NIS2 eta zure software-hornitzaileak: zer egin behar duten bi aldeek

01NIS2 Zuzentarauaren egoera 2026ko udazkenean

NIS2 Zuzentaraua (kanpoko webgune bat irekitzen du), hau da, (EB) 2022/2555 Zuzentaraua, Aldizkari Ofizialean argitaratu zen 2022ko abenduaren 27an, eta 2023ko urtarrilaren 16an sartu zen indarrean. Estatu kideek 2024ko urriaren 17rako onartu eta argitaratu behar zituzten beren neurri nazionalak, eta 2024ko urriaren 18tik aplikatu, lehen NIS Zuzentaraua indargabetu zen egunetik.

NIS2 zuzentaraua denez, erakunde bat lotzen duena hura transposatzen duen lege nazionala da. Transposizioa ez da berdina izan nonahi: estatu kide batzuek garaiz aplikatu zuten beren legea, beste batzuek 2025ean edo 2026an bakarrik, eta Europako Batzordeak arau-hausteko prozedurak abiarazi ditu epea bete ez zuten estatu kideen aurka. Horregatik, erregistro-betebeharrak, jakinarazpen-atariak eta ikuskatzaileak desberdinak dira herrialde bakoitzean.

02Espainia: transposizioaren egoera eta indarrean dagoena

Espainiak oraindik ez du NIS2 Zuzentaraua transposatu. Ministro Kontseiluak Zibersegurtasuna Koordinatzeko eta Gobernatzeko Legearen aurreproiektua onartu zuen 2025eko urtarrilaren 14an, eta 2026ko martxoan izapidetzen ari zen oraindik. 2026ko azaroaren 6an ez zegoen lege-proiekturik Diputatuen Kongresuan, ezta legerik ere Boletín Oficial del Estado aldizkarian (2026ko azaroko egoera). 2026ko uztailaren 8an, Europako Batzordeak Espainia Europar Batasuneko Justizia Auzitegira eramatea erabaki zuen, transposizio-neurriak jakinarazi ez zituelako.

Bitartean, hauek dira indarrean dauden arauak. 12/2018 Errege Lege Dekretuak, lehen NIS Zuzentaraua transposatu zuenak, eta hura garatzen duen 43/2021 Errege Dekretuak indarrean jarraitzen dute. Erreferentziako CSIRTak CCN-CERT dira sektore publikorako eta INCIBE-CERT gainerako erakundeetarako. Sektore publikoan, gainera, Esquema Nacional de Seguridad (ENS) eskema aplikatzen da, 311/2022 Errege Dekretuak arautua.

Hornitzaileentzat, ENS eskema da gaur egun garrantzitsuena. Haren 2.3 artikuluaren arabera, kontratu baten bidez sektore publikoko erakundeei zerbitzuak edo soluzioak ematen dizkieten enpresa pribatuen informazio-sistemei ere aplikatzen zaie, eta baldintza-agiriek ENS adostasuna eskatu behar dute (adostasun-adierazpena edo adostasun-ziurtagiria). Betebehar hori kontratistaren hornikuntza-katera ere zabaltzen da, arrisku-analisiak eskatzen duen neurrian. Eusko Jaurlaritzari, foru-administrazioei edo udalei softwarea ematen dien hornitzaile batek, beraz, NIS2 Zuzentarauak eskatzen dituen neurrien antzeko asko bete behar ditu jada.

03Erakunde funtsezkoak eta garrantzitsuak

NIS2 I. eranskineko sektoreetako erakunde publiko eta pribatuei aplikatzen zaie (kritikotasun handikoak: energia, garraioa, banka, finantza-merkatuen azpiegiturak, osasuna, edateko ura, hondakin-urak, azpiegitura digitala, IKT zerbitzuen kudeaketa, administrazio publikoa eta espazioa), baita II. eranskinekoei ere (beste sektore kritiko batzuk: posta- eta mezularitza-zerbitzuak, hondakinen kudeaketa, produktu kimikoak, elikagaiak, fabrikazioa, hornitzaile digitalak eta ikerketa). Oro har, erakunde ertainak eta handiak hartzen ditu. Batzuk tamaina edozein dela ere daude eremuan, hala nola konfiantza-zerbitzuen hornitzaileak, DNS zerbitzuen hornitzaileak eta gobernu zentraleko erakundeak.

Ondoren, 3. artikuluak bi kategoriatan sailkatzen ditu erakunde horiek:

• Erakunde funtsezkoak: batez ere I. eranskineko sektoreetako erakunde handiak, gehi tamaina edozein dela ere funtsezkoak diren erakundeak, hala nola konfiantza-zerbitzu kualifikatuen hornitzaileak, goi-mailako domeinuen erregistroak, DNS zerbitzuen hornitzaileak eta gobernu zentraleko erakundeak. Modu proaktiboan ikuskatzen dira, eta horrek ikuskaritzak eta tokian bertako ikuskapenak barne har ditzake.
• Erakunde garrantzitsuak: I. eta II. eranskinen eremuko gainerako erakundeak. Ikuskapena ex post da: agintariak jarduten du erakundeak betetzen ez duela adierazten duten zantzuak daudenean.

Bi kategoriek oinarrizko betebehar berak dituzte: arriskuak kudeatzeko neurriak (21. artikulua), gertakarien jakinarazpena (23. artikulua) eta zuzendaritzaren erantzukizuna (20. artikulua). Aldea ikuskapenean eta isunetan dago. 21. edo 23. artikuluak hausteagatik, lege nazionalak gehieneko isun hauek ahalbidetu behar ditu, handiena aplikatuta: erakunde funtsezkoentzat, gutxienez 10 milioi euro edo mundu osoko urteko negozio-bolumenaren % 2; erakunde garrantzitsuentzat, gutxienez 7 milioi euro edo % 1,4. Estatu kideek erabakitzen dute ea isunak administrazio publikoko erakundeei aplikatzen zaizkien, eta zenbateraino.

Zure software-hornitzailea bera eremuan dago?

Softwarea idaztea ez da, berez, NIS2 sektore bat. Hala ere, hornitzaile bat zuzenean egon daiteke eremuan. I. eranskinak zerbitzu kudeatuen hornitzaileak hartzen ditu, eta NIS2k zabal definitzen ditu: bezeroentzat IKT produktuak, sareak, azpiegiturak edo aplikazioak instalatzen, kudeatzen, ustiatzen edo mantentzen dituzten erakundeak, bezeroaren lokaletan edo urrunetik. Bezeroentzat aplikazioak ustiatzen edo mantentzen dituen hornitzaile ertain edo handiago bat, beraz, NIS2ren mende egon daiteke berez, baita hodei-konputazioko eta datu-zentroetako zerbitzu-hornitzaileak ere. Hornitzaile horientzat, (EB) 2024/2690 Betearazpen Erregelamenduak (kanpoko webgune bat irekitzen du) zehatz azaltzen ditu baldintza teknikoak.

Software-hornitzaile gehienek, ordea, bezeroen bidez ezagutzen dute NIS2: bezeroek beren hornikuntza-katearen betebeharra kontratu-klausula, galdetegi eta ikuskaritza bihurtzen dute. Software-produktuak Zibererresilientziari buruzko Erregelamenduak (kanpoko webgune bat irekitzen du) ere hartzen ditu, hau da, (EB) 2024/2847 Erregelamenduak: aktiboki ustiatutako ahultasunen eta gertakari larrien jakinarazpen-betebeharrak 2026ko irailaren 11tik aplikatzen dira, eta gainerako betebeharrak 2027ko abenduaren 11tik.

0421. artikuluko gutxieneko hamar neurriak

21. artikuluak neurri tekniko, operatibo eta antolakuntzazko egokiak eta proportzionalak eskatzen ditu, arrisku guztiak kontuan hartzen dituen ikuspegi batean oinarrituta. Neurriek teknikaren egungo egoera eta Europako eta nazioarteko arau garrantzitsuak islatu behar dituzte, eta proportzionalak izan behar dute erakundearen arrisku-esposizioarekiko, tamainarekiko eta gertakarien litekeen larritasunarekiko. Gutxienez, honako hauek hartzen dituzte:

1. 01arrisku-analisiari eta informazio-sistemen segurtasunari buruzko politikak;
2. 02gertakarien kudeaketa;
3. 03negozioaren jarraitutasuna (babeskopien kudeaketa eta hondamendien ondoko berreskurapena, adibidez) eta krisien kudeaketa;
4. 04hornikuntza-katearen segurtasuna, zuzeneko hornitzaileekin eta zerbitzu-emaileekin dituen harremanen segurtasun-alderdiak barne;
5. 05segurtasuna sare- eta informazio-sistemen eskuratzean, garapenean eta mantentzean, ahultasunen kudeaketa eta zabalkundea barne;
6. 06neurri horien eraginkortasuna ebaluatzeko politikak eta prozedurak;
7. 07ziberhigienearen oinarrizko praktikak eta zibersegurtasuneko prestakuntza;
8. 08kriptografiari eta, hala badagokio, zifratzeari buruzko politikak eta prozedurak;
9. 09giza baliabideen segurtasuna, sarbide-kontrolerako politikak eta aktiboen kudeaketa;
10. 10faktore anitzeko edo etengabeko autentifikazioa, eta ahots-, bideo- eta testu-komunikazio eta larrialdi-komunikazio seguruak, hala badagokio.

4. eta 5. puntuetan sartzen dira hornitzaileak. 21.3 artikuluak eskatzen du erakundeek kontuan har ditzatela zuzeneko hornitzaile bakoitzaren ahultasun espezifikoak, haren produktuen eta zibersegurtasun-praktiken kalitate orokorra eta haren garapen seguruko prozedurak. Zure bezeroek nola eraikitzen duzun softwarea begiratu behar dute, ez bakarrik zer entregatzen duzun.

05Zuzendaritzak onartu, gainbegiratu eta erantzun egiten du

20. artikuluaren arabera, erakunde funtsezkoen eta garrantzitsuen zuzendaritza-organoek zibersegurtasun-arriskuak kudeatzeko neurriak onartu eta haien ezarpena gainbegiratu behar dute, eta arau-hausteen erantzule izan daitezke. Haien kideek prestakuntza jaso behar dute, eta erakundeei gomendatzen zaie beren langileak ere aldiro prestatzea. Erakunde publikoetan, erakunde eta funtzionario publikoen erantzukizunari buruzko arau nazionalek aplikatzen jarraitzen dute.

Horrek aldatu egiten du hornitzaileekiko elkarrizketa. Neurriak onartu behar dituen zuzendaritza batek ulertzeko moduko ebidentzia nahi du: zein hornitzailek sostengatzen duten zein zerbitzu, zein arrisku geratzen diren eta zer probatu den benetan.

06Gertakarien jakinarazpena: 24 ordu, 72 ordu, hilabete bat

23. artikuluak eskatzen du erakundeek gertakari esanguratsuak beren CSIRTari edo agintari eskudunari jakinaraztea. Gertakari bat esanguratsua da erakundeari eragiketa-eten larria edo galera ekonomikoa eragin badio edo eragin badiezaioke, edo beste batzuei kalte material edo ez-material handia. Jakinarazpena etapaka egiten da:

Hala badagokio, erakundeek beren zerbitzuen hartzaileei ere jakinarazi behar diete, atzerapen bidegaberik gabe, zerbitzu horiei eragin diezaieketen gertakari esanguratsuen berri. Lege nazionalek beren inprimakiak eta atariak gehitzen dituzte. Espainian, NIS2 transposatu arte, 12/2018 Errege Lege Dekretuaren arauak dira indarrean daudenak.

Erlojua erakundeak gertakariaren berri duenean hasten da. Gertakaria hornitzaile baten sisteman hasten bada, bezeroak 24 orduko epea bete dezake hornitzaileak orduen buruan atzeman, ezagutu eta helarazten badu soilik. Beraz, atzematea, erregistroak eta adostutako jakinarazpen-bidea kontratu-baldintzak dira, ez ingeniaritzako xehetasunak soilik.

07Zer eskatuko dio NIS2ren mendeko bezero batek bere software-hornitzaileari

Praktikan, 21. artikulua neurri tekniko eta ebidentzia bihurtzen da, eta hornitzaile batek proiekturik abiarazi gabe erakutsi ahal izan behar ditu. Sarrien ikusten ditugunak:

• Garapen-ziklo segurua. Mehatxuen modelizazioa aldaketa esanguratsuetan, parekoen berrikuspena, segurtasun-proba automatikoak eta mendekotasunen eskaneatzea katean, sinatutako konpilazioak eta softwarearen materialen zerrenda (SBOM) argitalpen bakoitzeko.
• Ahultasunen kudeaketa eta zabalkundea. Ahultasunak jakinarazteko bide argitaratu bat, larritasunaren araberako erantzun-denbora adostuak, eta bezeroarentzako abisua ahultasun batek haren ingurunea ukitzen duenean.
• Hornitzailearen langileen sarbide-kontrola. Izendun kontuak, faktore anitzeko autentifikazioa, gutxieneko pribilegioa, denbora mugatuko sarbide pribilegiatua eta bezeroaren ingurunean egindako administrazio-ekintza guztien erregistroa.
• Erregistroak eta gertakarien ebidentzia. Segurtasunerako garrantzitsuak diren gertaerak data eta ordu fidagarriekin erregistratuta, adostutako epe batez gordeta eta esportagarri, bezeroak abisu goiztiarraren eta azken txostenaren galderei erantzun ahal izan diezaien.
• Lankidetza gertakarietan. Izendatutako kontaktu eta bide bat, bezeroaren 24 orduen barruan ondo sartzen den jakinarazpen-denbora, eta laguntza jatorrizko kausaren analisian.
• Jarraitutasuna eta berreskurapena. Leheneratuz frogatutako babeskopiak, bezeroarenekin bat datozen berreskurapen-helburuak eta entseatutako prozedura bat.
• Hornikuntza-katearen dokumentazioa. Azpikontratisten eta ostatatze-kokapenen zerrenda eguneratua, baita soluzioak behar dituen hirugarrenen osagai eta zerbitzu nagusiena ere.
• Irteera-plana. Datuak formatu erabilgarrietan esportatzea, dokumentazioa eta eskualdatzeko laguntza, bezeroak hornitzailez alda dezan zerbitzuaren kontrola galdu gabe.

Horietako ezer ez da berria ingeniaritza-talde helduentzat. NIS2k aldatzen duena da bezeroak frogatu egin behar duela. Espainiako sektore publikoarentzat lan egiten duen hornitzaile batek antzeko ebidentzia behar du dagoeneko ENS adostasunerako. Konfiantza eta arau-betetzea orrian azaltzen dugu nola lan egiten dugun hornitzaile gisa, ISO/IEC 27001 ziurtagiria duen informazioaren segurtasuna kudeatzeko gure sistema barne.

08Kontratu eta kontrataziorako kontrol-zerrenda

1. 01Lotu hornitzaileak zerbitzuekin. Erregistratu zein hornitzailek sostengatzen dituzten eremuko zein zerbitzu, eta zeinek duten sarbidea zure sistemetara edo datuetara.
2. 02Sailkatu kritikotasunaren arabera. Aplikatu baldintza zorrotzenak sistema kritikoak ustiatzen edo alda ditzaketen hornitzaileei.
3. 03Idatzi neurriak kontratuan. Segurtasun-baldintzak, gertakarien jakinarazpen-denbora eta -bidea, ahultasunen kudeaketa, erregistroak eta haien kontserbazioa, ikuskaritza- edo ebidentzia-eskubideak, azpikontratazio-arauak eta kokapenak. Sektore publikoan, baldintza-agiriek ENS adostasuna ere eskatu behar dute.
4. 04Eskatu ebidentzia, ez adierazpenak. Ziurtagiriak beren irismenarekin, proben emaitzak, SBOM bat, azken leheneratze-probaren data.
5. 05Adostu irteera hasieratik. Datuen itzulera, trantsizio-laguntza eta hornitzaileak zerbitzua martxan mantentzen duen aldia.
6. 06Entseatu elkarrekin. Egin gertakari-ariketa bat zure hornitzaile kritikoekin, 24 orduko abisu goiztiarra barne.
7. 07Berrikusi aldiro. Hornitzaileak, zerbitzuak eta mehatxuak aldatu egiten dira; urtean behin eguneratutako hornitzaile-erregistroa zaharkituta dago urtearen zatirik handienean.

09Lege nazionalak erabakitzen ditu xehetasunak

Erregistroa, jakinarazpen-atariak, inprimakiak, agintari eskuduna eta baldintza gehigarriak lege nazionaletik datoz. Estatu kide batzuek 21. artikuluko neurriak esparru edo ziurtagiri nazional batekin lotzen dituzte. Oro har, erakunde bat ezarrita dagoen estatu kidearen mende dago. 26. artikuluak salbuespenak ezartzen ditu: komunikazio elektronikoko sare publikoen hornitzaileak zerbitzuak ematen dituzten herrialde bakoitzaren mende daude; hodei-, datu-zentro- eta zerbitzu kudeatuen hornitzaileak eta beste hornitzaile digital batzuk beren establezimendu nagusiaren herrialdearen mende; eta administrazio publikoko erakundeak haiek sortu dituen estatuaren mende.

Espainian, xehetasun horiek transposizio-legeak finkatuko ditu, onartzen denean. Ez dugu hemen aurreproiektuaren edukia deskribatzen, ez baita legea.

10Zeri erreparatu hurrengo hilabeteetan

• Espainiako transposizioa: aurreproiektua lege-proiektu gisa noiz bidaltzen den Gorte Nagusietara, eta, legea onartzen bada, erregistro-epeak, araudi garatzailea eta agintarien jarraibideak.
• Batzordearen Digital Omnibus proposamena (kanpoko webgune bat irekitzen du), 2025eko azaroaren 19koa, COM(2025) 837. NIS2, Datuak Babesteko Erregelamendu Orokorra (DBEO), DORA eta beste lege batzuen araberako gertakari-jakinarazpenak ENISAk kudeatutako sarrera-puntu bakar batetik bideratuko lituzke. 2026ko urrian, oraindik Europako Parlamentuan zegoen (kanpoko webgune bat irekitzen du)); onartu eta aplikatu arte, egungo bideek eta epeek jarraitzen dute.
• IKT hornikuntza-kate kritikoen EBko arrisku-ebaluazio koordinatuak (22. artikulua); erakundeek kontuan hartu behar dituzte hornitzaileentzako neurriak aukeratzean.
• Software-produktuetarako Zibererresilientziari buruzko Erregelamenduaren egutegia; 2027ko abenduaren 11tik aplikatuko da osorik.

Finantza-erakundeentzat, Finantza-sektorearen erresilientzia operatibo digitalari buruzko Erregelamenduak (DORA) ordezten ditu IKT arriskuen kudeaketari, gertakarien jakinarazpenari eta ikuskapenari buruzko NIS2 arauak; ikus DORAri eta IKT hirugarren hornitzaileei buruzko gure artikulua. Batzordeak NIS2 Zuzentarauaren eta haren betearazpen-egintzen ikuspegi orokorra eskaintzen du bere NIS2 politika-orrian (kanpoko webgune bat irekitzen du).