La directiva NIS2 estableix requisits específics de ciberseguretat per a empreses de sectors crítics, però què passa amb les Pimes que no estan directament obligades? Encara que la teva empresa no estigui classificada com a entitat essencial o important, conèixer els requisits de la NIS2 per a Pimes t'ajudarà a establir una base sòlida de protecció. En aquest article t’expliquem quines mesures mínimes hauries d’implementar, com preparar evidències per a auditories i per què fins i tot les empreses no obligades haurien de prestar atenció a aquesta normativa.
Què és NIS2 i a què Pimes afecta directament?
La directiva NIS2 (Network and Information Security 2) és la normativa europea de ciberseguretat que va entrar en vigor el gener de 2023 i havia de transposar-se a la legislació espanyola abans d’octubre de 2024. Aquesta directiva estableix requisits de ciberseguretat per a empreses que operen en 18 sectors considerats crítics o essencials.
Quant a requisits NIS2 per a Pimes per mida, la normativa afecta directament a:
- Mitjanes empreses: entre 50 i 250 empleats, amb facturació entre 10 i 50 milions d’euros anuals
- Grans empreses: més de 250 empleats i més de 50 milions d’euros de facturació anual
No obstant això, hi ha excepcions on fins i tot petites empreses poden estar obligades: si la seva activitat és considerada crítica, si són l'únic proveïdor d'un servei essencial en el territori o si operen en sectors específics com infraestructura digital o serveis DNS.
Per què les Pimes no obligades haurien de conèixer els requisits NIS2?
Encara que la teva Pime no estigui directament afectada per NIS2, hi ha raons importants per implementar requisits similars:
- Requisits de la cadena de subministrament: Les empreses obligades per NIS2 poden exigir als seus proveïdors el compliment de estàndards mínims de ciberseguretat. Si treballes amb clients de sectors crítics (energia, sanitat, banca, transport), poden demanar-te evidències documentades de les teves mesures de protecció.
- Protecció real del negoci: Els ciberatacs no distingeixen entre empreses obligades per NIS2 i les que no. Un atac de ransomware pot paralitzar la teva activitat durant setmanes, independentment de la teva mida o sector.
- Pestany amb el RGPD: Si tractes dades personals, ja estàs obligat pel Reglament General de Protecció de Dades a implementar mesures tècniques i organitzatives. Els requisits NIS2 per a Pimes es solapaen significativament amb aquestes obligacions.
- Preparació a les futures ampliacions: La tendència normativa és cap a una major exigència. Avançar-te a possibles canvis legislatius t'estalviarà costos i urgències.
Requisits NIS2 per a Pimes: les mesures clau adaptades
Basant-nos en els nou pilars que estableix NIS2, aquestes són les mesures que qualsevol Pime hauria de considerar, adaptades a la seva escala:
Anàlisi de riscos i conceptes de seguretat
Identifica quina informació és crítica per al teu negoci (dades de clients, informació financera, credencials) i quins sistemes són essencials. Avalua les amenaces més probables segons el teu sector i mida. No necessites una anàlisi exhaustiva com la que exigeix NIS2, però sí un document bàsic que identifiqui riscos i prioritats.
Gestió d’incidents de seguretat
Estableix un protocol simple de resposta davant d’incidents: a qui avisar, com aïllar sistemes afectats, passos per contenir el dany. Tot i que NIS2 exigeix notificar incidents greus en 24-72 hores a les autoritats, la teva Pime hauria de tenir almenys un pla intern d'actuació.
Continuïtat d’operacions i còpies de seguretat
Implementa backups automàtics regulars (diaris o setmanals segons criticitat). Desa almenys una còpia offline per protegir-te contra ransomware. Prova periòdicament que pots restaurar les dades. Aquest és un dels requisits NIS2 per a Pimes més crítics i més accessibles d’implementar.
Seguretat de la cadena de subministrament
Avalua als teus proveïdors tecnològics principals. Assegura't que els contractes amb proveïdors que accedeixen a les teves dades inclouen clàusules de confidencialitat i seguretat. Mantingues un inventari actualitzat d'aquests proveïdors.
Control d’accés i gestió d’identitats
Cada empleat ha de tenir accés només a la informació necessària per a la seva feina. Implementa contrasenyes robustes i autenticació de doble factor (2FA) per a accessos crítics. Revisa permisos trimestralment i elimina accessos d'antics empleats immediatament.
Actualitzacions i gestió de pegats
Mantingueu actualitzats tots els sistemes operatius, aplicacions i dispositius. Molts atacs aprofiten vulnerabilitats amb pegats disponibles. Estableix un calendari d’actualitzacions prioritàries.
Formació bàsica del personal
El factor humà és l'eslòbó més feble. Forma als teus empleats en reconeixement de phishing, gestió de contrasenyes segures i procediments davant incidents sospitosos. Una sessió anual pot prevenir la majoria d'atacs.
Encriptatge de dades crítiques
Encripta les dades més sensibles, especialment si treballes amb informació de clients o dades financeres. Implementa HTTPS a la vostra web i considera xifrar comunicacions per correu electrònic quan comparteixis informació confidencial.
Protecció perimetral i seguretat de xarxa
Mantingues actius firewalls, antivirus i antimalware en tots els equips. Configura correctament el router i la wifi empresarial amb contrasenyes robustes i, si és possible, segmenta la xarxa per separar àrees crítiques.
Evidencies documentals essencials per a auditories
La documentació és tan important com les mesures tècniques. Aquests són els documents mínims que hauries de preparar:
- Inventari d’actius: Llistat d'equips, aplicacions, serveis cloud i proveïdors tecnològics, amb indicació de quina informació crítica maneja cadascun.
- Anàlisi de riscos documentat: Encara que sigui bàsic, ha d’incloure amenaces identificades, probabilitat, impacte i mesures adoptades. Actualitza-ho anualment.
- Política de còpies de seguretat: Document sovint de backups, localització, responsables i freqüència de proves de restauració. Inclou registres de còpies realitzades.
- Matriu de permisos: Documenta quins empleats accedeixen a quins sistemes. Desa les evidències de revisions periòdiques.
- Registre d’actualitzacions: Control de pegats de seguretat aplicats en dates i responsables.
- Certificats de formació: Registres de sessions formatives amb data, contingut i assistents.
- Protocol de gestió d’incidents: Procediment escrit davant incidents amb contactes, passos i responsables.
- Contractes amb proveïdors: Còpies signades de contractes que incloguin clàusules de seguretat i confidencialitat.
Quan necessitaràs demostrar els teus requisits de ciberseguretat
La teva Pime pot necessitar evidenciar les seves mesures de ciberseguretat en diversos escenaris:
- Auditoria de client gran: Empreses afectades per NIS2 poden exigir demostrar les teves mesures com a condició contractual
- Inspecció RGPD: L’Agència Espanyola de Protecció de Dades avaluarà les teves mesures tècniques i organitzatives
- Certificacions voluntàries: Si busques certificar-te en ISO 27001 o Esquema Nacional de Seguretat
- Processos d’inversió: En due diligence, l'estat de la teva ciberseguretat serà avaluat
Implementa els requisits NIS2 amb assessorament expert
Conèixer i aplicar els requisits NIS2 per a Pimes, encara que no estiguis directament obligada, pot marcar la diferència entre mantenir la teva activitat després d'un ciberatac o enfrontar una crisi operativa devastadora. A més, obre portes comercials amb clients que exigeixen estàndards de seguretat documentats.
En Afianza T'ajudem a implementar aquests requisits de forma proporcionada a la teva mida:
- Avaluació d’aplicabilitat: Determinem si la teva Pime està obligada directament per NIS2 o si hauries d'aplicar requisits similars
- Anàlisi de riscos adaptat: Identifica vulnerabilitats específiques del teu sector i mida
- Implementació proporcional: Et guiem en mesures de seguretat realistes per al teu pressupost i recursos
- Documentació per a auditories: Preparem tota l'evidència necessària per a clients, certificacions o inspeccions
- Coordinació amb el RGPD: Integrem requisits de ciberseguretat amb les teves obligacions de protecció de dades
No esperis a que un client important et demani evidències que no tens o a patir un ciberatac que paralitzi el teu negoci. Contacta amb Afianza i estableix els requisits mínims de ciberseguretat que protegiran la teva Pime i enfortiran la teva posició competitiva.
