionario, una declaración, una certificación o medidas concretas.
- Resuelve las dudas con el cliente. Si algo no está claro, pregunta. Muchas veces el alcance real es menor de lo que parece.
- Analiza tu situación actual. Anota qué haces ya: copias de seguridad, antivirus, política de contraseñas, protocolos ante incidentes, formación…
- Identifica las brechas. Compara lo que tienes con lo que se te pide y detecta qué falta.
- Responde con un plan. Un cliente suele valorar mejor una empresa que conoce sus carencias y tiene un plan de mejora creíble que una que no sabe por dónde empezar.
Una evaluación de brechas como primer paso
La evaluación de brechas (o gap analysis) es un análisis inicial que compara la situación de tu empresa con los requisitos que te exigen. Normalmente incluye la revisión de la documentación y las políticas existentes, de las medidas técnicas y organizativas ya implantadas, y entrevistas con las personas responsables de los sistemas y los procesos.
El resultado es una fotografía clara: qué medidas ya están implantadas, cuáles faltan y cuáles son prioritarias. A partir de ahí se define un plan de adaptación realista, con acciones concretas, responsables y plazos ajustados a los recursos de la empresa.
Así evitas invertir en medidas innecesarias y puedes responder al cliente con información real y un calendario de mejora, en lugar de con promesas generales.
Un requisito de ciberseguridad no tiene por qué dejar a una empresa fuera de la cadena de suministro. Si se actúa con antelación, se conoce el punto de partida y se cuenta con un plan de adaptación adecuado, cumplir con la Directiva NIS 2 es perfectamente posible.
Si tu empresa ha recibido requisitos relacionados con la Directiva NIS 2, o crees que los recibirá pronto, en EQM Consulting podemos ayudarte. Realizamos una evaluación inicial de tu situación para identificar qué medidas te faltan y diseñar un plan de adaptación a tu medida. Contacta con nosotros y da el primer paso con seguridad.
