NIS2

NIS2 sustituyó a la primera directiva de seguridad de las redes y sistemas de información y la amplió mucho, en alcance, en sectores y en consecuencias. Hay tres cosas que determinan si se te aplica: tu sector, tu tamaño y si un Estado miembro te ha designado expresamente.

La directiva enumera sectores de alta criticidad y otros sectores críticos, que cubren energía, transporte, banca, infraestructuras de los mercados financieros, salud, agua potable y aguas residuales, infraestructura digital, gestión de servicios de tecnologías de la información y las comunicaciones, administración pública, espacio, servicios postales, gestión de residuos, productos químicos, alimentación, fabricación de determinados productos, proveedores digitales e investigación. Las entidades se clasifican después como esenciales o importantes, en buena medida por sector y por tamaño, y las dos clases tienen las mismas obligaciones con supervisión distinta: las esenciales se supervisan de forma proactiva y las importantes sobre todo después de que pase algo.

El artículo 21 fija las medidas de gestión de riesgos, y se lee como una lista de fundamentos de seguridad y no como una norma técnica: análisis de riesgos y políticas de seguridad de los sistemas de información, gestión de incidentes, continuidad de negocio y gestión de crisis, seguridad de la cadena de suministro, seguridad en la adquisición, el desarrollo y el mantenimiento, políticas para evaluar la eficacia de las medidas, higiene cibernética básica y formación, criptografía, seguridad de los recursos humanos y control de acceso, y autenticación multifactor o continua junto con comunicaciones seguras.

El artículo 23 fija el calendario de notificación, y es la parte que más sorprende: una alerta temprana en las veinticuatro horas siguientes a tener conocimiento de un incidente significativo, una notificación del incidente en setenta y dos horas y un informe final en un mes. El artículo 20 hace responsables a los órganos de dirección de aprobar y supervisar las medidas y les exige formación, que es la cláusula que cambia quién asiste a la reunión.

El primer fallo es decidir el alcance por intuición. Las organizaciones concluyen que están fuera porque no son infraestructura crítica de forma evidente, cuando la lista de sectores incluye fabricación, alimentación, residuos, servicios postales y proveedores de servicios gestionados. La determinación es un ejercicio jurídico contra la transposición nacional, y conviene documentarla una vez con su razonamiento, porque los supervisores preguntan cómo se llegó a esa conclusión.

El segundo es la cadena de suministro. El artículo 21 exige seguridad en las relaciones con proveedores, lo que significa que una entidad dentro del alcance empuja obligaciones a proveedores que no lo están. En la práctica así es como NIS2 se extiende por la economía, y por eso organizaciones que están fuera reciben igualmente cuestionarios y cláusulas de contrato.

El tercero es el reloj de las veinticuatro horas. Empieza cuando tienes conocimiento, y el conocimiento no es un concepto neutro: una organización sin capacidad de detección se entera tarde, lo que es cómodo justo hasta que un supervisor pregunta cuánto tiempo llevaba dentro el intruso. La consecuencia práctica es que un deber de notificar implica un deber de detectar, y es la razón de que la inversión en vigilancia se pueda justificar en términos regulatorios y no técnicos.

El cuarto es tratarlo como un ejercicio de documentación. La directiva exige políticas para evaluar la eficacia de las medidas, lo que significa evidencia de que los controles funcionan, no evidencia de que existen. Ahí es donde entran las pruebas: un inventario de controles no es evidencia de eficacia, y un supervisor tiene derecho a preguntar por la diferencia.

Las organizaciones españolas caen con frecuencia bajo más de uno de estos y tres proveedores distintos les dicen que cada uno es la prioridad. Se solapan en el fondo y se diferencian en la forma jurídica.

La recomendación práctica para una organización que esté en más de uno: construye un solo conjunto de controles y mapéalo tres veces. Las medidas se solapan mucho, la evidencia es en buena parte reutilizable, y las diferencias están en los canales de notificación, en los plazos y en quién supervisa. Llevar tres programas separados es el error más común y más caro de todo esto. DORA es el más estricto en pruebas, así que donde se aplica tiende a fijar el listón para los demás.

Dar por hecho que estás fuera del alcance sin mirar la transposición nacional. La lista de sectores es más ancha de lo que casi todo el mundo espera, y la determinación ocurre en la ley nacional.

Tratarlo como un proyecto de papeleo. Hay que evaluar la eficacia, y eso significa medir.

Ignorar la cláusula de cadena de suministro hasta que un cliente manda el cuestionario. Para entonces las respuestas son compromisos contractuales tomados con prisa.

Planificar el calendario de notificación sin capacidad de detección. El reloj arranca al tener conocimiento, y tener conocimiento exige vigilancia.

Dejar fuera al órgano de dirección. La directiva le pone el deber encima de forma explícita, formación incluida, y un supervisor va a buscar evidencia de las dos cosas.

Determina el alcance de forma formal y por escrito, contra la transposición nacional que se te aplique, y deja anotado el razonamiento. Haz lo mismo con cada entidad de un grupo, porque el alcance se determina por entidad y los grupos contienen con frecuencia empresas dentro y fuera.

Mapea el artículo 21 contra los controles que ya tienes. La mayoría de las organizaciones con un SGSI en marcha están más avanzadas de lo que creen, porque las medidas recorren terreno conocido. Un conjunto de controles de ISO 27001 es un mapa de partida razonable, siempre que no afirmes que el certificado responde por sí solo a la directiva.

Arregla el proceso de incidentes contra el reloj real. Quién decide que un incidente es significativo, quién notifica, por qué canal nacional y qué hay disponible en veinticuatro horas. Ensáyalo, porque el primer intento de notificar en veinticuatro horas durante un incidente real no es el momento de descubrir quién tiene las credenciales del portal de notificación.

Y genera la evidencia de eficacia a propósito: pruebas, ejercicios y un registro de lo que se encontró y de lo que cambió. Un informe de pentesting con su registro de corrección al lado es exactamente la clase de artefacto que esto pide, y es mucho más fácil de producir de forma continua que a posteriori.

Traslada los requisitos a tus proveedores con la misma seriedad con la que querrías que te los trasladaran a ti, y guarda la evidencia que recibas, porque tu propia supervisión va a preguntar por ella.

Los supervisores y los clientes hacen un conjunto de preguntas bastante constante: cómo se determinó el alcance, cuáles son las medidas, cómo se evalúa su eficacia, qué pasó en el último incidente y con qué rapidez se notificó, y cómo se gestiona el riesgo de proveedores.

La evidencia que responde a la pregunta de la eficacia son pruebas con un rastro de corrección: qué se probó, cuándo, quién, qué se encontró, qué se arregló y qué mostró el retest. Estructuramos los informes para que ese registro se pueda montar sin trabajo adicional, porque si no los clientes lo reconstruyen a partir de correos meses después.

No asesoramos sobre el alcance jurídico ni sobre los deberes de notificación, y lo decimos. Lo que aportamos es la evidencia técnica: la prueba, los hallazgos, el razonamiento de la severidad y el resultado del retest, en una forma que puedan leer un supervisor o el equipo de auditoría de un cliente.

Construir el conjunto de controles y la evidencia que lo acompaña está muy ligado al trabajo de certificación que exige un sistema de gestión de la seguridad de la información, que es donde se satisfacen de una vez casi todas las obligaciones que se solapan.

¿NIS2 se aplica a mi empresa? Depende de tu sector, de tu tamaño y de tu transposición nacional, y la lista de sectores es más ancha de lo que casi todo el mundo supone. Es una determinación jurídica y no técnica, y conviene documentarla con su razonamiento en vez de darla por supuesta.

¿Cuáles son los plazos de notificación? El artículo 23 fija una alerta temprana en veinticuatro horas desde que se tiene conocimiento, una notificación del incidente en setenta y dos horas y un informe final en un mes. Las transposiciones nacionales concretan el canal y pueden añadir detalle, así que mira la que te obliga a ti.

¿Qué pasa si no cumplimos? La directiva prevé medidas de supervisión y multas administrativas, con el máximo expresado como el mayor entre un importe fijo y un porcentaje de la facturación anual mundial, y una banda más baja para las entidades importantes que para las esenciales. Las cifras exactas están en el artículo 34 y en cada transposición nacional.

¿Basta con ISO 27001 para NIS2? Es una base sólida y no es un sustituto. Los conjuntos de controles se solapan mucho, y la directiva añade deberes concretos de notificación, responsabilidad explícita del órgano de dirección y una obligación de evaluar la eficacia que un certificado por sí solo no evidencia.