¿Qué cambia este año en la lista de preguntas sobre ciberseguridad de su cliente?
Las listas de preguntas sobre ciberseguridad que los clientes envían a sus proveedores cambian en dos aspectos. En primer lugar, las preguntas se vuelven más concretas: en lugar de una pregunta general sí/no sobre política de seguridad, cada vez más clientes solicitan una breve justificación o un documento acreditativo por tema. En segundo lugar, estas listas llegan a un grupo más amplio de empresas, incluso a empresas que no están directamente sujetas a la Directiva NIS2.
La razón es simple. Las empresas que sí están sujetas a la Directiva deben, según el texto de la NIS2, también examinar la seguridad de sus proveedores. Esto lo incorporan en sus propias listas de preguntas y así la pregunta llega a empresas más atrás en la cadena. Si esto también aplica a su empresa depende de quiénes sean sus clientes y qué preguntas le trasladen; lo mejor es que lo pregunte directamente al cliente o que lo compruebe con un par de preguntas que le darán respuesta rápidamente.
Por qué las preguntas se vuelven más detalladas
La Directiva europea NIS2 describe diez categorías de medidas en las que deben trabajar las organizaciones sujetas a la Directiva, como gestión de riesgos, política de acceso y tratamiento de incidentes. Los clientes que deben rendir cuentas sobre estas medidas solo pueden hacerlo si también saben cómo sus proveedores las abordan. Esto explica por qué listas que antes hacían una pregunta general amplia ahora hacen una pregunta separada por categoría, a menudo con la solicitud de enviar un documento acreditativo breve.
Este cambio de preguntas generales a preguntas específicas por medida no es un ajuste único. Los clientes adaptan su propio portal y formato según van obteniendo ellos mismos mayor claridad sobre qué se espera de ellos. Para usted como proveedor, esto significa que el mismo cliente podría enviarle un año después una lista ligeramente diferente, incluso si nada ha cambiado en su empresa.
Quién se ve afectado este año
La Directiva en sí se orienta hacia organizaciones en sectores específicos y a partir de un determinado tamaño. Si una empresa está sujeta a ella está descrito en la Directiva y en la ley nacional que la transpone; eso es algo que debe comprobar con un abogado o con la autoridad supervisora, no algo que pueda deducirse solo de una lista de preguntas. Lo que sí es perceptible en la práctica: también empresas que no están directamente sujetas a la Directiva reciben preguntas que les pasan porque su cliente sí debe cumplir con ella.
Este efecto cascada es el cambio práctico más importante de este año. Una empresa instaladora que mantiene software para una empresa de energía, o un proveedor de servicios informáticos que trabaja para un hospital, puede recibir una lista de preguntas más detallada sin que la propia empresa esté sujeta a la Directiva. El fundamento de las diez medidas y lo que significan exactamente está elaborado en base de conocimientos con explicación por tema.
Lo que aún no está definido
La Directiva debería haber sido transpuesta originalmente a la legislación nacional de los Estados miembros en octubre de 2024. En los Países Bajos ese proceso legislativo sigue en curso, y la forma exacta y el momento en que la ley nacional entrará completamente en vigor no estaban definitivamente establecidos en el momento de la redacción. Esto significa que las obligaciones exactas para las organizaciones sujetas a la ley, y los plazos asociados, todavía pueden cambiar. Para la situación actual, el texto de la Directiva en sí y la información de la autoridad supervisora son la fuente adecuada, no una lista de preguntas o un artículo de noticias.
Cómo abordarlo sin empezar de cero cada año
Porque las preguntas pueden variar ligeramente para cada cliente y por año, es útil registrar la información subyacente una vez correctamente y a partir de ahí cumplimentar cada nueva lista. Esto evita que tenga que empezar de cero cada vez que reciba una nueva lista de preguntas, incluso si la formulación de las preguntas es ligeramente diferente a la del año pasado. Cómo funciona esto en la práctica está descrito en la página de dónde procede la información.
Si tiene dudas o le parece que una pregunta específica en una lista puede o no ser aplicable a su empresa, es algo que debe discutir con el cliente mismo o con un asesor. Un resumen de preguntas frecuentes sobre este tipo de listas está disponible en la página preguntas frecuentes sobre listas de preguntas.
Finalmente
El núcleo del cambio este año no es que surja una nueva obligación, sino que las obligaciones existentes se propagan más a través de la cadena y se solicitan de forma más concreta. Si quiere saber rápidamente dónde se encuentra su empresa en este momento, realice el escaneo rápido gratuito o lea los otros temas en la base de conocimientos.