¿Qué preguntas recibe una empresa de software en una lista de verificación de NIS2?
Si desarrolla software para un cliente que está sujeto a la Directiva NIS2 — o a la Ley de Ciberseguridad en los Países Bajos — casi con toda seguridad recibirá un cuestionario de seguridad. Las preguntas en el mismo siempre tratan sobre dos cosas en el desarrollo de software: la seguridad de lo que entrega, y la seguridad del entorno en el que lo crea. Este segundo aspecto distingue estos cuestionarios de los dirigidos, por ejemplo, a una empresa de instalación o a un proveedor de servicios auxiliares.
El núcleo es siempre el mismo: ¿puede alguien acceder al sistema de su cliente a través de su código fuente, su entorno de compilación o su cuenta en un gestor de paquetes, y qué hace usted para evitarlo o detectarlo rápidamente? Quien pueda responder a estas dos preguntas ya habrá completado la mayor parte de la lista.
Por qué el software es una categoría aparte
Con la mayoría de proveedores, un cliente examina lo que ocurre én su empresa: quién tiene acceso a qué sistemas, cómo prueba una copia de seguridad. Con un proveedor de software se añade una capa más, a saber, lo que usted déleva de su empresa a la del cliente. Puede ser una actualización, un acoplamiento de API, o código que se ejecuta directamente en su entorno. Por eso un cliente pregunta más a fondo aquí que con un proveedor que solo utiliza automatización de oficina.
Preguntas sobre el producto: lo que entrega
Una gran parte del cuestionario trata sobre el software en sí. ¿Utiliza bibliotecas y componentes externos, y mantiene un registro de cuáles son — a menudo denominado como un resumen de componentes de software? ¿Cómo gestiona una vulnerabilidad que se descubre en uno de esos componentes, y en qué plazo publica una actualización? ¿Se revisa el código por una segunda persona antes de que se ponga en marcha? ¿Prueba si hay puntos débiles conocidos antes de entregar, y quién lo hace?
A menudo hay también una pregunta sobre notificaciones: si alguien fuera de su empresa descubre una vulnerabilidad en su software, ¿hay una forma de notificarla, y qué sucede con esa notificación? Esta no es una obligación legal que se derive de la NIS2 en sí para usted como proveedor, pero los clientes la preguntan en la práctica porque deben poder justificarlo ante su propio supervisor.
Preguntas sobre la cadena de desarrollo: cómo construye
El segundo bloque trata del entorno en el que se crea el software. Quién tiene acceso al código fuente, y si ese acceso es personal o compartido. ¿Se ha habilitado la verificación múltiple en el entorno en el que se construye y se entrega? ¿Se prueba automáticamente un cambio antes de que vaya a producción, y puede alguien omitir ese paso? Quién gestiona las claves y certificados con los que se firma el software, y dónde se almacenan.
También bastante habitual: cómo gestiona los portátiles y cuentas de los desarrolladores que trabajan con este entorno, especialmente si trabajan de forma remota. Y: ¿conserva registros de quién ha cambiado qué en el código o la canalización, y durante cuánto tiempo? Este último aspecto se alinea con lo que en términos más generales se denomina registro de incidentes, pero aplicado al entorno de desarrollo en sí.
Lo que un cliente puede y no puede preguntar
La lista puede referirse a la seguridad de su producto y su proceso de desarrollo en la medida en que afecte al riesgo del cliente. Las preguntas sobre su organización interna completa, su política de personal al margen de este contexto, o partes de su empresa que nada tienen que ver con el software entregado, están fuera del alcance. Donde está exactamente ese límite varía según el contrato y el sector, y es algo que debe aclarar en la conversación con el cliente, no algo que deba dejar pasar en silencio.
Cómo construir esto bien una sola vez
La mayoría de estas preguntas no son una foto fija, sino un conjunto permanente que aparece en casi todos los clientes, solo con una formulación ligeramente diferente. Quien registre las respuestas una vez por medida —con una prueba y un responsable— solo tiene que copiarlas y adaptarlas en la siguiente lista de verificación. con algunas preguntas que muestran si y cómo le afecta verá primero dónde se encuentra, y en el resumen por tema encontrará la elaboración de medidas individuales como control de acceso y registro de incidentes. Si duda sobre una pregunta específica en una lista que recibió, la lista de preguntas frecuentes a menudo ya da una primera orientación, y una explicación sobre de dónde procede nuestra información muestra cómo mantenemos las fuentes.
Si desea comprobar primero por sí mismo si y cómo le afecta su empresa, realice el escaneo rápido gratuito u hojee la base de conocimientos. Ambos se pueden consultar sin cuenta y dan una primera indicación fáctica —no un juicio sobre su situación específica; en caso de duda siempre puede consultar con un abogado o con la autoridad reguladora competente para su sector.