Un cliente que está sujeto a la Directiva NIS2 no puede limitar su deber de diligencia a su propia organización. Ese deber se extiende a través de la cadena de suministro: el cliente debe evaluar qué riesgos traen consigo los proveedores, y eso se traduce en requisitos contractuales. Para la industria metalmecánica y de manufactura, a menudo no se trata solo de automatización de oficinas, sino también de máquinas, sistemas de control y líneas de producción que están de alguna manera conectadas a la red del cliente o a internet.
Los requisitos más comunes se refieren al control de acceso, segregación de redes, política de actualizaciones y la notificación de incidentes al cliente — independientemente del deber de notificación legal que solo aplica a las entidades obligadas. A continuación se describe qué disposiciones suelen incluirse y qué significan en la práctica para un entorno de producción.
Qué disposiciones suelen incluirse en el contrato
Los contratos revisados tras NIS2 generalmente contienen una combinación de obligaciones: el derecho a enviar cuestionarios periódicamente, un plazo de notificación para incidentes que afecten la prestación de servicios al cliente, una obligación de demostrar que se han implementado medidas de ciberseguridad, y a veces un derecho de auditoría. La redacción varía considerablemente según el cliente y el sector; no existe un texto estándar que se aplique a todos los contratos. Para tener una idea más clara de qué es razonable pedir, ayuda consultar las preguntas más frecuentes sobre qué puede pedir un cliente .
Es importante hacer esta distinción: el cliente hace esto basándose en su propio deber de diligencia, no porque el proveedor esté sujeto a la Directiva. Un fabricante de máquinas o proveedor en la industria metalmecánica y de manufactura puede recibir requisitos contractuales sin ser obligado ni esencial ni importante. Que esto sea el caso para una relación específica depende del sector y el tamaño del cliente, así como del papel que el proveedor desempeña en esa cadena.
Lo que esto significa para sistemas de producción conectados a la red
En la industria metalmecánica y de manufactura, la combinación de TI (automatización de oficinas) y TO (tecnología operativa como máquinas CNC, PLC y líneas de producción) es un punto recurrente de atención en las preguntas que plantean los clientes. Las máquinas que son accesibles de forma remota para mantenimiento, o que envían datos de producción a un entorno en la nube, reciben la misma atención que un portátil en la oficina.
Separación entre red de oficina y red de producción
Una pregunta recurrente es si la red de producción está separada de la red de oficina, y si una avería o infección en una red puede propagarse a la otra. No es una pregunta que se responda con sí o no en un cuestionario únicamente; los supervisores y clientes miran la disposición real, no una declaración de intenciones.
Acceso remoto para mantenimiento
Muchas máquinas en la industria metalmecánica y de manufactura son mantenidas de forma remota por el proveedor de la máquina, a veces mediante una conexión permanente que está siempre abierta. Los requisitos contractuales a menudo se dirigen específicamente a este punto: quién tiene acceso, cómo se registra ese acceso, y si puede revocarse en cualquier momento. Esto afecta tanto al proveedor que construye la máquina como a la empresa que utiliza la máquina.
Lo que los clientes piden como prueba
Además del cuestionario en sí, un cliente suele solicitar algún tipo de justificación: un documento de política, un resumen de quién tiene acceso a qué sistemas, o una declaración sobre cómo se gestionan las actualizaciones. Puede solicitarse un certificado o un informe de auditoría, pero por sí solo no es una obligación legal según la Directiva (EU) 2022/2555 — es una decisión del cliente individual. Para quienes deseen comprobar cómo se relacionan estos requisitos contractuales con su propia posición en la cadena de suministro, es útil comenzar en unas pocas preguntas para determinar dónde se encuentra su organización.
Qué puede hacer al respecto
La mayoría de los requisitos que aparecen en los contratos para la industria metalúrgica y manufacturera son una derivación de las diez medidas de gestión de riesgos de la Directiva: el control de acceso, la segmentación de redes, el registro de incidentes y los planes de recuperación se repiten todos, pero enfocados a la pregunta que plantea el cliente. Un resumen por situación, incluidos los temas específicos de los entornos de producción, se encuentra en el resumen de temas por sector y situación.
Para la redacción exacta de un contrato, y para la cuestión de si un requisito específico es razonable en relación con la relación, el asesoramiento jurídico sigue siendo el camino recomendado; este artículo describe los patrones que se repiten, no la respuesta a un contrato individual. Más información sobre de dónde procede la información en este sitio y cómo se mantiene está disponible en la página sobre cómo mantenemos actualizadas las fuentes.
¿Desea verificar rápidamente si su organización se ve afectada por la cadena de suministro y cuál es el siguiente paso? La NIS2-check gratuita le ofrece una primera orientación en unas pocas preguntas, sin necesidad de crear una cuenta.