NIS2 para proveedores de TI: qué te pedirán los clientes

NIS2 es la Directiva (UE) 2022/2555. Una directiva no obliga directamente a las empresas: cada Estado miembro la transpone a su propia ley y designa su autoridad competente y su CSIRT. El ámbito, los plazos y las sanciones pueden cambiar de un país a otro, y un Estado puede ir más allá de la directiva (artículo 5). Comprueba la ley de tu país y, si tus clientes están en otros Estados miembros, también la suya.

En España, comprueba en el BOE si la ley de transposición ya está en vigor y qué autoridad es la competente. INCIBE-CERT tiene una página sobre NIS2.

La directiva se aplica a las entidades de los tipos de sus anexos I y II que sean medianas empresas o mayores (artículo 2, apartado 1). La línea, por tanto, es el límite de la pequeña empresa: menos de 50 personas y un volumen de negocios o un balance general anual de hasta 10 millones de euros (Recomendación 2003/361/CE).

Antes de concluir que no te afecta, revisa tres casos:

• Gestionas sistemas de tus clientes, aunque sea a distancia, y eres una mediana empresa o mayor. Los «proveedores de servicios gestionados» y los «proveedores de servicios de seguridad gestionados» están en el anexo I, sector 9, «Gestión de servicios de TIC (de empresa a empresa)». La definición (artículo 6, punto 39) abarca la instalación, la gestión, la explotación o el mantenimiento de productos, redes, infraestructuras o aplicaciones de TIC, «en las instalaciones de los clientes o a distancia». En el anexo I, una entidad que supera los límites de la mediana empresa es esencial; una mediana empresa, importante (artículo 3).
• Tu Estado miembro te ha identificado con independencia de tu tamaño, por ejemplo porque eres el único proveedor de un servicio esencial en ese país o porque una interrupción de tu servicio podría causar un riesgo sistémico significativo (artículo 2, apartado 2, letras b) a e)).
• La ley de tu país abarca más que la directiva. La directiva lo permite (artículo 5): lee el texto nacional, no solo la directiva.

Si no estás en ninguno de estos casos, NIS2 no te impone obligaciones directas. Pero si entre tus clientes hay entidades esenciales o importantes, sus obligaciones sobre los proveedores se convierten en peticiones para ti.

El artículo 21 exige a las entidades NIS2 medidas para la gestión de riesgos de ciberseguridad que incluyan, como mínimo, en el apartado 2, letra d):

«la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos»

Y el apartado 3 dice cómo valorarlas: los Estados miembros velarán por que,

«al estudiar la idoneidad de las medidas a que se refiere el apartado 2, letra d), del presente artículo, las entidades tengan en cuenta las vulnerabilidades específicas de cada proveedor y prestador de servicios directo y la calidad general de los productos y las prácticas en materia de ciberseguridad de sus proveedores y prestadores de servicios, incluidos sus procedimientos de desarrollo seguro.»

El artículo 20 pide que los órganos de dirección de las entidades NIS2 aprueben estas medidas, supervisen su puesta en práctica y respondan por los incumplimientos. Por eso tu cliente no puede conformarse con una garantía de palabra: tiene que poder demostrar qué pidió a sus proveedores y cómo lo comprobó.

Cuando hay un incidente significativo, el cliente debe enviar a su CSIRT o a su autoridad competente una alerta temprana en las 24 horas siguientes a tener constancia de él, una notificación del incidente en 72 horas y un informe final a más tardar un mes después de esa notificación (artículo 23; los tres plazos se explican en la página NIS2). Si el incidente empieza en un sistema que gestionas tú, esas 24 horas dependen también de lo rápido que le avises.

Para algunos tipos de entidad, la Comisión ha detallado las medidas en el Reglamento de Ejecución (UE) 2024/2690: proveedores de servicios de DNS, registros de nombres de dominio de primer nivel, proveedores de computación en nube, de centros de datos y de redes de distribución de contenidos, proveedores de servicios gestionados, proveedores de servicios de seguridad gestionados, mercados en línea, motores de búsqueda en línea, plataformas de redes sociales y prestadores de servicios de confianza. Un reglamento se aplica directamente en todos los Estados miembros. Si eres un proveedor de servicios gestionados dentro del ámbito de NIS2, se te aplica a ti; si tu cliente es una de esas entidades, estas son las cláusulas que debe plantearse para tu contrato. Las demás entidades NIS2 siguen las medidas que fijen su ley y su autoridad nacionales, que pueden formularse de otra manera.

El punto 5.1.4 de su anexo enumera lo que especifican, según se requiera, los contratos con proveedores y prestadores de servicios:

El punto 5.2 pide además un registro actualizado de los proveedores y prestadores de servicios directos, con un punto de contacto para cada uno y los productos, servicios y procesos de TIC que proporciona. Los puntos 5.1.6 y 5.1.7 piden al cliente revisar periódicamente las prácticas de sus proveedores: seguir los informes de los acuerdos de nivel de servicio, revisar los incidentes relacionados con sus productos y servicios y documentar lo que encuentre.

Ese «según se requiera» importa: el cliente elige qué requisitos te traslada según lo que le suministras. Cuenta con peticiones distintas de un cliente a otro.

Las medidas se convierten en preguntas como estas, en un cuestionario o en un anexo del contrato:

• ¿Qué sistemas nuestros gestionáis, y con qué nivel de acceso?
• ¿Quién accede, con cuentas nominativas o compartidas? ¿Hay autenticación de dos factores? ¿Cómo revocáis el acceso a quien se va?
• ¿Cómo gestionáis las vulnerabilidades y las actualizaciones de seguridad, y con qué evidencias?
• ¿Registráis y monitorizáis los eventos de seguridad en los sistemas que gestionáis? ¿Cuánto tiempo los conserváis?
• Si hay un incidente, ¿en cuánto tiempo nos avisáis, y con qué información?
• ¿Qué subcontratistas usáis (hosting, herramientas, servicios en la nube), y dónde tratan los datos?
• ¿Qué pasa con los datos y los accesos al terminar el contrato?

No existe un certificado de «proveedor NIS2». Ponerse en regla significa poder responder a esas preguntas con hechos y documentos, cliente por cliente:

1. Haz un mapa de tus clientes NIS2 y, para cada uno, de los sistemas que gestionas y tu nivel de acceso. Es la base de su registro de proveedores (punto 5.2).
2. Ordena los accesos: cuentas nominativas, claves SSH en lugar de contraseñas, autenticación de dos factores en paneles y consolas, revocación inmediata cuando alguien se va.
3. Actualiza con método: una lista de vulnerabilidades abiertas por servidor, plazos de corrección y la prueba de qué se aplicó y cuándo.
4. Registra y conserva los eventos de los servidores que gestionas, para poder reconstruir un incidente.
5. Escribe el procedimiento de incidentes, con un plazo para avisar al cliente compatible con sus 24 horas y los contactos de ambas partes.
6. Haz la lista de tus subcontratistas, con el país donde trata los datos cada uno.
7. Acuerda las cláusulas de seguridad del contrato y prevé la revisión periódica que el cliente tiene que hacer y documentar (puntos 5.1.6 y 5.1.7).

InfraFence cubre una parte de este trabajo en los servidores Linux que gestionas, y te da las evidencias que mostrar al cliente:

• Eventos y cronología por servidor: ataques, baneos, accesos SSH, archivos modificados y cada acción hecha por una persona o por AutoMode, con aprobaciones y la opción de deshacerla.
• Vulnerabilidades y hardening: comprobaciones de hardening, vulnerabilidades (CVE) de los paquetes instalados y una puntuación de seguridad por servidor, con un informe mensual.
• Accesos al panel: autenticación de dos factores para cada usuario y un registro de actividad.
• Incidentes: a partir de los eventos, borradores de la alerta temprana, la notificación del incidente y el informe final para revisar y completar (planes Pro y AutoMode). Los envía siempre la entidad NIS2, nunca InfraFence.
• Un subcontratista documentado: InfraFence lo gestiona ComCart Srl, una empresa italiana; el panel y los datos están en Alemania. Qué lee y qué envía el agente se describe en la página de Seguridad, que puedes reenviar al cliente.

No cubre el resto: los sistemas en los que el agente no se ejecuta, los procesos, las personas, los contratos. No decide si un incidente es significativo, no envía nada a ninguna autoridad ni a ningún CSIRT, y usarlo no te hace cumplir la norma: te ayuda a demostrar lo que haces en los servidores.

• Directiva (UE) 2022/2555 (NIS2), en EUR-Lex: artículos 2, 3, 5, 6, 20, 21 y 23, y anexo I.
• Reglamento de Ejecución (UE) 2024/2690 de la Comisión, en EUR-Lex: artículo 1 y anexo, puntos 5.1 y 5.2.
• Recomendación 2003/361/CE de la Comisión, en EUR-Lex: la definición de microempresas, pequeñas y medianas empresas.
• ENISA, la Directiva NIS2 (en inglés).
• INCIBE-CERT, NIS2: lo que necesitas saber.