La cadena de suministro en NIS2

El artículo 21, apartado 2, punto (d), incluye la seguridad de la cadena de suministro y, en concreto, los aspectos de seguridad de la relación entre cada entidad y sus proveedores directos o prestadores de servicios. El apartado 3 añade lo que debe tenerse en cuenta al decidir qué medidas son adecuadas: las vulnerabilidades específicas de cada proveedor directo y la calidad general de sus productos y de sus prácticas de ciberseguridad, incluidos sus procedimientos de desarrollo seguro.

La obligación es de la entidad, no del proveedor: la entidad responde ante la autoridad de cómo gestiona esa relación, aunque el proveedor sea quien falle.

Una buena práctica de la medida (d) es evaluar la seguridad de los proveedores antes de contratar y revisarla de vez en cuando, y hacerlo con más profundidad cuanto más acceso tienen a los sistemas. Un proveedor con acceso a sistemas clínicos y sin evaluación es una brecha de la entidad, no solo del proveedor.

Consulta SELECT * FROM proveedores.

El contrato es la herramienta de la entidad para exigir. Interesan, entre otras cosas, las cláusulas de seguridad, el derecho de auditoría y el plazo en que el proveedor debe avisarle de un incidente. Ese último importa por un motivo concreto: la entidad tiene que poder enviar su alerta temprana en 24 horas desde que tiene conocimiento, y un proveedor que tarda días en avisar la deja a oscuras.

Consulta SELECT * FROM contratos.

Además de proveedor por proveedor, se mira cuántos servicios críticos dependen de cada uno. Una dependencia concentrada convierte a un solo proveedor en un punto de falla de la entidad: si cae, caen varios servicios a la vez. La evaluación de ese proveedor debe ser más exigente y la entidad debe pensar cómo seguiría sin él.

Consulta SELECT * FROM servicios_criticos y cuenta por proveedor.

Una brecha de proveedor no se resuelve a golpe de rescisión. Se resuelve con una secuencia: evaluar, completar el contrato y reducir el riesgo mientras tanto, por ejemplo limitando y vigilando el acceso del proveedor a los sistemas.