Nos han dicho que nos afecta NIS2: ¿estamos obligados en España y qué hay que hacer?

La traba técnica más gorda de ese formulario suele ser la segmentación de red y el control de accesos. Si dais soporte remoto o suministráis piezas a la energética, vais a tener que demostrar que vuestra red de producción está 100% aislada de la red de oficinas y de los servidores expuestos a internet.

Mañana mismo coged el cuestionario y divididlo en 3 bloques: lo que ya cumplís, lo que resolvéis con ajustes en 15 días y lo que requiere presupuesto. Rellenad los dos primeros bloques y enviádselo ya al cliente junto con un cronograma para la parte de inversión. En el 90% de los casos esto basta para salvar el contrato y dar tranquilidad.

El mes pasado un cliente de logística en Barcelona nos mandó un documento similar. Un consultor externo les pedía 12.000 EUR de costes de auditoría. Nos sentamos con el responsable de seguridad del cliente y vimos que en realidad solo buscaban formación básica en ciberseguridad para los empleados y obligar al uso de gestor de contraseñas; resolvimos el proceso internamente con un coste de 600 EUR.

Aunque legalmente estés exento de forma directa el pliego de condiciones de un cliente corporativo tiene fuerza de ley; si no cumples el requisito te quedas fuera de la licitación.

En el documento que os llegó, ¿solo piden un cuestionario de autoevaluación o hay exigencia de un informe de auditoría independiente de terceros o un certificado de conformidad con el Esquema Nacional de Seguridad (ENS)? Este detalle cambia tu presupuesto por completo.

En España cuando ni siquiera la trasposición de la NIS2 a la ley nacional está del todo asentada, las grandes empresas están endosando documentos de auditoría tipo a todos sus proveedores. Es un mero reflejo de protegerse las espaldas pisoteando a las pymes; la mayoría de los puntos se pueden flexibilizar.

Los 3 puntos críticos de seguridad que debéis cubrir rápidamente son: 1) Autenticación de doble factor obligatoria en todas las conexiones remotas y correos, 2) Rutina de copias de seguridad cifradas y físicamente separadas, 3) Procedimiento por escrito de que los accesos de los empleados de proveedores se revocan de inmediato al salir de la empresa.

A veces es muy agotador que a talleres de 30-40 personas como el nuestro nos traten como si gestionáramos una central nuclear. pues pero míralo así: una vez completas estos procedimientos se convierte en una ventaja comercial enorme frente a tus competidores.

Estoy totalmente de acuerdo. Una copia de seguridad no probada no es una copia de seguridad.

Los primeros tres meses todo va bien, los problemas aparecen en el cuarto. Si escribís el resultado aquí, también servirá de ayuda a otros.

hace mucho que oímos eso pero a nosotros nunca nos pasó así. todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

comprobado por experiencia.

Tema muy oportuno.

Entrando en detalle: La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Por supuesto, cambia si tu situación es diferente.

Lo que se dice aquí es exactamente lo que nos pasó. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Por supuesto, cambia si tu situación es diferente.

Correcto. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Este enfoque tiene un coste y no se habla de ello. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Lo dejo como nota por si sirve.

Hay una cosa a la que hay que prestar atención. No tengáis miedo de preguntar quien no pregunta siempre paga más caro.

Yo seguiría por ese camino.