Que esixe NIS2 a un operador de metro

Se traballas en sistemas ou en seguridade dun operador de transporte urbano europeo, NIS2 deixou de ser un asunto teórico. Este artigo resume a que obriga exactamente, que engade CER por riba, e —a parte máis práctica— que deberías estar a pedirlle a cada provedor que mete un sistema novo na túa rede.

Resumo divulgativo do marco europeo e o seu encaixe habitual. A transposición nacional e a cualificación concreta de cada entidade determínaas a autoridade competente de cada Estado membro.

As dúas directivas, nunha frase cada unha

NIS2 —Directiva (UE) 2022/2555— substitúe a NIS orixinal e sobe o listón de ciberseguridade para as entidades consideradas esenciais ou importantes. O transporte está expresamente dentro do seu ámbito.

CER —Directiva (UE) 2022/2557— é a súa xemelga para a resiliencia física das entidades críticas. Onde NIS2 fala de ciberataques, CER fala de sabotaxe, desastres naturais e continuidade do servizo ante incidentes non dixitais.

Deseñáronse para funcionar xuntas. Unha entidade designada como crítica baixo CER está, por esa vía, dentro do ámbito de NIS2 con independencia do seu tamaño.

Os Estados membros debían transpoñer NIS2 ao dereito nacional para o 17 de outubro de 2024. O ritmo de transposición foi desigual, pero o rumbo non admite dúbida.

A que obriga NIS2, en concreto

A directiva non é unha lista de controis técnicos ao estilo dunha norma ISO. É un marco de xestión de risco con rendición de contas. As súas esixencias agrúpanse en catro bloques.

1. Medidas de xestión de risco

Un enfoque de todos os riscos que cubra, como mínimo: políticas de análise de riscos e de seguridade dos sistemas, xestión de incidentes, continuidade de negocio e recuperación, seguridade da cadea de subministración, seguridade na adquisición e no mantemento de sistemas, políticas de avaliación da eficacia das medidas, hixiene e formación en ciberseguridade, criptografía, seguridade dos recursos humanos e control de accesos, e autenticación multifactor.

2. Notificación de incidentes

Con prazos escalonados que son o cambio máis visible respecto do réxime anterior:

• 24 horas: alerta temperá ante un incidente significativo.
• 72 horas: notificación con avaliación inicial de gravidade, impacto e indicadores de compromiso.
• 1 mes: informe final con descrición detallada, tipo de ameaza, causa raíz e medidas aplicadas.

Vinte e catro horas é pouco tempo se tes que comezar reconstruíndo o que pasou a base de chamadas.

3. Responsabilidade da dirección

Os órganos de dirección deben aprobar as medidas, supervisar a súa aplicación e poden responder persoalmente do seu incumprimento. Están ademais obrigados a formarse. Isto é o que sacou a ciberseguridade da reunión técnica e a levou ao consello.

4. Supervisión e sanción

As entidades esenciais quedan suxeitas a supervisión proactiva: auditorías, inspeccións e escaneos de seguridade, sen necesidade de que ocorrese un incidente. Con réxime sancionador propio.

A parte que afecta ao que mercas

Dos catro bloques, o que máis traballo diario xera é a seguridade da cadea de subministración. Cada provedor que mete software na túa rede é superficie de ataque nova da que respondes ti, non el.

Traducido á práctica: cando alguén che presenta un sistema, deberías poder obter sen fricción o seguinte. Se un provedor tarda semanas en darche isto, xa sabes o que vai tardar cando haxa un incidente ás tres da mañá.

Lista de comprobación para un provedor

• Arquitectura e fluxos de datos: que se recolle, onde se almacena, quen pode acceder, cara a onde sae.
• Controis de identidade e acceso: dobre factor obrigatorio, control por roles con ámbito, integración co teu directorio.
• Cifrado: en tránsito e en repouso, coa xestión de chaves documentada.
• Rexistro auditable: que operacións quedan trazadas, con que granularidade e durante canto tempo. Sen isto non podes cumprir o prazo de 72 horas.
• Resultado de auditoría externa: pentest recente por un terceiro independente, co alcance declarado e o estado de peche de achados.
• Análise de seguridade no ciclo de desenvolvemento: SAST e DAST na cadea de integración, análise de dependencias.
• Proceso de xestión de vulnerabilidades: como se comunican, en que prazos se corrixen e como te enteras ti.
• Compromiso de notificación: se o incidente ocorre no provedor, canto tarda en dicircho. O teu reloxo de 24 horas comeza a correr igual.
• Continuidade: SLA, copias, procedemento de recuperación probado e comportamento do sistema ante degradación.
• Portabilidade e saída: como recuperas os teus datos se rematas a relación.
• Encaixe co ENS, se operas en España, e coas guías CCN-STIC correspondentes.

Unha precisión que convén facer

Verás material comercial de provedores que afirma que o seu produto «cumpre NIS2». Convén ser preciso, porque esa frase non significa nada.

Quen cumpre —ou non— é a entidade, non a ferramenta. NIS2 impón obrigas a organizacións, non certifica produtos. O que un provedor pode facer son dúas cousas, e ambas son valiosas: non complicarche o cumprimento, e achegar a evidencia que ti necesitas para demostrar o teu.

Un provedor que che entrega a súa arquitectura, os seus controis, o informe da súa auditoría e un compromiso de notificación está a darche material para o teu expediente. Un que che entrega un selo inventado, non.

Onde encaixa un sistema de localización de persoal

Paga a pena sinalalo porque adoita pasar desapercibido: un sistema que rexistra onde estaba cada equipo e que se fixo durante un incidente produce exactamente o tipo de evidencia que estes marcos esixen.

• Para a notificación en 72 horas, ter reconstruíble a secuencia da resposta aforra a parte máis lenta do informe.
• Para a continuidade operativa de CER, poder coordinar persoal disperso nunha infraestrutura subterránea durante unha evacuación ou un incidente físico é unha capacidade de resiliencia, non un luxo.
• Para a mellora continua, a reprodución de eventos converte a revisión posterior nunha análise con datos.

Cunha condición, e é importante: o propio sistema ten que estar á altura do que esixe o marco. Un sistema de trazabilidade mal asegurado é un problema engadido, non unha solución.

Para seguir lendo

• Seguridade e cumprimento: controis concretos e marco normativo
• É legal xeolocalizar un traballador?

Referencias

• Directiva (UE) 2022/2555 (NIS2), relativa ás medidas destinadas a garantir un elevado nivel común de ciberseguridade en toda a Unión.
• Directiva (UE) 2022/2557 (CER), relativa á resiliencia das entidades críticas.
• Centro Criptolóxico Nacional — guías CCN-STIC e Esquema Nacional de Seguridade.