Què exigeix NIS2 a un operador de metro

Si treballes en sistemes o en seguretat d’un operador de transport urbà europeu, NIS2 ha deixat de ser un assumpte teòric. Aquest article resumeix a què obliga exactament, què hi afegeix CER per sobre i —la part més pràctica— què hauries d’estar demanant a cada proveïdor que fica un sistema nou a la teva xarxa.

Resum divulgatiu del marc europeu i el seu encaix habitual. La transposició nacional i la qualificació concreta de cada entitat les determina l’autoritat competent de cada estat membre.

Les dues directives, en una frase cadascuna

NIS2 —Directiva (UE) 2022/2555— substitueix la NIS original i apuja el llistó de ciberseguretat per a les entitats considerades essencials o importants. El transport hi és expressament dins de l’àmbit.

CER —Directiva (UE) 2022/2557— n’és la bessona per a la resiliència física de les entitats crítiques. On NIS2 parla de ciberatacs, CER parla de sabotatge, desastres naturals i continuïtat del servei davant d’incidents no digitals.

Es van dissenyar per funcionar juntes. Una entitat designada com a crítica sota CER és, per aquesta via, dins de l’àmbit de NIS2 amb independència de la seva mida.

Els estats membres havien de transposar NIS2 al dret nacional abans del 17 d’octubre de 2024. El ritme de transposició ha estat desigual, però el rumb no admet dubtes.

A què obliga NIS2, en concret

La directiva no és una llista de controls tècnics a l’estil d’una norma ISO. És un marc de gestió del risc amb rendició de comptes. Les seves exigències s’agrupen en quatre blocs.

1. Mesures de gestió del risc

Un enfocament de tots els riscos que cobreixi, com a mínim: polítiques d’anàlisi de riscos i de seguretat dels sistemes, gestió d’incidents, continuïtat de negoci i recuperació, seguretat de la cadena de subministrament, seguretat en l’adquisició i el manteniment de sistemes, polítiques d’avaluació de l’eficàcia de les mesures, higiene i formació en ciberseguretat, criptografia, seguretat dels recursos humans i control d’accessos, i autenticació multifactor.

2. Notificació d’incidents

Amb terminis esglaonats que són el canvi més visible respecte al règim anterior:

• 24 hores: alerta primerenca davant d’un incident significatiu.
• 72 hores: notificació amb avaluació inicial de gravetat, impacte i indicadors de compromís.
• 1 mes: informe final amb descripció detallada, tipus d’amenaça, causa arrel i mesures aplicades.

Vint-i-quatre hores és poc temps si has de començar reconstruint què va passar a base de trucades.

3. Responsabilitat de la direcció

Els òrgans de direcció han d’aprovar les mesures, supervisar-ne l’aplicació i poden respondre personalment del seu incompliment. A més, estan obligats a formar-se. Això és el que ha tret la ciberseguretat de la reunió tècnica i l’ha portada al consell.

4. Supervisió i sanció

Les entitats essencials queden subjectes a supervisió proactiva: auditories, inspeccions i escanejos de seguretat, sense necessitat que hagi passat cap incident. Amb règim sancionador propi.

La part que afecta el que compres

Dels quatre blocs, el que genera més feina diària és la seguretat de la cadena de subministrament. Cada proveïdor que fica programari a la teva xarxa és superfície d’atac nova de la qual respons tu, no ell.

Traduït a la pràctica: quan algú et presenta un sistema, hauries de poder obtenir sense fricció el següent. Si un proveïdor triga setmanes a donar-te això, ja saps el que trigarà quan hi hagi un incident a les tres de la matinada.

Llista de comprovació per a un proveïdor

• Arquitectura i fluxos de dades: què es recull, on s’emmagatzema, qui hi pot accedir, cap on surt.
• Controls d’identitat i accés: doble factor obligatori, control per rols amb àmbit, integració amb el teu directori.
• Xifratge: en trànsit i en repòs, amb la gestió de claus documentada.
• Registre auditable: quines operacions queden traçades, amb quina granularitat i durant quant de temps. Sense això no pots complir el termini de 72 hores.
• Resultat d’auditoria externa: pentest recent fet per un tercer independent, amb l’abast declarat i l’estat de tancament de les troballes.
• Anàlisi de seguretat en el cicle de desenvolupament: SAST i DAST a la cadena d’integració, anàlisi de dependències.
• Procés de gestió de vulnerabilitats: com es comuniquen, en quins terminis es corregeixen i com te n’assabentes tu.
• Compromís de notificació: si l’incident passa al proveïdor, quant triga a dir-t’ho. El teu rellotge de 24 hores comença a córrer igualment.
• Continuïtat: SLA, còpies, procediment de recuperació provat i comportament del sistema davant de la degradació.
• Portabilitat i sortida: com recuperes les teves dades si acabes la relació.
• Encaix amb l’ENS, si operes a Espanya, i amb les guies CCN-STIC corresponents.

Una precisió que convé fer

Veuràs material comercial de proveïdors que afirma que el seu producte «compleix NIS2». Convé ser precís, perquè aquesta frase no vol dir res.

Qui compleix —o no— és l’entitat, no l’eina. NIS2 imposa obligacions a organitzacions, no certifica productes. El que un proveïdor pot fer són dues coses, i totes dues són valuoses: no complicar-te el compliment i aportar l’evidència que tu necessites per demostrar el teu.

Un proveïdor que et lliura la seva arquitectura, els seus controls, l’informe de la seva auditoria i un compromís de notificació t’està donant material per al teu expedient. Un que et lliura un segell inventat, no.

On encaixa un sistema de localització de personal

Val la pena assenyalar-ho perquè sol passar desapercebut: un sistema que registra on era cada equip i què es va fer durant un incident produeix exactament el tipus d’evidència que aquests marcs exigeixen.

• Per a la notificació en 72 hores, tenir reconstruïble la seqüència de la resposta estalvia la part més lenta de l’informe.
• Per a la continuïtat operativa de CER, poder coordinar personal dispers en una infraestructura subterrània durant una evacuació o un incident físic és una capacitat de resiliència, no un luxe.
• Per a la millora contínua, la reproducció d’esdeveniments converteix la revisió posterior en una anàlisi amb dades.

Amb una condició, i és important: el mateix sistema ha d’estar a l’altura del que exigeix el marc. Un sistema de traçabilitat mal assegurat és un problema afegit, no una solució.

Per continuar llegint

• Seguretat i compliment: controls concrets i marc normatiu
• És legal geolocalitzar un treballador?

Referències

• Directiva (UE) 2022/2555 (NIS2), relativa a mesures per a un elevat nivell comú de ciberseguretat a tota la Unió.
• Directiva (UE) 2022/2557 (CER), relativa a la resiliència de les entitats crítiques.
• Centre Criptològic Nacional — guies CCN-STIC i Esquema Nacional de Seguretat.