NIS2: qué exige realmente a una empresa mediana

NIS2 ha ampliado mucho el perímetro. Muchas empresas medianas que quedaban fuera de la directiva original están dentro de esta, a menudo sin saberlo, y las obligaciones son más concretas de lo que sugieren los titulares.

¿Estás dentro del alcance?

El alcance depende del sector y del tamaño, no solo de la facturación. Industria, alimentación, residuos, servicios postales, proveedores digitales y proveedores de servicios gestionados están nombrados expresamente. Si superas la cincuentena de personas en uno de esos sectores, da por hecho que estás dentro hasta que alguien te diga lo contrario por escrito.

Qué pide

Gestión de riesgos que exista sobre el papel. No la sensación de que todo va razonablemente bien. Una visión documentada de qué puede salir mal, qué has hecho al respecto y quién decidió que era suficiente.

Notificación de incidentes en plazos cortos. Un aviso temprano en veinticuatro horas desde que tienes conocimiento y una notificación más completa en setenta y dos. Son plazos breves. Averiguar quién llama a quién durante un incidente es la forma habitual de incumplirlos.

Responsabilidad sobre la cadena de suministro. Se espera que sepas qué proveedores pueden llegar a tus sistemas y cuál es su postura de seguridad. Con evidencias, no con promesas.

Responsabilidad de la dirección. Esto es lo que ha cambiado. La alta dirección puede responder personalmente, lo que convierte la seguridad en una conversación de consejo y no de informática.

Por dónde empezar

Escribe el plan de incidentes. No la política: el plan. A quién se llama a las dos de la madrugada, quién puede autorizar dejar un sistema fuera de servicio, qué se comunica a los clientes y a qué regulador se notifica y quién lo hace. Es una página o dos, y es la diferencia entre una mala semana y un mal trimestre.

Después inventaría a tus proveedores por acceso, no por gasto. La factura más grande rara vez es el riesgo más grande.

Una nota sobre los plazos

Casi todo esto son buenas prácticas anteriores a la directiva. Si parece mucho, suele ser señal de que iba con retraso, no de que NIS2 sea exigente en exceso.