Lo que un contratante de servicios TIC exige después de NIS2
Un contratante que está sujeto a la obligación de diligencia de NIS2 debe demostrar que también gestiona los riesgos en su cadena de suministro. Si usted proporciona gestión remota, alojamiento, gestión de aplicaciones o un servicio de asistencia a tal contratante, esto se reflejará en el contrato: requisitos sobre quién tiene acceso a los sistemas, cómo se registra ese acceso, y si utiliza subcontratistas sin comunicarlo con antelación.
Los requisitos en sí varían según el contratante y el sector, pero una serie de temas aparecen prácticamente siempre: control de acceso, registro de acciones de gestión, plazos de notificación en caso de incidente de su parte, e información sobre quién más está involucrado en el trabajo. Este último aspecto — los subcontratistas — es el tema en el que el cuestionario de seguridad se detiene más tiempo para muchos proveedores de servicios TIC.
Por qué esto ahora está en el contrato
La Directiva NIS2 obliga a las organizaciones sujetas a diligencia, en su artículo 21, a evaluar también la seguridad de sus proveedores y prestadores de servicios. Un contratante que es él mismo sujeto a auditoría no puede demostrarlo con una promesa verbal; necesita un acuerdo escrito que pueda mostrar a su propio supervisor. Para usted como proveedor de servicios TIC, esto significa: la misma pregunta vuelve, solo que ahora consignada en un apéndice o anexo del contrato en lugar de en un correo electrónico suelto.
Se trata de un cambio de forma, no necesariamente de contenido. Mucho de lo que se pide probablemente ya lo hacía como administrador. Lo nuevo es que debe poder demostrarlo, con una fecha y un nombre adjuntos.
Acceso a sistemas de clientes: qué se solicita exactamente
Los contratantes piden cada vez más un inventario de quién tiene acceso en su empresa, con qué derechos, y cómo se revoca ese acceso cuando alguien abandona el equipo. La autenticación multifactor para acceso administrativo es ahora un requisito frecuente, al igual que un registro que documente cuándo y por quién se ha accedido a un sistema. Algunos contratos también solicitan un punto de contacto fijo en su lado, para que el contratante no dependa de quién esté de servicio esa semana.
La pregunta subyacente del contratante es siempre la misma: ¿puede, si algo va mal, rastrear quién tenía acceso dónde y cuándo? Esta es también la razón por la que respuestas genéricas como "trabajamos según las mejores prácticas" rara vez son suficientes — se solicita una prueba concreta, no una intención.
Gestión remota: atención especial a la autenticación y el registro
La gestión remota recibe en muchos cuestionarios un apartado separado, precisamente porque un atacante que entre allí puede llegar en un paso a varios clientes. Las preguntas se refieren entonces al cifrado de la conexión, si el acceso a la gestión remota es independiente de la red común de su empresa, y qué tan rápido puede cerrar una sesión si sospecha abuso. Aquí también se aplica: no se trata de una evaluación de qué tan buena es su seguridad, sino de si puede demostrarlo.
Quien recibe este tipo de preguntas por primera vez a menudo lo experimenta como una acción única para un cliente. En la práctica, la documentación que reúne para un contratante puede adaptarse ligeramente y reutilizarse para el siguiente. revisar los temas por situación da una idea de qué preguntas aparecen en qué tipo de prestación de servicios.
Subcontratistas: el riesgo que usted no controla por completo
La parte más difícil para muchos proveedores de servicios de TIC no es su propia seguridad, sino la de los terceros que contratan: un proveedor de alojamiento, un servicio de monitoreo, un especialista independiente. Un cliente que es responsable de la debida diligencia por sí mismo quiere saber si usted utiliza subcontratistas, quiénes son, y si cumplen con requisitos comparables. Algunos contratos le obligan a notificar cambios en esa cadena con anticipación, o a trasladar contractualmente los mismos requisitos de seguridad a sus propios proveedores.
Para una pequeña empresa de TIC, no siempre es fácil organizarlo, especialmente si el subcontratista no tiene idea de por qué se formula de repente esa pregunta. Un primer paso es un simple resumen: quién hace qué para usted, y qué acuerdo ha documentado al respecto. Sin ese resumen, cada nuevo cuestionario es trabajo de investigación nuevamente desde el principio.
Lo que sí puede y no puede prometer
Es prudente incluir en un contrato solo compromisos que también pueda respaldar. Un cliente que pregunta por tiempos de respuesta ante un incidente, un servicio 24/7 o una garantía de que nunca suceda nada, en realidad está pidiendo una promesa que pocos proveedores de servicios de TIC pueden cumplir sin establecer un servicio separado y costoso para ello. Depende de usted y, si es necesario, de un abogado, evaluar qué cláusulas son razonables y cuáles van más allá de lo que la debida diligencia del cliente realmente requiere.
Si su propia organización cae directamente bajo la debida diligencia de la NIS2 —como entidad esencial o importante, o a través de la cadena de suministro— se puede revisar con algunas preguntas. Esa distinción determina si solo prepara respuestas para sus clientes, o si también debe mantener un archivo propio.
Manos a la obra
Para el cliente, finalmente no cuenta su intención, sino si la respuesta a su pregunta está lista en el momento en que la solicita. Quien una vez haya documentado para cada medida un estado, un documento probatorio y un propietario, no necesita buscar nuevamente en el próximo cuestionario. Consulte cuál es el costo del archivo y los cuestionarios si desea abordar esta preparación de manera estructurada, o lea primero las preguntas frecuentes sobre cómo funciona la plataforma.
Comience sin obligación con la verificación gratuita de NIS2 para ver si su organización es responsable por sí misma, afectada por la cadena de suministro, o ninguna de las dos — y continúe leyendo en la base de conocimientos sobre los temas que aplican a su sector.