Se puede proteger la propia TI de forma ejemplar y, aun así, quedar paralizado durante días, porque no fue la propia TI. Cuando le toca a un proveedor de TI compartido, a un centro de datos o a un proveedor de software, penden de él todos los que lo utilizan. Para muchas administraciones y empresas es precisamente esa la vía de caída más probable que el ataque directo: el propio perímetro aguanta, pero el servicio que hay detrás desaparece.
Esto ya no es un tema marginal, sino algo regulado. NIS-2 (la directiva europea de ciberseguridad) y DORA (el reglamento europeo de resiliencia digital para el sector financiero) convierten el difuso «riesgo de la cadena de suministro» en obligaciones concretas.
Por qué el rodeo resulta atractivo
Los atacantes calculan en términos económicos. Un proveedor que atiende a 50 municipios o despachos es una palanca: una intrusión, muchas víctimas. La misma concentración que hace asumible la explotación compartida se convierte en objetivo. Y la vía a través de un suministrador de confianza —una actualización manipulada, un acceso de mantenimiento remoto comprometido— sortea muchas defensas, porque llega desde dentro, desde una fuente en la que se confía.
Qué exigen en concreto NIS-2 y DORA
Ambos marcos normativos desplazan la responsabilidad de forma expresa a la cadena:
- Evaluar a los proveedores. Las empresas afectadas deben conocer y evaluar los riesgos de sus proveedores de TI, no una sola vez, sino de forma continua.
- Reforzar los contratos. DORA exige, para las entidades financieras, cláusulas contractuales concretas con los proveedores de servicios TIC: nivel de seguridad, derechos de auditoría, obligaciones de notificación, escenarios de salida ordenados. NIS-2 reclama una diligencia comparable de forma más amplia.
- Aportar pruebas. «Confiamos en nuestro proveedor» no basta. Se exigen datos demostrables: ¿cómo se protege, cómo notifica, con qué rapidez reacciona en una situación crítica?
El reverso incómodo: quien es a su vez proveedor debe poder aportar esas pruebas, y en el futuro será seleccionado en función de ellas.
Qué significa esto en la práctica
La revisión empieza con preguntas incómodas a cada proveedor crítico: ¿dónde están nuestros datos? ¿Quién tiene acceso remoto y cómo está protegido? ¿Cómo se nos informa en caso de incidente y en qué plazo? ¿Existe una recuperación probada, no solo una copia de seguridad? Y: ¿qué ocurre si queremos cambiar de proveedor? Quien no obtiene esas respuestas no ha comprendido su riesgo, sino que solo lo ha externalizado.
Cómo ayudamos en ello
Como casa de sistemas de propiedad familiar estamos a ambos lados de esta cadena. Para nuestros clientes acompañamos la evaluación y la protección de sus proveedores y aportamos las pruebas que exigen NIS-2 y DORA: mantenimiento continuo de la evidencia, procesos de notificación, prevención de emergencias. Y como proveedor exponemos nosotros mismos esas mismas pruebas: explotación documentada, vías de notificación definidas, recuperaciones probadas, un entorno transferible en todo momento. Todo ello con una tarifa plana mensual previsible en el marco de nuestro acompañamiento en Cumplimiento y nuestros Managed Services. Confiar en la cadena de suministro está bien; la confianza demostrable es lo que el legislador exige ya hoy.