Por qué llegan los cuestionarios
NIS2 entró en vigor mediante legislación nacional en toda la UE desde octubre de 2024. Cubre energía, transporte, banca, salud, agua, infraestructura digital, administración pública, fabricación de determinados bienes, alimentos, proveedores digitales y más, y exige a las organizaciones cubiertas gestionar la seguridad de la cadena de suministro: evaluar la seguridad de sus proveedores directos y prestadores de servicios. La forma práctica de esa evaluación es un cuestionario, y se enviará a todos los proveedores con acceso a los sistemas o datos de la organización.
Qué pregunta un cuestionario con forma de NIS2
La directiva enumera las medidas que las entidades cubiertas deben tomar, y los cuestionarios siguen esa lista: análisis de riesgos y políticas de seguridad; gestión de incidentes; continuidad del negocio, copias de seguridad y gestión de crisis; seguridad de la cadena de suministro, lo que significa preguntas sobre sus propios proveedores; seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión de vulnerabilidades; cómo evalúa la eficacia de sus medidas; higiene cibernética y formación; criptografía; seguridad de recursos humanos y control de acceso; y autenticación multifactor y comunicaciones seguras.
Las preguntas sobre incidentes son las distintivas. Una entidad cubierta debe dar una alerta temprana a su autoridad en un plazo de 24 horas desde que tenga conocimiento de un incidente significativo, por lo que preguntará si usted le notificará con suficiente rapidez, por qué canal y con qué información. Tenga una respuesta con un plazo y un contacto identificado.
Responder como proveedor
Responda como en cualquier cuestionario de seguridad: el control, el responsable, la frecuencia, la evidencia. Dos añadidos generan confianza entre los revisores de NIS2. Primero, un compromiso claro de notificación de incidentes: "notificamos a los clientes afectados en un plazo de X horas desde la confirmación de un incidente que afecte a sus datos, por correo electrónico al contacto de seguridad designado, con un seguimiento en un plazo de 72 horas". Segundo, su propia lista de proveedores: la obligación del cliente sigue la cadena, por lo que le preguntarán quiénes son sus proveedores de alojamiento, correo electrónico e IA y cómo los evalúa.
Las mismas respuestas, un título más
Las medidas que enumera NIS2 se solapan casi por completo con los controles de ISO 27001 y el criterio de seguridad de SOC 2. Una biblioteca con una respuesta aprobada por control también responde a un cuestionario NIS2; lo que cambia es el énfasis en la notificación, la continuidad y los proveedores. Responsemate redacta cada cuestionario desde esa única biblioteca y muestra dónde sus respuestas son débiles, que en NIS2 suele ser en las filas de notificación y proveedores. Cómo la base de conocimiento mantiene las respuestas actualizadas.
Preguntas que hacen las personas
¿NIS2 se aplica a nosotros si somos un pequeño proveedor de software?
Normalmente, no directamente. NIS2 cubre entidades esenciales e importantes en los sectores enumerados por encima de un umbral de tamaño. Pero si sus clientes están cubiertos, deben gestionar el riesgo que usted representa, y su cuestionario es la forma en que lo hacen. Estar fuera de NIS2 no le libra del cuestionario.
¿Qué pregunta un cuestionario NIS2 que otros no preguntan?
Más sobre la notificación de incidentes (si puede avisar al cliente con suficiente rapidez para que cumpla su propia obligación de alerta temprana de 24 horas), sobre continuidad del negocio y gestión de crisis, y sobre sus propios proveedores, porque la directiva sigue la cadena.