¿Qué debe saber sobre las diez medidas de NIS2?
La Directiva NIS2 describe diez tipos de medidas con las que las organizaciones pueden demostrar su seguridad digital. No se trata de diez reglas sueltas que deba marcar una por una, sino de diez áreas en las que una organización debe tener políticas y procedimientos. Muchos compradores adoptan estas áreas literalmente en su lista de verificación de ciberseguridad, porque a su vez deben poder demostrar que sus proveedores hacen algo al respecto.
Si la Directiva se aplica directamente a su organización depende del sector en el que opera y de su tamaño. Muchas empresas más pequeñas no caen directamente bajo NIS2, pero aun así reciben las preguntas porque su cliente sí cae bajo ella y la cadena debe hacer preguntas más adelante. Esa diferencia entre caer directamente bajo la Directiva y ser parte de la rendición de cuentas de alguien más es precisamente donde surge mucha confusión.
Sobre qué tratan las diez áreas
La Directiva menciona, entre otros, el análisis de riesgos y la política de seguridad de la información, la gestión de incidentes, la continuidad del negocio y la gestión de crisis en caso de perturbación, y la seguridad de la cadena de suministro. Además, menciona la seguridad en la adquisición, desarrollo y mantenimiento de sistemas de redes e información, la política para evaluar la efectividad de las medidas, y las prácticas básicas de ciberhigiene y capacitación en conciencia para empleados. Las últimas áreas se refieren a la política sobre el uso de criptografía y cifrado, la seguridad del personal y la política de acceso, la gestión de activos comerciales, y el uso de autenticación multifactor u otras soluciones comparables para comunicación segura.
Es importante ver que se trata de áreas de política, no de una lista de verificación con una única respuesta correcta. Una empresa de instalación con diez empleados probablemente dará una respuesta diferente y más simple en cada una de estas áreas que un proveedor de servicios informáticos con cien empleados. Los supervisores observan si las medidas se ajustan a los riesgos que corresponden a la organización, no a una plantilla fija que sea igual para todos.
Por qué su cliente se lo pregunta
Si su cliente cae bajo NIS2, ese cliente debe poder demostrar que también sus proveedores prestan atención a estas áreas. Por eso los cuestionarios a menudo recorren literalmente las diez áreas: ¿tiene un procedimiento de incidentes, utiliza autenticación multifactor, tiene una política para sus proveedores? Para usted como receptor del cuestionario, esto a menudo significa que los mismos diez temas aparecen en una redacción ligeramente diferente con cada cliente que envía la lista.
Y ese es inmediatamente el mayor problema práctico: no el contenido de las preguntas, sino la repetición. La misma información sobre su política de contraseñas, su procedimiento de copia de seguridad y su gestión de incidentes se solicita en diez formatos diferentes, con diez portales diferentes. Supplia fue creada para reducir ese trabajo repetitivo: usted responde estos temas una vez en su propio expediente de cadena, y el sistema reconoce preguntas similares en la lista de cada nuevo cliente. Usted confirma cada respuesta con sí o no antes de que vaya al portal de su cliente; Supplia no evalúa nada ni accede a ningún lugar por sí solo.
Cómo mantener esto manejable para usted
Ayuda no empezar con las diez áreas en sí, sino con lo que ya tiene: una política de contraseñas, un esquema de copia de seguridad, una lista de quién tiene acceso a qué sistemas. Muchas de esas piezas ya existen, pero están dispersas en carpetas y mentes. Ordenar eso a menudo es más trabajo que implementar realmente nuevas medidas. la explicación por tema en la base de conocimientos recorre las diez áreas una por una con lo que conlleva.
Si desea saber rápidamente cuáles de estas áreas ya están en orden en su situación y cuáles requieren atención, entonces la verificación de reconocimiento en algunas preguntas proporciona una primera indicación. Para quién quiera saber de dónde procede la información en Supplia y cómo se mantiene, lo la página sobre nuestra metodología explica.
Si NIS2 es aplicable en su caso específico y qué medidas encajan exactamente en ello, es algo que mejor puede consultar con un abogado o con la autoridad de supervisión competente. Este artículo describe la directiva en términos generales y no sustituye ese consejo.
¿Reconoce las preguntas que su cliente envía, pero primero quiere ver cómo funciona el cumplimentado en la práctica? Lea las preguntas frecuentes sobre cumplimentación y presentación o inicie el análisis rápido gratuito para ver qué temas aplican a su empresa.