La NIS2 i els vostres proveïdors de programari: què han de fer totes dues parts

01On és la NIS2 a la tardor del 2026

La Directiva NIS2 (obre un lloc web extern), la Directiva (UE) 2022/2555, es va publicar al Diari Oficial el 27 de desembre del 2022 i va entrar en vigor el 16 de gener del 2023. Els estats membres havien d’adoptar i publicar les mesures nacionals abans del 17 d’octubre del 2024 i aplicar-les a partir del 18 d’octubre del 2024, el dia que es va derogar la primera Directiva NIS.

Com que la NIS2 és una directiva, el que obliga una organització és la llei nacional que la transposa. La transposició ha estat desigual: alguns estats membres van aplicar la llei a temps, d’altres el 2025 o el 2026, i la Comissió Europea ha obert procediments d’infracció contra els estats que no van complir el termini. Per això, els deures de registre, els portals de notificació i els supervisors varien segons el país.

02La situació a Espanya

A Espanya, la transposició de la Directiva NIS2 és encara un avantprojecte de llei (situació a 6 de novembre del 2026). El Consell de Ministres va aprovar l’avantprojecte de llei de coordinació i governança de la ciberseguretat el 14 de gener del 2025; a 6 de novembre del 2026 no hi havia cap projecte de llei al Congrés dels Diputats ni cap llei publicada al BOE. El 8 de juliol del 2026, la Comissió Europea va decidir portar Espanya, juntament amb Irlanda, França i els Països Baixos, davant del Tribunal de Justícia de la UE per no haver comunicat les mesures de transposició.

Mentrestant, continua vigent el Reial decret llei 12/2018, de 7 de setembre, de seguretat de les xarxes i sistemes d’informació, que va transposar la primera Directiva NIS, desplegat pel Reial decret 43/2021. S’aplica als operadors de serveis essencials i als proveïdors de serveis digitals que defineix. Els equips de resposta de referència són el CCN-CERT per al sector públic i l’INCIBE-CERT per a les entitats privades.

Per al sector públic hi ha, a més, l’Esquema Nacional de Seguretat (ENS), regulat pel Reial decret 311/2022, de 3 de maig. S’aplica a tot el sector públic i també als sistemes d’informació de les empreses privades que, per contracte, presten serveis o proveeixen solucions a entitats del sector públic. Els plecs han d’exigir la conformitat amb l’ENS, per exemple amb una declaració o una certificació de conformitat, i aquesta exigència s’estén a la cadena de subministrament del contractista en la mesura que ho requereixi l’anàlisi de riscos (article 2.3). A la pràctica, doncs, un proveïdor de programari d’un organisme públic espanyol ja ha de poder mostrar avui bona part de l’evidència que descriu aquest article.

03Entitats essencials i importants

La NIS2 s’aplica a entitats públiques i privades dels sectors de l’annex I (alta criticitat: energia, transport, banca, infraestructures del mercat financer, salut, aigua potable, aigües residuals, infraestructura digital, gestió de serveis TIC, administració pública i espai) i de l’annex II (altres sectors crítics: serveis postals i de missatgeria, gestió de residus, química, alimentació, fabricació, proveïdors digitals i recerca). Com a regla general cobreix les organitzacions mitjanes i grans. Algunes hi entren sigui quina sigui la mida, com els prestadors de serveis de confiança, els proveïdors de serveis de DNS i les entitats de l’administració central.

L’article 3 classifica aquestes organitzacions en dues categories:

• Entitats essencials: sobretot grans organitzacions dels sectors de l’annex I, i entitats essencials sigui quina sigui la mida, com els prestadors qualificats de serveis de confiança, els registres de noms de domini de primer nivell, els proveïdors de serveis de DNS i les entitats de l’administració central. Se supervisen de manera proactiva, cosa que pot incloure auditories i inspeccions in situ.
• Entitats importants: les altres organitzacions incloses als annexos I i II. La supervisió és a posteriori: l’autoritat actua quan hi ha indicis que l’entitat no compleix.

Totes dues categories tenen els mateixos deures bàsics: mesures de gestió de riscos (article 21), notificació d’incidents (article 23) i responsabilitat de la direcció (article 20). La diferència és en la supervisió i en les multes. Per a les infraccions dels articles 21 o 23, la llei nacional ha de permetre multes màximes d’almenys 10 milions d’euros o el 2 % del volum de negoci anual mundial per a les entitats essencials, i d’almenys 7 milions d’euros o l’1,4 % per a les importants, la xifra que sigui més alta. Cada estat membre decideix si les multes s’apliquen a les entitats de l’administració pública, i fins a quin punt.

El vostre proveïdor de programari hi és inclòs directament?

Escriure programari no és, en si, un sector de la NIS2. Tot i així, un proveïdor hi pot entrar directament. L’annex I inclou els proveïdors de serveis gestionats, i la NIS2 els defineix de manera àmplia: entitats que instal·len, gestionen, operen o mantenen productes, xarxes, infraestructures o aplicacions TIC per a clients, in situ o a distància. Un proveïdor mitjà o gran que opera o manté aplicacions per als seus clients pot quedar subjecte a la NIS2 per si mateix, igual que els proveïdors de núvol i de centres de dades. Per a aquests proveïdors, el Reglament d’execució (UE) 2024/2690 (obre un lloc web extern) detalla els requisits tècnics.

La majoria de proveïdors de programari, però, troben la NIS2 a través dels seus clients, que converteixen el seu propi deure sobre la cadena de subministrament en clàusules contractuals, qüestionaris i auditories. Els productes de programari també estan coberts pel Reglament de ciberresiliència (obre un lloc web extern), el Reglament (UE) 2024/2847: les obligacions de notificació de vulnerabilitats explotades activament i d’incidents greus s’apliquen des de l’11 de setembre del 2026, i les altres obligacions a partir de l’11 de desembre del 2027.

04Les deu mesures mínimes de l’article 21

L’article 21 exigeix mesures tècniques, operatives i organitzatives adequades i proporcionades, basades en un enfocament que tingui en compte tots els riscos. Han de reflectir l’estat de la tècnica i les normes europees i internacionals pertinents, i ser proporcionades a l’exposició al risc de l’entitat, a la seva mida i a la gravetat probable dels incidents. Com a mínim, cobreixen:

1. 01polítiques d’anàlisi de riscos i de seguretat dels sistemes d’informació;
2. 02gestió d’incidents;
3. 03continuïtat de l’activitat, com la gestió de còpies de seguretat i la recuperació en cas de desastre, i gestió de crisis;
4. 04seguretat de la cadena de subministrament, inclosos els aspectes de seguretat de les relacions amb els proveïdors directes i els prestadors de serveis;
5. 05seguretat en l’adquisició, el desenvolupament i el manteniment de xarxes i sistemes d’informació, inclosa la gestió i la divulgació de vulnerabilitats;
6. 06polítiques i procediments per avaluar l’eficàcia d’aquestes mesures;
7. 07pràctiques bàsiques de ciberhigiene i formació en ciberseguretat;
8. 08polítiques i procediments de criptografia i, si escau, de xifratge;
9. 09seguretat dels recursos humans, polítiques de control d’accés i gestió d’actius;
10. 10autenticació multifactor o contínua, i comunicacions de veu, vídeo, text i emergència segures, si escau.

Els punts 4 i 5 són on entren els proveïdors. L’article 21.3 demana a les entitats que tinguin en compte les vulnerabilitats pròpies de cada proveïdor directe, la qualitat global dels seus productes i de les seves pràctiques de ciberseguretat, i els seus procediments de desenvolupament segur. S’espera que els vostres clients mirin com construïu el programari, no només què lliureu.

05La direcció aprova, supervisa i en respon

Segons l’article 20, els òrgans de direcció de les entitats essencials i importants han d’aprovar les mesures de gestió de riscos de ciberseguretat, supervisar-ne l’aplicació i poden ser considerats responsables de les infraccions. Els seus membres han de rebre formació, i es recomana a les entitats que formin també el personal de manera periòdica. Per als organismes públics, continuen aplicant-se les normes nacionals sobre la responsabilitat de les institucions i dels càrrecs públics.

Això canvia la conversa amb els proveïdors. Un òrgan de direcció que ha d’aprovar les mesures vol una evidència que pugui seguir: quins proveïdors donen suport a quins serveis, quins riscos queden i què s’ha provat realment.

06Notificació d’incidents: 24 hores, 72 hores, un mes

L’article 23 obliga les entitats a notificar els incidents significatius al seu CSIRT o a l’autoritat competent. Un incident és significatiu si ha causat, o pot causar, una pertorbació operativa greu o pèrdues econòmiques per a l’entitat, o perjudicis materials o immaterials considerables a altres. La notificació es fa per etapes:

Si escau, les entitats també han d’informar sense demora indeguda els destinataris dels seus serveis dels incidents significatius que puguin afectar aquests serveis. Les lleis nacionals hi afegeixen formularis i portals propis. A Espanya, mentre no hi hagi llei de transposició, aquests terminis encara no tenen un text nacional que els apliqui; per a qui hi està subjecte, continuen vigents les obligacions del Reial decret llei 12/2018.

El rellotge comença a comptar quan l’entitat té coneixement de l’incident. Si l’incident comença en un sistema d’un proveïdor, el client només pot complir el termini de 24 hores si el proveïdor el detecta, el reconeix i el comunica en poques hores. Per això, la detecció, els registres i un canal de notificació acordat són condicions del contracte, no simples detalls d’enginyeria.

07Què demanarà un client subjecte a la NIS2 al seu proveïdor de programari

A la pràctica, l’article 21 es tradueix en mesures tècniques i evidències que un proveïdor hauria de poder mostrar sense iniciar un projecte. Les que veiem més sovint:

• Un cicle de vida de desenvolupament segur. Modelització d’amenaces per als canvis rellevants, revisió entre parells, proves de seguretat automàtiques i anàlisi de dependències al procés de publicació, compilacions signades i una llista de materials de programari (SBOM) per a cada versió.
• Gestió i divulgació de vulnerabilitats. Una via publicada per comunicar vulnerabilitats, temps de resposta acordats segons la gravetat i un avís al client quan una vulnerabilitat afecta el seu entorn.
• Control d’accés per al personal del proveïdor. Comptes nominals, autenticació multifactor, privilegis mínims, accés elevat limitat en el temps i un registre de cada acció d’administració a l’entorn del client.
• Registres i evidència d’incidents. Esdeveniments de seguretat registrats amb marques de temps fiables, conservats durant un període acordat i exportables, perquè el client pugui respondre les preguntes de l’alerta primerenca i de l’informe final.
• Cooperació en incidents. Una persona de contacte i un canal designats, un temps de notificació ben inferior a les 24 hores del client i suport en l’anàlisi de la causa d’origen.
• Continuïtat i recuperació. Còpies de seguretat demostrades amb restauracions, objectius de recuperació alineats amb els del client i un procediment assajat.
• Documentació de la cadena de subministrament. Una llista actualitzada de subcontractistes i ubicacions d’allotjament, i dels principals components i serveis de tercers dels quals depèn la solució.
• Un pla de sortida. Exportació de dades en formats utilitzables, documentació i suport en el traspàs, perquè el client pugui canviar de proveïdor sense perdre el control del servei.

Res d’això no és nou per a un equip d’enginyeria madur. El que canvia amb la NIS2 és que el client ho ha de poder demostrar. La nostra pàgina de confiança i compliment normatiu descriu com treballem com a proveïdor, inclòs el nostre sistema de gestió de la seguretat de la informació amb certificació ISO/IEC 27001.

08Una llista de comprovació per a contractes i licitacions

1. 01Relacioneu proveïdors i serveis. Documenteu quins proveïdors donen suport a quins serveis inclosos, i quins tenen accés als vostres sistemes o dades.
2. 02Classifiqueu per criticitat. Apliqueu els requisits més exigents als proveïdors que operen o poden modificar sistemes crítics.
3. 03Poseu les mesures al contracte. Requisits de seguretat, temps i canal de notificació d’incidents, gestió de vulnerabilitats, registres i conservació, drets d’auditoria o d’evidència, normes de subcontractació i ubicacions. En la contractació pública, els plecs ja hi han d’incloure la conformitat amb l’ENS.
4. 04Demaneu evidència, no declaracions. Certificats amb el seu abast, resultats de proves, una SBOM, la data de l’última prova de restauració.
5. 05Acordeu la sortida per endavant. Retorn de dades, suport en la transició i el període durant el qual el proveïdor manté el servei en funcionament.
6. 06Assageu-ho junts. Feu un exercici d’incident amb els proveïdors crítics, inclosa l’alerta primerenca de 24 hores.
7. 07Reviseu-ho periòdicament. Els proveïdors, els serveis i les amenaces canvien; un registre de proveïdors actualitzat un cop l’any és obsolet la major part de l’any.

09La llei nacional decideix els detalls

El registre, els portals de notificació, els formularis, l’autoritat competent i els requisits addicionals venen de la llei nacional; a Espanya, de la llei que finalment s’aprovi. Alguns estats membres vinculen les mesures de l’article 21 a un marc o una certificació nacional. Com a regla general, una entitat depèn de l’estat membre on està establerta. L’article 26 hi fa excepcions: els proveïdors de comunicacions electròniques públiques depenen de cada país on presten serveis; els proveïdors de núvol, de centres de dades i de serveis gestionats i diversos altres proveïdors digitals, del país del seu establiment principal; i les entitats de l’administració pública, de l’estat que les ha creat.

10Què cal seguir els propers mesos

• La tramitació de l’avantprojecte espanyol: l’aprovació com a projecte de llei, l’enviament a les Corts Generals i el text que finalment s’aprovi.
• La proposta d’Òmnibus digital (obre un lloc web extern) de la Comissió, de 19 de novembre del 2025, COM(2025) 837, que canalitzaria les notificacions d’incidents de la NIS2, l’RGPD, el DORA i altres normes per un punt d’entrada únic gestionat per l’ENISA. A l’octubre del 2026 encara era en tràmit al Parlament Europeu (obre un lloc web extern)); mentre no s’adopti i s’apliqui, es mantenen els canals i els terminis actuals.
• Les avaluacions coordinades de riscos de la UE sobre cadenes de subministrament TIC crítiques de l’article 22, que les entitats han de tenir en compte quan trien les mesures per als proveïdors.
• El calendari del Reglament de ciberresiliència per als productes de programari, amb aplicació plena a partir de l’11 de desembre del 2027.

Per a les entitats financeres, el Reglament DORA substitueix les normes de la NIS2 sobre gestió de riscos TIC, notificació d’incidents i supervisió; vegeu el nostre article sobre DORA i els proveïdors de serveis TIC. La Comissió manté una síntesi de la NIS2 i dels seus actes d’execució a la seva pàgina sobre la Directiva NIS2 (obre un lloc web extern).