NIS2 i Cadena de Subministrament: Riscos de Tercers i Obligacions 2026

En virtut de l'article 21(2)(d) de la Directiva NIS2 (2022/2555/UE), les entitats essencials i importants han d'implementar mesures de seguretat de la cadena de subministrament que abordin els riscos plantejats pels proveïdors de TIC, proveïdors de serveis i subcontractistes. Aquesta obligació s'aplica a tots els estats membres de la UE des de l'octubre de 2024 i comporta sancions de fins a 10 milions d'euros o el 2% de la facturació global anual per a les entitats essencials que incompleixin. Aquesta guia explica el que les organitzacions catalanes i espanyoles han de fer per complir l'article 21(2)(d) en el marc del RDL 3/2025.

Quines organitzacions han de complir els requisits de cadena de subministrament de NIS2?

NIS2 estableix una distinció fonamental entre entitats essencials i entitats importants, ambdues subjectes a obligacions de seguretat de la cadena de subministrament — si bé amb intensitats de supervisió diferents.

Les entitats essencials operen en sectors considerats crítics per a la funció social i econòmica: energia, transport, banca i infraestructura dels mercats financers, sanitat, aigua potable i aigues residuals, infraestructura digital (incloent proveïdors de DNS, registres TLD, operadors de núvol i centres de dades, proveïdors de CDN i IXPs), gestió de serveis TIC (B2B), i administració pública a nivell de govern central. Aquestes entitats s'enfronten a supervisió ex ante i al règim de sancions més elevat.

Les entitats importants inclouen serveis postals i de missatgeria, gestió de residus, fabricació de productes crítics (productes químics, dispositius mèdics, aliments, electrònica), proveïdors digitals (mercats en línia, motors de cerca, xarxes socials) i fabricació en general. Estan subjectes a supervisió ex post però amb les mateixes obligacions tècniques.

Que exigeix l'article 21 per a la seguretat de la cadena de subministrament?

L'article 21(2)(d) estableix que les entitats han d'adoptar mesures de gestió de riscos que abordin la seguretat de la cadena de subministrament, incloent els aspectes relacionats amb la seguretat respecte a les relacions entre cada entitat i els seus proveïdors directes o proveïdors de serveis. Aquesta disposició aparentment curta té un pes operatiu substancial.

Avaluacions de riscos per a proveïdors de TIC: les entitats han d'identificar quins proveïdors proveeixen serveis, sistemes o productes de TIC que siguin materials per a la prestació dels seus serveis regulats per NIS2. Cada proveïdor d'aquest tipus ha de ser avaluat pel risc inherent (criticitat i impacte potencial) i el risc residual (la maduresa de seguretat pròpia del proveïdor). Les directrius d'implementació de l'ENISA del 2024 recomanen l'ús d'avaluacions basades en qüestionaris alineats amb ISO/IEC 27036 o equivalent.

Clàusules de seguretat contractuals: les relacions amb proveïdors de TIC materials han d'estar regides per contractes que incloguin obligacions de seguretat específiques. Aquestes no són merament aspiracionals — han de ser executables i verificables. La Directiva NIS2 no especifica una llista de clàusules obligatòria (a diferència de l'article 30 del DORA per a entitats financeres), però les directrius de l'ENISA identifiquen la notificació d'incidents, els drets d'auditoria, els estàndards de seguretat i els controls de subprocessadors com a expectatives mínimes.

Seguiment de vulnerabilitats en el programari del proveïdor: les entitats han de rastrejar activament les vulnerabilitats explotades als productes i serveis lliurats pels seus proveïdors de TIC clau. L'ENISA opera una Base de Dades Europea de Vulnerabilitats (EUVD) — el successor NIS2 dels avisos existents de l'ENISA — que les entitats han de monitoritzar per a les revelacions que afectin la seva cadena de subministrament.

Com implementar la seguretat de la cadena de subministrament de NIS2: cinc passos

La seqüència següent reflecteix el camí d'implementació recomanat per l'ENISA, adaptat per a entitats que comencen el seu programa de compliment de la cadena de subministrament NIS2 des d'una línia base de contractes comercials estàndards.

Quins son els requisits contractuals mínims per als proveïdors de TIC en virtut de NIS2?

Malgrat que NIS2 no publica una llista de clàusules estatutària equivalent a l'article 30 del DORA, les directrius d'implementació NIS2 de l'ENISA (2024) i els considerants subjacents deixen clar que els contractes amb proveïdors de TIC materials han d'abordar cinc categories de disposicions:

• Obligacions de notificació d'incidents: els proveïdors han de notificar a l'entitat qualsevol incident de seguretat que afecti el servei contractat, amb una finestra màxima recomanada de 24 hores per a incidents significatius. Això alimenta el propi termini de notificació NIS2 de l'entitat en virtut de l'article 23.
• Dret d'auditoria: l'entitat ha de conservar el dret contractual de realitzar o encarregar auditories de seguretat del proveïdor, amb avís raonable. Acceptar un informe d'auditoria de tercers (organisme de certificació ISO 27001, auditor SOC 2) en lloc d'una auditoria directa és permissible quan s'acordi.
• Compliment dels estàndards de seguretat: els proveïdors han de mantenir un estàndard de seguretat equivalent o superior a les pròpies obligacions NIS2 de l'entitat — la certificació ISO 27001 o equivalent és el referent del mercat.
• Addenda de processament de dades: on el proveïdor processa dades personals en nom de l'entitat, cal un acord de processament de dades conforme al RGPD en paral·lel.
• Controls de subprocessadors: el proveïdor ha de revelar els seus propis subcontractistes de TIC que siguin materials per al servei contractat, i ha d'obtenir el consentiment de l'entitat (o proporcionar avís previ amb drets d'exclusió) abans d'implicar nous subprocessadors.

Preguntes freqüents

La seguretat de la cadena de subministrament de NIS2 s'aplica als proveïdors de fora de la UE?

Sí. L'article 21(2)(d) no fa cap distinció basada en la ubicació geogràfica del proveïdor. Un proveïdor de núvol dels EUA, de l'Índia o d'Israel que lliura serveis de TIC materials a les teves operacions regulades per NIS2 és un proveïdor en l'àmbit. Has d'imposar-li les mateixes obligacions contractuals que a un proveïdor de la UE. On un proveïdor no comunitari es nega a acceptar clàusules conformes a NIS2, aquesta refusada en si mateixa constitueix un factor de risc que s'ha de registrar i escalar.

Quina sanció s'aplica per incompliment de les obligacions de cadena de subministrament de NIS2?

Per a les entitats essencials, les autoritats nacionals competents poden imposar multes administratives de fins a 10 milions d'euros o el 2% de la facturació global anual total, el que sigui superior. Per a les entitats importants, el màxim és 7 milions d'euros o l'1,4% de la facturació global anual. Aquestes sancions s'apliquen a les obligacions generals de NIS2 en virtut de l'article 21 — la seguretat de la cadena de subministrament és un component. Diversos estats membres (incloent Alemanya i els Països Baixos) han publicat directrius d'execució que suggereixen que les fallades de la cadena de subministrament seran tractades com a incompliments significatius.

Hem d'auditar tots els proveïdors o només els crítics?

L'article 21 requereix un enfocament proporcional — les mesures de gestió de riscos han de ser "adequades i proporcionals" als riscos plantejats. Això significa que un model per nivells no és només permissible sinó esperat. Els proveïdors que presten serveis no crítics sense accés als teus sistemes o dades principals es poden gestionar mitjançant autoavaluació. Els proveïdors de Nivell 1 — aquells crítics per a la teva prestació de serveis regulats — han d'estar subjectes a avaluacions estructurades anuals i, quan estigui justificat, auditories directes. Documenta la justificació de la teva estratificació, ja que les autoritats supervisores poden revisar-la.

Com es relaciona la cadena de subministrament de NIS2 amb els requisits de cadena de subministrament del DORA?

Hi ha un solapament significatiu per a les entitats financeres subjectes a tots dos règims. L'article 28 del DORA estableix obligacions de gestió del risc de tercers de TIC, i l'article 30 especifica clàusules contractuals obligatòries — tots dos repliquen substancialment i en alguns aspectes superen els requisits de cadena de subministrament de NIS2. El DORA és la lex specialis per a les entitats financeres: on una entitat financera està subjecta al DORA, les seves obligacions de gestió del risc de tercers de TIC del DORA es consideren que satisfan els requisits equivalents de NIS2 (article 4 NIS2). Tanmateix, les entitats han de verificar-ho amb la seva autoritat nacional competent.

Quin és un "incident significatiu" en virtut de NIS2 per a propòsits de cadena de subministrament?

L'article 23(3) defineix els incidents significatius com aquells que causen interrupció operativa greu, pèrdua financera, o que afecten altres persones físiques o jurídiques. Els incidents de la cadena de subministrament són significatius si el compromís d'un proveïdor causa o probablement causarà interrupció del servei a les teves operacions regulades per NIS2, una violació de dades, o impacte transfronterer. L'ENISA ha publicat llindars específics per sector — per exemple, les entitats d'energia poden activar la significació en interrupcions que afecten percentatges definits de la capacitat de subministrament. El llindar pràctic per als incidents de la cadena de subministrament és si la fallada del proveïdor activaria la teva pròpia obligació de notificació de l'article 23.