Confiança i compliment normatiu per a organitzacions regulades

La Directiva NIS2, Directiva (UE) 2022/2555, obliga les entitats essencials i importants a gestionar els riscos de ciberseguretat dels seus sistemes de xarxa i d’informació. La seguretat de la cadena de subministrament és una de les mesures mínimes de l’article 21.2, i l’article 21.3 demana a les entitats que tinguin en compte les pràctiques de seguretat dels seus proveïdors directes i prestadors de serveis. A Espanya, la transposició de la Directiva NIS2 és encara un avantprojecte de llei (situació a 6 de novembre del 2026). Mentrestant s’apliquen el Reial decret llei 12/2018, de seguretat de les xarxes i sistemes d’informació, i el Reial decret 43/2021, i en el sector públic l’Esquema Nacional de Seguretat, que també arriba als sistemes dels proveïdors.

Com a proveïdor vostre, us ajudem a demostrar aquesta part de la vostra obligació. Les clàusules de seguretat, els canals d’incidents i la gestió de vulnerabilitats s’acorden en cada contracte, i els controls que s’apliquen al vostre encàrrec queden documentats perquè el vostre procés de risc de proveïdors els pugui avaluar. Si les normes nacionals s’apliquen a la vostra organització, i com, ho heu d’avaluar vós.

El Reglament DORA, Reglament (UE) 2022/2554, sobre la resiliència operativa digital, s’aplica des del 17 de gener del 2025. Bancs, asseguradores, empreses de serveis d’inversió, entitats de pagament i altres entitats financeres han de gestionar el risc de tercers TIC dins del seu marc de gestió del risc TIC, mantenir un registre d’informació de tots els acords contractuals de serveis TIC (article 28) i incloure-hi les disposicions contractuals clau (article 30). A Espanya, les autoritats competents depenen del tipus d’entitat: el Banc d’Espanya, la Comissió Nacional del Mercat de Valors (CNMV) o la Direcció General d’Assegurances i Fons de Pensions (DGSFP).

Quan prestem serveis TIC a una entitat financera, acordem les disposicions que enumera l’article 30: una descripció completa dels serveis, les ubicacions on es presten i on es tracten les dades, l’assistència quan es produeix un incident TIC, la cooperació amb les vostres autoritats competents i els drets de resolució. Per als serveis que donen suport a funcions crítiques o importants, el contracte també preveu estratègies de sortida i la nostra participació en les vostres proves de resiliència.

Aportem la informació que necessita el vostre registre d’informació i documentem els plans de sortida des del principi, perquè canviar de proveïdor continuï sent una opció realista.

El Reglament d’intel·ligència artificial (RIA), Reglament (UE) 2024/1689, s’aplica per etapes. Les pràctiques prohibides i l’alfabetització en IA s’apliquen des del febrer del 2025, i les obligacions de transparència de l’article 50 des de l’agost del 2026. Amb la modificació del 2026, feta pel Reglament (UE) 2026/1744, les normes per als sistemes d’alt risc de l’annex III s’apliquen a partir del 2 de desembre del 2027. A Espanya, la Comissió Europea indica l’AESIA, la designació de la qual com a autoritat està pendent d’adopció definitiva (situació a 6 de novembre del 2026).

Per als sistemes d’alt risc, el Reglament demana documentació tècnica (article 11), registre automàtic d’esdeveniments (article 12) i un disseny que les persones puguin supervisar de manera efectiva (article 14), i els responsables del desplegament han d’assignar aquesta supervisió a persones amb la competència i l’autoritat per actuar (article 26). Hi treballem des de la primera versió: els passos d’aprovació i la possibilitat d’anul·lar una decisió són allà on les decisions afecten les persones, i la documentació s’escriu al mateix temps que el codi.

Si la vostra organització actua com a proveïdor o com a responsable del desplegament depèn de com es posa en servei el sistema. Aquesta qüestió forma part de l’anàlisi jurídica, que correspon als vostres assessors; nosaltres aportem els fets tècnics que necessita.

Els equips de contractació, de seguretat i jurídics necessiten evidències abans de signar un contracte. Demaneu-nos el certificat ISO/IEC 27001 i el seu abast, les respostes al vostre qüestionari de seguretat de proveïdors i les condicions de tractament de dades que s’aplicarien al vostre encàrrec.

Envieu-nos la sol·licitud des de la pàgina de contacte i indiqueu el marc amb què avalueu els proveïdors, com ara NIS2, DORA o l’Esquema Nacional de Seguretat. Les persones adequades es posaran en contacte amb vós.