- Les empreses que presten serveis essencials i els proveïdors de determinats serveis digitals hauran de gestionar el risc informàtic.
- Hauran d’avaluar riscos, adoptar mesures adequades i notificar a les autoritats els incidents que pateixin.
- Encara que no s’hi estigui obligat, la norma marca el nivell de diligència que clients i proveïdors començaran a exigir a qualsevol empresa.
El 7 de setembre del 2018 el Consell de Ministres va aprovar el Reial decret llei 12/2018, de seguretat de les xarxes i els sistemes d’informació, publicat al BOE l’endemà. La norma transposa a l’ordenament espanyol la Directiva (UE) 2016/1148, de 6 de juliol del 2016, coneguda com a directiva NIS, el termini de transposició de la qual havia vençut el maig del 2018.
S’aplica a les entitats que presten serveis essencials per a la comunitat i depenen de les xarxes i els sistemes d’informació per a la seva activitat, així com als proveïdors de determinats serveis digitals. Estableix que aquestes entitats han de fer una avaluació prèvia de riscos, adoptar mesures adequades per gestionar els que es plantegin i notificar els incidents que pateixin.
A qui afecta
El decret identifica els sectors en què cal garantir la protecció de les xarxes i els sistemes d’informació i fixa procediments per determinar quins serveis són essencials i qui són els principals operadors. Les autoritats han de designar de manera concreta els operadors essencials amb els criteris de la directiva, de manera que no totes les empreses d’un sector quedaran incloses automàticament. La directiva europea cobreix sectors com l’energia, el transport, la banca, les infraestructures dels mercats financers, la salut, l’aigua potable i les infraestructures digitals.
Els serveis digitals inclosos són els mercats en línia, els motors de cerca i la computació en el núvol. Això arriba tant a grans operadors com a empreses tecnològiques de menor mida que ofereixin aquests serveis a clients de la Unió. Les microempreses i petites empreses proveïdores de serveis digitals queden, en general, fora de l’àmbit, però qualsevol empresa es pot veure afectada de manera indirecta per ser proveïdora o subcontractista d’un operador essencial.
Quines obligacions introdueix
La primera obligació és de gestió del risc: conèixer quins sistemes són crítics, quines amenaces els afecten i quines mesures tècniques i organitzatives els protegeixen. La segona és de notificació: els incidents amb efectes significatius per a la continuïtat del servei s’han de comunicar a les autoritats competents. Aquestes exigències complementen les del Reglament general de protecció de dades, que ja obliga a notificar les bretxes de seguretat amb dades personals, però tenen un objecte diferent: la continuïtat del servei.
Per a les empreses, suposa passar d’una ciberseguretat entesa com a assumpte tècnic a una altra tractada com a risc del negoci, amb responsabilitats definides i procediments documentats. També introdueix un règim de supervisió i sanció per als qui no compleixin, de manera que la ciberseguretat passa a formar part del compliment normatiu.
Què convé revisar
Un primer pas és comprovar si l’empresa presta serveis que es podrien considerar essencials o digitals en el sentit de la norma, o si depèn de clients o proveïdors que sí que ho són. Després convé fer un inventari dels sistemes crítics, avaluar els riscos i verificar que existeixen còpies de seguretat, plans de resposta davant d’incidents i un responsable clar. També convé revisar les assegurances, que no sempre cobreixen els ciberincidents, i les clàusules de seguretat amb els proveïdors externs d’informàtica.
Encara que la norma no obligui una empresa en concret, els seus clients més grans sí que li poden demanar garanties per contracte. Disposar de polítiques de seguretat escrites, formació del personal i un procediment d’avís davant d’incidents és un avantatge competitiu, i la seva preparació es pot recolzar en un assessor jurídic i en un especialista tècnic.
La ciberseguretat deixa de ser opcional per als serveis essencials, i comença a ser una exigència de mercat per a la resta.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
