¿Es la formación obligatoria sobre sensibilización en seguridad para los proveedores de servicios TIC según la NIS2?
La Directiva NIS2 menciona explícitamente la sensibilización y la formación como una de las medidas que el artículo 21 exige a las organizaciones para mitigar los riesgos cibernéticos. Para una entidad esencial o importante, esto no es un consejo opcional sino parte de la diligencia debida, junto con otras medidas como el control de acceso y el registro de incidentes. Para un proveedor de servicios TIC que no está bajo la NIS2, pero que es evaluado como proveedor, la pregunta surge frecuentemente en un cuestionario de seguridad: ¿ofrece formación, a quién, y con qué frecuencia?
Es importante distinguir: la Directiva incluye, además de esta medida, una disposición específica que se aplica al órgano de administración en sí. Se trata de una obligación diferente, con un objetivo diferente y un público objetivo diferente. Quien confunde ambas a menudo subestima lo que se exige al resto de la organización o, a la inversa, lo que se exige específicamente al órgano de administración.
Lo que la diligencia debida exige a la organización
Las diez medidas del artículo 21 se formulan sobre la base del riesgo: la Directiva no especifica cuántas horas de formación, con qué frecuencia o con qué proveedor. Lo que sí cuenta es que los empleados identifiquen los riesgos relevantes para su función. Para un proveedor de servicios TIC, esto suele referirse a phishing, gestión de contraseñas, acceso a entornos de clientes e identificación de incidentes. Los supervisores evalúan si la medida se ha ejecutado de manera demostrable, no si existe un número mínimo registrado de horas de formación.
Esto la convierte en una de las medidas donde un proveedor de PYME puede implementar algo significativo relativamente rápido: un breve módulo de formación, una prueba, un certificado de participación. La pregunta «quién ha participado y cuándo» es exactamente lo que un usuario en un cuestionario suele querer ver, y exactamente lo que un registro vivo puede mostrar fácilmente.
La diferencia con la obligación de formación para el órgano de administración
La Directiva impone además una responsabilidad específica al órgano de administración de una entidad esencial o importante. Esta disposición está diseñada para garantizar que los administradores tengan suficientes conocimientos sobre riesgos cibernéticos para aprobar las medidas de diligencia debida y supervisar su cumplimiento. Por lo tanto, no se trata de una formación para toda la organización, sino de una obligación que recae sobre el órgano de administración en sí y que es independiente de la medida general de sensibilización para los empleados.
Para un proveedor de servicios TIC que no está sujeto a la normativa por sí mismo, esta disposición sobre el órgano de administración no se aplica directamente. Sin embargo, en la práctica, a veces un cliente obligado hace preguntas adicionales: no solo si los empleados reciben formación, sino también si la dirección está suficientemente implicada en la política de seguridad. Esto forma entonces parte de la evaluación del proveedor, no de una obligación legal propia de ese proveedor.
Lo que esto significa si su organización se ve afectada a través de la cadena
Si su organización no está bajo NIS2 pero proporciona servicios a una entidad que sí está, ese cliente puede solicitar información sobre su enfoque de formación en el marco de su propia diligencia debida. Esto suele ocurrir a través de un cuestionario o una cláusula contractual, no a través de una obligación legal que recaiga directamente sobre usted. La diferencia es más que un formalismo: determina si está obligado o si elige cumplir con el requisito de su cliente para mantener el contrato. lea la explicación por tema muestra cómo esa distinción también aparece en otras medidas.
Si su organización se ve afectada a través de la cadena, y cuáles de las diez medidas son relevantes, se puede determinar con unas pocas preguntas. vea en unas pocas preguntas si y cómo esto afecta a su organización proporciona una primera indicación al respecto, sin que necesite una cuenta.
Documentar la formación como prueba
Lo que hace que una formación sea valiosa para un expediente no es solo el contenido, sino el registro: quién ha participado, cuándo y con qué resultado. Un certificado de asistencia por empleado, vinculado a un estado y un propietario, es exactamente el tipo de prueba que se solicita en un cuestionario de seguridad y que ahorra trabajo de investigación en caso de repetición. ver de dónde procede esta información explica cómo se estructura un expediente de este tipo y cómo se mantiene.
Para la formulación exacta de la Directiva en este punto, y para la transposición nacional que se aplica a su situación, el texto oficial es vinculante. Si tiene dudas sobre si un requisito específico en un cuestionario va más allá de lo que la obligación de diligencia razonable requiere, es una pregunta para un abogado o, en caso de dudas sobre su propio estado, para la autoridad competente de supervisión.
¿Desea saber si y cómo su organización se ve afectada por estos requisitos a través de la cadena de suministro? Realice la comprobación gratuita de NIS2 o consulte las respuestas a las preguntas frecuentes para una primera orientación.