por qué soy responsable de la seguridad de mis proveedores

La cadena es tan fuerte como el proveedor más débil

La responsabilidad de la seguridad de proveedores recae en las entidades esenciales e importantes porque su propia seguridad digital depende en gran medida de los sistemas, software y servicios de terceros. Una organización puede proteger bien su propia red, pero si un proveedor con acceso a esos sistemas está mal asegurado, eso crea un punto de entrada que eludiría las propias medidas. Por lo tanto, la obligación de diligencia no solo mira los límites de la propia organización, sino toda la cadena de suministro detrás de ella.

Esto afecta en la práctica a muchas más empresas que solo las organizaciones obligadas. Una entidad esencial o importante que debe evaluar su cadena a menudo transmite esa evaluación en forma de cuestionario de seguridad o requisito contractual a sus proveedores, incluso si esos proveedores no están sujetos a la ley. Quién recibe tal cuestionario de seguridad de un cliente en su puerta, así experimenta las consecuencias de NIS2 sin estar sujeto a ella. Qué medidas se consideran en esto se describe en las diez medidas que distingue la directiva.

Dónde esto se deriva de la obligación de diligencia

El artículo 21, apartado 2 de la directiva NIS2 menciona explícitamente la seguridad de la cadena de suministro como parte de las diez medidas que caen bajo la obligación de diligencia, incluidos los aspectos de seguridad de las relaciones con proveedores y prestadores de servicios directos. La Ley de Ciberseguridad transpone este deber a la legislación holandesa. El NCSC explica que esta obligación de diligencia es basada en riesgos: una entidad debe identificar dónde están los riesgos en la cadena y establecer medidas apropiadas, lo que en la práctica a menudo significa que se solicita a los proveedores prueba de su seguridad. ISO/IEC 27001 ofrece en el Anexo A un conjunto de medidas de control que abordan las relaciones con proveedores y que por lo tanto a menudo aparecen como marco de referencia en este tipo de evaluaciones.