Com implementar la seguretat de la cadena de subministrament de NIS2: cinc passos

La seqüència següent reflecteix el camí d'implementació recomanat per l'ENISA, adaptat per a entitats que comencen el seu programa de compliment de la cadena de subministrament NIS2 des d'una línia base de contractes comercials estàndards.

Quins son els requisits contractuals mínims per als proveïdors de TIC en virtut de NIS2?

Malgrat que NIS2 no publica una llista de clàusules estatutària equivalent a l'article 30 del DORA, les directrius d'implementació NIS2 de l'ENISA (2024) i els considerants subjacents deixen clar que els contractes amb proveïdors de TIC materials han d'abordar cinc categories de disposicions:

• Obligacions de notificació d'incidents: els proveïdors han de notificar a l'entitat qualsevol incident de seguretat que afecti el servei contractat, amb una finestra màxima recomanada de 24 hores per a incidents significatius. Això alimenta el propi termini de notificació NIS2 de l'entitat en virtut de l'article 23.
• Dret d'auditoria: l'entitat ha de conservar el dret contractual de realitzar o encarregar auditories de seguretat del proveïdor, amb avís raonable. Acceptar un informe d'auditoria de tercers (organisme de certificació ISO 27001, auditor SOC 2) en lloc d'una auditoria directa és permissible quan s'acordi.
• Compliment dels estàndards de seguretat: els proveïdors han de mantenir un estàndard de seguretat equivalent o superior a les pròpies obligacions NIS2 de l'entitat — la certificació ISO 27001 o equivalent és el referent del mercat.
• Addenda de processament de dades: on el proveïdor processa dades personals en nom de l'entitat, cal un acord de processament de dades conforme al RGPD en paral·lel.
• Controls de subprocessadors: el proveïdor ha de revelar els seus propis subcontractistes de TIC que siguin materials per al servei contractat, i ha d'obtenir el consentiment de l'entitat (o proporcionar avís previ amb drets d'exclusió) abans d'implicar nous subprocessadors.

Preguntes freqüents

La seguretat de la cadena de subministrament de NIS2 s'aplica als proveïdors de fora de la UE?

Sí. L'article 21(2)(d) no fa cap distinció basada en la ubicació geogràfica del proveïdor. Un proveïdor de núvol dels EUA, de l'Índia o d'Israel que lliura serveis de TIC materials a les teves operacions regulades per NIS2 és un proveïdor en l'àmbit. Has d'imposar-li les mateixes obligacions contractuals que a un proveïdor de la UE. On un proveïdor no comunitari es nega a acceptar clàusules conformes a NIS2, aquesta refusada en si mateixa constitueix un factor de risc que s'ha de registrar i escalar.

Quina sanció s'aplica per incompliment de les obligacions de cadena de subministrament de NIS2?

Per a les entitats essencials, les autoritats nacionals competents poden imposar multes administratives de fins a 10 milions d'euros o el 2% de la facturació global anual total, el que sigui superior. Per a les entitats importants, el màxim és 7 milions d'euros o l'1,4% de la facturació global anual. Aquestes sancions s'apliquen a les obligacions generals de NIS2 en virtut de l'article 21 — la seguretat de la cadena de subministrament és un component. Diversos estats membres (incloent Alemanya i els Països Baixos) han publicat directrius d'execució que suggereixen que les fallades de la cadena de subministrament seran tractades com a incompliments significatius.

Hem d'auditar tots els proveïdors o només els crítics?

L'article 21 requereix un enfocament proporcional — les mesures de gestió de riscos han de ser "adequades i proporcionals" als riscos plantejats. Això significa que un model per nivells no és només permissible sinó esperat. Els proveïdors que presten serveis no crítics sense accés als teus sistemes o dades principals es poden gestionar mitjançant autoavaluació. Els proveïdors de Nivell 1 — aquells crítics per a la teva prestació de serveis regulats — han d'estar subjectes a avaluacions estructurades anuals i, quan estigui justificat, auditories directes. Documenta la justificació de la teva estratificació, ja que les autoritats supervisores poden revisar-la.

Com es relaciona la cadena de subministrament de NIS2 amb els requisits de cadena de subministrament del DORA?

Hi ha un solapament significatiu per a les entitats financeres subjectes a tots dos règims. L'article 28 del DORA estableix obligacions de gestió del risc de tercers de TIC, i l'article 30 especifica clàusules contractuals obligatòries — tots dos repliquen substancialment i en alguns aspectes superen els requisits de cadena de subministrament de NIS2. El DORA és la lex specialis per a les entitats financeres: on una entitat financera està subjecta al DORA, les seves obligacions de gestió del risc de tercers de TIC del DORA es consideren que satisfan els requisits equivalents de NIS2 (article 4 NIS2). Tanmateix, les entitats han de verificar-ho amb la seva autoritat nacional competent.

Quin és un "incident significatiu" en virtut de NIS2 per a propòsits de cadena de subministrament?

L'article 23(3) defineix els incidents significatius com aquells que causen interrupció operativa greu, pèrdua financera, o que afecten altres persones físiques o jurídiques. Els incidents de la cadena de subministrament són significatius si el compromís d'un proveïdor causa o probablement causarà interrupció del servei a les teves operacions regulades per NIS2, una violació de dades, o impacte transfronterer. L'ENISA ha publicat llindars específics per sector — per exemple, les entitats d'energia poden activar la significació en interrupcions que afecten percentatges definits de la capacitat de subministrament. El llindar pràctic per als incidents de la cadena de subministrament és si la fallada del proveïdor activaria la teva pròpia obligació de notificació de l'article 23.