La respuesta breve
Una parte de la prestación de servicios TIC figura explícitamente en la lista de sectores de NIS2 y puede ser por tanto entidad esencial o importante. Piense en proveedores de servicios gestionados y servicios de seguridad gestionados, proveedores en la nube y centros de datos. Sin embargo, la mayoría de los proveedores de servicios TIC —el administrador local de redes, la empresa que mantiene servidores de forma remota, el proveedor de una aplicación empresarial— no están directamente sujetos a la lista de sectores. A menudo se ven afectados sí, precisamente porque su cliente tiene la obligación legal de hacerlo: una entidad esencial o importante debe evaluar lo seguro que son sus proveedores, y un proveedor de servicios TIC con acceso a sistemas es claramente una de las partes a considerar en esa evaluación.
Tanto si usted mismo está sujeto a obligaciones como si se ve afectado a través de la cadena depende de tres cosas que funcionan en paralelo: ¿figura su tipo de servicio en la lista de sectores?, ¿alcanza su organización el tamaño que corresponde a ese sector?, ¿cuál es su papel real con los clientes que sí están sujetos? Estos tres factores determinan conjuntamente la respuesta y actúan de forma independiente entre sí —puede alcanzar el tamaño sin estar en el sector correcto, o estar exactamente en el sector correcto sin alcanzar el tamaño.
Qué dice la lista de sectores sobre la prestación de servicios TIC
La Directiva NIS2 distingue sectores de criticidad alta y otros sectores críticos. Dentro de la infraestructura digital y la prestación de servicios digitales, se mencionan expresamente los proveedores de servicios gestionados (managed service providers) y los proveedores de servicios de seguridad gestionados (managed security service providers), junto con servicios de computación en la nube, centros de datos y proveedores de mercados en línea y motores de búsqueda. Quién encaje en alguna de estas categorías sigue el mismo proceso que cualquier otro sector: ¿se ajusta el propio servicio a la descripción de la directiva y, si es así, en qué categoría?
Quien suministra únicamente software, construye un sitio web o realiza proyectos de TI ocasionales sin gestión continuada, generalmente está fuera de esta descripción específica —aunque la delimitación exacta depende de cada situación particular, no de una regla general. Si duda sobre qué descripción se aplica a su prestación de servicios, en unas pocas preguntas ofrece una primera indicación con una referencia a la ubicación exacta en la directiva.
El tamaño pesa tanto como el sector
Un sector por sí solo no es suficiente para ser esencial o importante. NIS2 trabaja con criterios de tamaño que se alinean con la clasificación estándar de empresas medianas y grandes: el número de empleados y la facturación o el total del balance intervienen en la determinación de la categoría. Un trabajador autónomo que ofrece administración de redes a un puñado de empresas locales normalmente está en una categoría diferente a un proveedor de servicios TIC de ámbito nacional con cientos de empleados, aunque ambos ofrecen esencialmente el mismo servicio.
Las leyes nacionales que transponen la directiva —en los Países Bajos la Ley de Ciberseguridad— desarrollan estos criterios más ampliamente, y la autoridad supervisora publica orientaciones prácticas al respecto. Mantenemos un registro de estas fuentes con la fecha en que las consultamos, para que pueda verificar cuándo una indicación se basa en ellas.
Gestión remota y acceso a sistemas de clientes: la posición en la cadena
Precisamente en la prestación de servicios TIC, la posición en la cadena de suministro suele ser el factor decisivo, independientemente del sector y el tamaño. La gestión remota, el acceso a redes de clientes, la gestión de contraseñas o el mantenimiento de una aplicación crítica para el cliente — esas son exactamente las características que un cliente considera cuando evalúa a sus propios proveedores. Una entidad esencial o importante debe poder demostrar que los riesgos en la cadena de suministro están identificados, y un proveedor con acceso a sistemas ocupa un lugar destacado en esa lista, independientemente de si ese proveedor figura en la lista de sectores.
Esto explica por qué muchos prestadores de servicios TIC, sin ser obligados directamente, reciben aun así un cuestionario de seguridad o una cláusula contractual. No es una obligación legal que recaiga directamente sobre ellos, sino un requisito práctico que llega a través del cliente — y que ciertamente puede afectar el contrato.
Subcontratistas: la cadena no termina en usted
Quién a su vez trabaja con subcontratistas — un administrador de sistemas autónomo, una empresa que proporciona alojamiento, un servicio técnico externo — transmite ese cuestionario en la práctica. Si su cliente quiere saber cómo se regula el acceso a sistemas, es muy probable que usted formule la misma pregunta a sus propios subcontratistas. Así, la evaluación de la cadena de suministro atraviesa varios eslabones, incluso si nadie en esa cadena cae bajo la lista de sectores.
Lo que esto significa para su expediente
Tanto si usted mismo es obligado, si solo está afectado a través de la cadena, o si no es ninguno de los dos casos, determina cómo será su preparación: un expediente completo de medidas de cuidado debido, respuestas específicas a cuestionarios de clientes, o por ahora ninguna medida. Un resumen de las diez medidas que el deber de cuidado le exige, y cómo se relacionan con lo que un cliente pregunta en un cuestionario, lo encontrará en la explicación por tema. Para la cuestión de cómo secria.eu mantiene las fuentes y en qué se basa una indicación, es la metodología un buen punto de partida, y las preguntas frecuentes sobre el alcance de la ley se recopilan en el resumen de preguntas y respuestas.
Comience con la verificación NIS2 para ver si su prestación de servicios cae bajo la lista de sectores, qué tamaño es relevante y qué significa su posición en la cadena para usted — de forma gratuita y sin cuenta.