Un proveedor nos ha dicho que la directiva NIS2 nos afecta, ¿qué es exactamente y es obligatoria en España?

El proceso funciona exactamente así: 1) El fabricante grande está sujeto directamente a la ley NIS2. 2) La ley le dice a este fabricante: 'las brechas de tus proveedores son tus brechas, audítalos'. 3) El fabricante, para cumplir con su responsabilidad, intenta que firmes ese formulario. Es decir, no te afecta por la ley en sí, sino por contrato.

Los puntos técnicos del formulario del cliente suelen ser estándar: obligación de VPN y MFA para el acceso remoto a los servidores con archivos de diseño CAD/CAM, protección de endpoints actualizada en los equipos de los empleados y copias de seguridad semanales offline. Si documentas que cumples estos cuatro pasos, pasas la auditoría sin problemas.

Hay muchas empresas que se quedan tranquilas al ver el artículo de 'menos de 50 empleados está exento' en la ley, pero en la práctica es una ilusión. Cuando los gigantes de la automoción te ponen el contrato delante y te dicen 'si no firmas no te compro piezas', la exención de la ley deja de tener cualquier valor comercial.

Somos un equipo de automatización industrial de 25 personas en Barcelona. El mes pasado un cliente alemán similar nos mandó un compromiso de seguridad NIS2 de 40 puntos. Pagamos 3.800 euros a un experto independiente para el registro interno de logs y la configuración del firewall, cubrimos las deficiencias y nos aprobaron el formulario.

¿Tu cliente pide solo una declaración de autoevaluación firmada por el apoderado de la empresa o exige un test de penetración o informe de auditoría de una empresa de ciberseguridad acreditada? Esta diferencia cambia muchísimo tus costes operativos.

En España, el Instituto Nacional de Ciberseguridad (INCIBE) ofrece guías y herramientas de autoevaluación para empresas que forman parte de la cadena de suministro. Antes de responder a su cliente, sería conveniente que revise las medidas de seguridad mínimas en las guías para pymes del INCIBE.

No estás en el grupo que recibiría una sanción directa por ley, pero para no perder al cliente es imprescindible que apliques las medidas mínimas del pliego de condiciones.

La primera vez que lo oímos también nos pareció burocracia innecesaria de la Unión Europea. Sin embargo, al revisar nuestros sistemas por la petición del cliente nos dimos cuenta de que nuestro servidor interno estaba completamente expuesto hacia afuera y que las contraseñas del personal antiguo seguían activas. Aunque la obligación sea molesta, en realidad estás protegiendo a tu propia empresa de un desastre.

Corrección: recordaba mal la cifra, era un poco más baja.

Yo también tengo curiosidad.

De acuerdo, incluso me gustaría recalcarlo. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Ha sido una buena idea abrir este hilo. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Comprobado por experiencia.

Han surgido tres opiniones distintas, todas se complementan. La mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

Por supuesto, cambia si tu situación es diferente.

¿Y cómo resolvieron esto? Las decisiones apresuradas son las que hay que corregir seis meses después.

No confíes en una sola medida; ve capa por capa. También me gustaría saber si alguien lo hace de otra manera.

Aquí hay una trampa, no puedo dejar de mencionarla... El error cometido por NIS2 que es suele ser reversible, pero caro.

Si tenéis dudas escribid, os responderé en la medida de lo posible.

Esto también tiene su parte de medición. Si regañas las falsas alarmas, nadie volverá a reportar.

Eso es todo, disculpa si me he extendido demasiado.

Hay un error muy común al hacer esto. en fin que todo el mundo haga algo no significa que sea lo correcto.

Lo dejo como nota por si sirve.

El punto que más se pasa por alto sobre NIS2 que es es este: Todos los que se apresuran con NIS2 que es se atascan en el mismo punto.

Corrijanme si me equivoco.

Creo que es difícil hablar con tanta claridad sobre NIS2 que es. Intentar hacerlo solo es la vía más cara.

La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.