Daniel Bermejo · Cofundador y responsable de Tecnología, Trusty · Emprendedor en serie, ex PwC, IBM y Roche · Exdirector general, Startup Invest
Un proveedor de la nube sufre una caída.
Un proveedor de software sufre una brecha de seguridad.
Un proveedor de seguridad gestionada se ve comprometido.
Un subcontratista introduce una vulnerabilidad en su red.
Tanto con DORA como con NIS2, decir «el problema ocurrió en nuestro proveedor» no le exime necesariamente de su responsabilidad.
Pero los dos regímenes de ciberseguridad de la UE abordan el riesgo de terceros de forma diferente.
en una sola plataforma
Mantenga las pruebas de sus proveedores lista para auditoría. Haga seguimiento de qué proveedores respaldan funciones críticas, recopila la documentación de diligencia debida y conserva las pruebas que esperan los reguladores, todo en un solo lugar.
DORA vs NIS2 de un vistazo
DORA | NIS2 | |
|---|---|---|
Nombre completo | Reglamento de Resiliencia Operativa Digital | Directiva NIS2 |
Enfoque principal | Resiliencia operativa digital en el sector financiero | Ciberseguridad en sectores esenciales e importantes |
Enfoque sobre terceros | Proveedores externos de servicios TIC | Proveedores directos y prestadores de servicios relevantes para la ciberseguridad/seguridad de la cadena de suministro |
Registro de proveedores | Registro detallado de acuerdos contractuales TIC | No existe un requisito universal equivalente a un registro al estilo DORA |
Evaluación de criticidad | Enfoque principal | Evaluación de la cadena de suministro basada en el riesgo |
Requisitos contractuales | Requisitos detallados, especialmente para funciones críticas o importantes | Los requisitos de ciberseguridad deben abordarse en las relaciones con proveedores según corresponda |
Subcontratación | Especialmente relevante en el marco de DORA | Los riesgos de la cadena de suministro pueden ir más allá de los proveedores directos |
¿Se puede externalizar la responsabilidad? | No | No hay una transferencia simple de la responsabilidad de ciberseguridad |
¿Reglamento o directiva? | Reglamento de la UE | Directiva aplicada mediante legislación nacional |
¿Qué exige DORA para el riesgo de terceros?
DORA se aplica a una amplia gama de entidades financieras y crea un marco específico para gestionar el riesgo TIC de terceros.
Su principio básico es simple:
Usar un proveedor TIC externo no externaliza su responsabilidad regulatoria.
Una entidad financiera sigue siendo responsable de cumplir con DORA incluso cuando un tercero presta un servicio TIC.
Eso convierte la supervisión de proveedores en una cuestión continua de gobernanza, y no simplemente en un ejercicio de compras.
¿Qué terceros se tienen en cuenta en DORA?
DORA se centra en los terceros proveedores de servicios TIC.
Los ejemplos pueden incluir proveedores de:
- infraestructura en la nube;
- software;
- alojamiento de datos;
- centros de datos;
- servicios de TI gestionados;
- servicios de ciberseguridad;
- procesamiento de datos;
- plataformas tecnológicas;
- infraestructura de red;
- ciertas funciones de TIC externalizadas.
La cuestión clave es si el tercero presta un servicio TIC utilizado por la entidad financiera.
Por tanto, no todos los proveedores necesitan el mismo tratamiento con arreglo a DORA.
Su proveedor de café de oficina no pertenece a la misma categoría de riesgo que la plataforma en la nube que ejecuta un proceso bancario central.
¿Y qué pasa con las funciones críticas o importantes?
DORA pone un énfasis particular en los servicios de TIC que soportan una función crítica o importante.
Antes de establecer ciertos acuerdos de TIC, las entidades financieras deben evaluar factores como si el servicio soporta una función crítica o importante y los riesgos derivados del acuerdo.
Esto puede afectar a:
- la diligencia debida;
- los requisitos contractuales;
- el análisis de riesgo de concentración;
- la supervisión;
- los derechos de auditoría/acceso;
- la planificación de salida;
- los controles de subcontratación.
Esto significa que la clasificación de proveedores importa.
Un inventario DORA útil no debería limitarse a decir:
Proveedor: Empresa Cloud
Debería recoger algo más parecido a:
Proveedor → servicio TIC → función de negocio → criticidad → datos → ubicación → subcontratistas → riesgo → contrato → supervisión → estrategia de salida
¿DORA exige un registro de proveedores externos?
DORA exige que las entidades financieras mantengan un registro de información que cubra los acuerdos contractuales de servicios TIC prestados por proveedores externos de servicios TIC.
Esa es una de las diferencias más claras entre DORA y un programa genérico de gestión de proveedores.
La organización necesita saber no solo quiénes son sus proveedores, sino cómo se asignan los servicios TIC a los acuerdos contractuales y a las funciones de negocio.
Este registro también es importante para que la supervisión tenga visibilidad de las dependencias TIC.
¿Necesita supervisar a todos los proveedores de TIC de DORA por igual?
No.
DORA utiliza explícitamente la proporcionalidad.
El nivel de supervisión debe considerar factores como:
- la naturaleza de la dependencia de TIC;
- la escala y la complejidad;
- la importancia del servicio;
- si soporta una función crítica o importante;
- el impacto potencial de la interrupción;
- el riesgo de concentración;
- la sustituibilidad;
- la subcontratación;
- las dependencias geográficas u operativas.
Eso crea un enfoque escalonado del riesgo de proveedores.
Identifica todos los acuerdos TIC relevantes → clasifíquelos → aplica controles más estrictos donde el riesgo sea mayor.
TIC críticos
¿Necesita demostrar una supervisión proporcional? Trusty hace seguimiento de qué proveedores respaldan funciones críticas o importantes, recopila la documentación de diligencia debida y conserva las pruebas que esperan los reguladores, todo en un solo lugar.
¿Qué exige NIS2 para terceros?
NIS2 adopta un enfoque más amplio de ciberseguridad y cadena de suministro.
El artículo 21 exige que las entidades esenciales e importantes cubiertas implementen medidas de gestión de riesgos de ciberseguridad adecuadas y proporcionales.
Una medida específicamente enumerada es:
la seguridad de la cadena de suministro, incluidos los aspectos relacionados con la seguridad en las relaciones con los proveedores directos o prestadores de servicios de cada entidad.
Eso significa que la ciberseguridad de los proveedores forma parte expresamente del cumplimiento de NIS2.
¿Qué proveedores debe evaluar según NIS2?
NIS2 pone un énfasis particular en los proveedores directos y de servicios.
Al decidir qué medidas son apropiadas, las organizaciones deben considerar:
- las vulnerabilidades específicas de cada proveedor o prestador de servicios directo;
- la calidad general de sus productos;
- las prácticas de ciberseguridad;
- los procedimientos de desarrollo seguro;
- la resiliencia de los servicios o productos;
- las dependencias relevantes de la cadena de suministro.
Por tanto, el análisis va más allá de preguntar si un proveedor tiene un certificado de ciberseguridad.
Necesita entender qué riesgo introduce el proveedor en su red y sistemas de información.
¿Qué tipos de proveedores en NIS2 generan un riesgo particular?
Dependiendo de la organización, los terceros relevantes pueden incluir:
- proveedores de la nube;
- centros de datos;
- proveedores de software;
- proveedores de SaaS;
- proveedores de servicios gestionados;
- proveedores de servicios de seguridad gestionados;
- consultores de TI;
- proveedores de alojamiento;
- proveedores de comunicaciones;
- proveedores de hardware crítico;
- proveedores de procesamiento de datos.
NIS2 destaca específicamente riesgos que implican a proveedores como servicios de almacenamiento y tratamiento de datos, proveedores de servicios de seguridad gestionada y proveedores de software.
¿NIS2 solo cubre a los proveedores directos?
El requisito legal de seguridad de la cadena de suministro se refiere específicamente a los aspectos de seguridad de las relaciones con proveedores directos o prestadores de servicios.
Pero eso no significa que los riesgos más profundos de la cadena de suministro puedan ignorarse siempre.
Los considerandos de NIS2 reconocen expresamente que las organizaciones pueden considerar los riesgos derivados de otros niveles de proveedores y prestadores de servicios.
Esto se vuelve particularmente relevante cuando:
- un proveedor crítico depende en gran medida de un subcontratista;
- el software incorpora componentes vulnerables de terceros;
- hay un único punto de fallo;
- un proveedor tiene una concentración geográfica significativa;
- un proveedor depende de otro proveedor de infraestructura crítica.
Así que la pregunta práctica no es simplemente:
«¿Es este nuestro proveedor directo?»
También es:
«¿Podría una dependencia más profunda comprometer de forma significativa nuestra ciberseguridad?»
DORA vs NIS2: ¿a quién debe supervisar?
Una distinción útil es:
Con DORA
Empiece mapeando a sus proveedores externos de servicios TIC.
Luego identifica qué servicios respaldan funciones críticas o importantes.
Esos acuerdos merecen una evaluación especialmente sólida, controles contractuales y supervisión continua.
Con NIS2
Empiece por proveedores directos y prestadores de servicios que puedan afectar a la seguridad de su red y sistemas de información.
Luego evalúa si dependencias indirectas importantes crean un riesgo cibernético significativo adicional.
Ejemplo: uso de Microsoft Azure
Supongamos que una empresa financiera depende de un importante proveedor de la nube para la infraestructura que soporta una función crítica.
Según DORA, ese acuerdo es claramente relevante para el marco de riesgo de TIC de terceros de la organización.
La organización puede necesitar considerar:
- la criticidad del servicio;
- las disposiciones contractuales;
- la disponibilidad;
- la ubicación de los datos;
- la seguridad;
- los derechos de auditoría y acceso;
- la subcontratación;
- el riesgo de concentración;
- las opciones de salida.
Si esa organización también se encuentra en un contexto cubierto por NIS2, la misma relación con el proveedor podría ser relevante para la ciberseguridad de la cadena de suministro.
El proveedor subyacente es el mismo.
La razón legal para evaluarlo no lo es.
Ejemplo: proveedor de nóminas
Considere un proveedor externo de SaaS de nóminas.
Con DORA, la primera pregunta es si el servicio entra dentro del marco relevante de terceros TIC y qué funciones respalda.
Con NIS2, la empresa debe considerar si un compromiso del proveedor podría crear un riesgo significativo de ciberseguridad.
El nivel de riesgo resultante podría ser considerablemente menor que el de la infraestructura en la nube principal de la organización.
Por eso, aplicar el mismo cuestionario y el mismo calendario de revisión a todos los proveedores rara vez es el mejor enfoque.
no sirve para todos los proveedores
Evalúa a los proveedores por riesgo, no por costumbre. Trusty evalúa proveedores TIC y proveedores críticos por riesgos de cumplimiento, envía solicitudes de diligencia debida y supervisa los resultados en una sola plataforma. O reserva una demo.
¿Qué debe verificar antes de incorporar a un tercero?
Para proveedores TIC de mayor riesgo, una diligencia debida útil puede incluir:
Identidad corporativa
Confirma con qué entidad jurídica está contratando realmente.
Propiedad
Comprende la propiedad relevante y las relaciones del grupo.
Exposición a sanciones
Verifique si la empresa o las partes controladoras relevantes presentan preocupaciones por sanciones.
Noticias negativas
Busca informes creíbles sobre:
- incidentes cibernéticos;
- acciones regulatorias;
- fallos de seguridad;
- fraude;
- mala conducta;
- interrupciones importantes;
- brechas de datos.
Controles de ciberseguridad
Evalúa las prácticas de seguridad y certificaciones relevantes.
Subcontratistas
Determina si las funciones críticas dependen de otros proveedores.
Riesgo de concentración
Pregunta qué sucede si varios servicios críticos dependen del mismo proveedor.
Geografía
Comprende dónde se prestan los servicios y se alojan los datos, y dónde existen dependencias críticas.
Continuidad de negocio
Evalúa cómo responde el proveedor ante una interrupción.
Planificación de salida
Determina si el servicio podría trasladarse de forma realista a otro proveedor.
El riesgo de terceros no es, por tanto, solo un ejercicio de seguridad de TI.
Puede requerir combinar información de ciberseguridad, corporativa, de cumplimiento, operativa y reputacional.
DORA es más prescriptivo sobre los proveedores de TIC
Una de las formas más útiles de entender la diferencia es que DORA construye una arquitectura regulatoria explícita en torno a las relaciones con terceros TIC.
Las entidades financieras deben integrar el riesgo de terceros en su marco de gestión de riesgos TIC y mantener información estructurada sobre los acuerdos contractuales TIC.
NIS2 establece una obligación más amplia de ciberseguridad e incluye expresamente la seguridad de la cadena de suministro dentro de ella.
Así que:
DORA profundiza más en la externalización TIC y la gobernanza de proveedores.
NIS2 integra a los proveedores dentro de la gestión global del riesgo de ciberseguridad.
¿Qué ocurre si se aplican tanto DORA como NIS2?
Para las entidades financieras, DORA es particularmente importante porque la legislación de la UE lo considera el marco de ciberseguridad sectorial para las entidades financieras cubiertas en los ámbitos en que sus disposiciones tienen la consideración de normas sectoriales.
Esto significa que las organizaciones no deben simplemente duplicar cada control en dos programas de cumplimiento separados.
En su lugar, deben determinar:
- qué entidad está dentro del alcance;
- qué requisito normativo rige la cuestión concreta;
- qué proveedores y servicios de TIC están involucrados;
- si un control puede generar pruebas que respalden múltiples obligaciones de cumplimiento.
Un inventario unificado de proveedores puede ayudar considerablemente.
Un modelo práctico de supervisión de proveedores
En lugar de mantener una hoja de cálculo para DORA, otra para NIS2 y otra para adquisiciones, crea un inventario compartido de terceros.
Por ejemplo:
Proveedor
↓
Entidad legal + propiedad
↓
Servicio prestado
↓
TIC / no TIC
↓
Función empresarial soportada
↓
Criticidad
↓
Riesgo de ciberseguridad
↓
Sanciones / riesgo reputacional
↓
Subcontratistas
↓
Controles contractuales
↓
Frecuencia de supervisión
↓
Incidentes / cambios
Esto permite a los equipos de cumplimiento aplicar diferentes normas regulatorias a los mismos datos subyacentes del proveedor.
de terceros
Una vista de cada proveedor. Evalúa proveedores TIC y proveedores críticos por riesgos de cumplimiento, envía solicitudes de diligencia debida y supervisa los resultados en una sola plataforma, en lugar de hojas de cálculo separadas para DORA y NIS2.
¿Necesita una supervisión continua de los proveedores?
Ninguno de los regímenes significa que cada pieza de información del proveedor deba ser revisada literalmente cada segundo.
Pero la gestión de riesgos de terceros no puede detenerse sensatamente en la incorporación.
El riesgo cambia.
Un proveedor puede:
- sufrir un ciberataque;
- experimentar una interrupción importante;
- cambiar de propietario;
- recibir sanciones regulatorias;
- aparecer en noticias negativas;
- cambiar de subcontratistas;
- alterar las ubicaciones de los servicios;
- desarrollar dificultades financieras.
Los proveedores de mayor riesgo, por tanto, justifican una supervisión continua proporcional a la importancia y al riesgo de la relación.
Preguntas frecuentes
Sí. Las entidades financieras cubiertas deben gestionar el riesgo TIC de terceros como parte de su marco de gestión de riesgos TIC. Esto incluye una supervisión continua proporcional a la naturaleza e importancia de la dependencia TIC.
Sí. NIS2 exige explícitamente medidas de seguridad de la cadena de suministro y requiere que las entidades consideren las vulnerabilidades y las prácticas de ciberseguridad asociadas a proveedores directos y prestadores de servicios.
DORA se centra en los proveedores externos de servicios TIC utilizados por las entidades financieras cubiertas. Los requisitos se vuelven especialmente significativos cuando un servicio TIC respalda una función crítica o importante.
Los requisitos de cadena de suministro de NIS2 se centran especialmente en proveedores directos y prestadores de servicios relevantes para la seguridad de la red y los sistemas de información de la organización.
El requisito principal aborda específicamente las relaciones con proveedores directos/prestadores de servicios, pero NIS2 reconoce que las organizaciones también pueden considerar riesgos derivados de niveles más profundos de la cadena de suministro.
No. Ambos marcos respaldan un enfoque proporcional y basado en el riesgo. Los proveedores que respaldan funciones críticas o crean una mayor dependencia de ciberseguridad suelen justificar controles más estrictos.
No. DORA establece explícitamente que las entidades financieras siguen siendo responsables del cumplimiento normativo cuando utilizan proveedores externos TIC.
DORA funciona como legislación sectorial de ciberseguridad de la UE para las entidades financieras cubiertas en las áreas pertinentes. La interacción debe evaluarse requisito por requisito, en lugar de asumir que toda disposición de NIS2 simplemente desaparece.
La conclusión
DORA y NIS2 llegan a la misma conclusión fundamental:
Su riesgo de ciberseguridad no termina en el límite de su organización.
Pero abordan el riesgo de proveedores de forma diferente.
DORA: identificar y gestionar dependencias TIC de terceros, con controles especialmente estrictos en torno a servicios que respaldan funciones críticas o importantes.
NIS2: proteger la seguridad de su cadena de suministro, en particular sus relaciones con proveedores directos y prestadores de servicios.
Para las empresas sujetas a cualquiera de los marcos, el primer paso práctico es, por lo tanto, el mismo:
Saber quiénes son realmente sus terceros, qué proporcionan, de qué dependen y cómo cambia su riesgo con el tiempo.
Un flujo de trabajo de cribado y supervisión de terceros puede añadir otra capa a esa evaluación al verificar continuamente a los proveedores en cuanto a la exposición a sanciones, el riesgo de propiedad y las noticias negativas, junto con los controles operativos y de ciberseguridad.
Fuentes externas:
EUR-Lex, Reglamento de Resiliencia Operativa Digital (DORA)
EUR-Lex, Directiva NIS2
Lecturas relacionadas: cómo deben supervisar las entidades financieras a los proveedores TIC con arreglo a DORA, cómo pueden las pymes cumplir los requisitos de NIS2 con un proceso sencillo de notificación de vulnerabilidades y cribado de terceros para pymes.
CRIBADO DE RIESGOS DE TERCEROS
QuickScreen360: evalúa a proveedores y socios por riesgos de cumplimiento. Envía solicitudes de diligencia debida, asigna formación y supervisa los resultados en una sola plataforma.