Servicio 09.2
NIS2 y DORA
En NIS2 la responsabilidad está en el consejo. La evidencia que hay que producir, por tanto, es evidencia dirigida al consejo.
Qué es
La adecuación a NIS2 y a DORA cubre el gobierno de la ciberseguridad, la gestión del riesgo de proveedores tecnológicos y el procedimiento de notificación de incidentes, con la evidencia dirigida al órgano de dirección. Economía y Diplomacia entrega el marco de gobierno y el registro de proveedores.
¿Le aplica?
Marque los supuestos que reconozca en su organización.
Qué ocurre si no se actúa
Para las entidades esenciales, el artículo 34 de la Directiva (UE) 2022/2555 fija multas administrativas de hasta diez millones de euros o el dos por ciento del volumen de negocios anual mundial total, la cuantía que sea mayor; para las importantes, siete millones o el uno coma cuatro por ciento. El porcentaje se calcula sobre el volumen mundial del grupo, no sobre el de la filial afectada.
Qué recibe
Marco de gobierno y registro de proveedores: aprobación y supervisión por el órgano de dirección, medidas del artículo 21, registro de acuerdos con terceros TIC y procedimiento de notificación con plazos.
Fases del encargo
- 01
Encaje
Se determina por escrito si la entidad es esencial, importante o queda fuera, y por qué precepto.
- 02
Gobierno
Se lleva la aprobación y la supervisión al órgano de dirección, con acta y formación acreditada.
- 03
Medidas
Se implantan las medidas del artículo 21 y se documenta su operación.
- 04
Terceros
Se levanta el registro de proveedores TIC con distinción de funciones críticas o importantes.
- 05
Notificación
Se ensaya el procedimiento de alerta temprana y notificación completa con sus plazos.
Veinticuatro horas no admiten improvisación
El artículo 23 de la Directiva (UE) 2022/2555 exige alerta temprana sin demora indebida y en todo caso dentro de las veinticuatro horas desde el conocimiento del incidente significativo, notificación completa dentro de las setenta y dos horas e informe final posterior. El procedimiento debe estar ensayado antes: quién decide que es significativo, quién firma la alerta y con qué contenido mínimo.
La cadena de suministro es el punto que más incumplimientos genera
El artículo 21 incluye la seguridad de la cadena de suministro entre las medidas exigibles. Suele resolverse con un cuestionario al proveedor, cuando la directiva exige traslado contractual de obligaciones y verificación posterior. Un cuestionario acredita la declaración del proveedor, no su cumplimiento.
El registro de terceros de DORA tiene formato propio
Los artículos 28 y siguientes del Reglamento (UE) 2022/2554 obligan a mantener un registro de información sobre todos los acuerdos contractuales relativos a servicios tecnológicos de terceros, distinguiendo los que sustentan funciones críticas o importantes. Reutilizar el plan de continuidad no lo cubre: el registro tiene contenido y formato propios, y se remite a la autoridad competente.
Lo que preguntan antes de contratar
¿Cuánto cuesta la adecuación a NIS2 o a DORA?
Depende del encaje, del tamaño de la entidad, del número de proveedores tecnológicos y de la madurez de partida. Economía y Diplomacia empieza por determinar el encaje, que es lo que fija el alcance del resto.
¿Cuánto tarda?
El gobierno y el procedimiento de notificación pueden establecerse en plazos cortos. El registro de proveedores y la renegociación contractual con ellos es la parte extensa, porque depende de terceros.
¿A quién obliga DORA?
El artículo 2 del Reglamento (UE) 2022/2554 alcanza a entidades de crédito, de pago, de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, aseguradoras, gestoras de fondos y, entre otros, a los proveedores terceros de servicios tecnológicos designados como críticos. Un proveedor tecnológico queda alcanzado aunque su actividad principal no sea financiera.
¿Basta con tener certificación ISO 27001?
No. Una certificación de sistema de gestión es evidencia útil, pero no sustituye a las obligaciones específicas de gobierno, notificación y registro de terceros que estas normas imponen.