Confianza e cumprimento normativo para organizacións reguladas

A Directiva NIS2, Directiva (UE) 2022/2555, obriga as entidades esenciais e importantes a xestionar os riscos de ciberseguridade das súas redes e sistemas de información. A seguridade da cadea de subministración é unha das medidas mínimas do artigo 21.2, e o artigo 21.3 pide ás entidades que teñan en conta as prácticas de seguridade dos seus provedores directos. A transposición da NIS2 en España segue pendente: o anteproxecto aprobouse en xaneiro de 2025 e, en novembro de 2026, aínda non chegou ás Cortes. Seguen en vigor o Real decreto-lei 12/2018 e, para os provedores do sector público, o ENS.

Como provedor, facilitámoslle acreditar esa parte da súa obriga. As cláusulas de seguridade, as canles de incidentes e a xestión de vulnerabilidades acórdanse en cada contrato, e os controis que se aplican ao seu proxecto quedan documentados para que o seu proceso de risco de provedores os poida avaliar. Determinar se lle afectan as normas de transposición da NIS2, e de que xeito, correspóndelle á súa organización.

O Regulamento de resiliencia operativa dixital (DORA), Regulamento (UE) 2022/2554, aplícase desde o 17 de xaneiro de 2025. Os bancos, as aseguradoras, as empresas de servizos de investimento, as entidades de pagamento e outras entidades financeiras deben xestionar o risco de terceiros TIC dentro do seu marco de xestión do risco TIC, manter un rexistro de información sobre todos os acordos contractuais de servizos TIC (artigo 28) e incluír determinadas disposicións contractuais clave neses contratos (artigo 30). En España, a supervisión correspóndelle ao Banco de España, á Comisión Nacional do Mercado de Valores (CNMV) ou á Dirección Xeral de Seguros e Fondos de Pensións (DGSFP), segundo o tipo de entidade.

Cando prestamos servizos TIC a unha entidade financeira, acordamos as disposicións que enumera o artigo 30: unha descrición completa dos servizos, os lugares onde se prestan e onde se tratan os datos, a asistencia cando se produce un incidente TIC, a colaboración coas súas autoridades competentes e os dereitos de resolución. Nos servizos que apoian funcións esenciais ou importantes, o contrato recolle tamén as estratexias de saída e a nosa participación nas súas probas de resiliencia.

Achegamos a información que necesita o seu rexistro de información e documentamos os plans de saída desde o comezo, para que cambiar de provedor siga sendo unha opción realista.

O Regulamento de IA, Regulamento (UE) 2024/1689, aplícase por fases. As prácticas prohibidas e a alfabetización en IA aplícanse desde febreiro de 2025, e as obrigas de transparencia do artigo 50 desde agosto de 2026. Coa modificación de 2026, polo Regulamento (UE) 2026/1744, as normas para os sistemas de alto risco do anexo III aplícanse desde o 2 de decembro de 2027. En España, o proxecto de lei orgánica para o bo uso e a gobernanza da intelixencia artificial está en tramitación no Congreso; segundo o Goberno, sitúa a AESIA como órgano central.

Para os sistemas de alto risco, o Regulamento esixe documentación técnica (artigo 11), rexistro automático de eventos (artigo 12) e un deseño que as persoas poidan supervisar de forma efectiva (artigo 14), e os responsables do despregamento deben encomendar esa supervisión a persoas coa competencia e a autoridade necesarias para actuar (artigo 26). Construímos para isto desde a primeira versión: os pasos de aprobación e a posibilidade de anular sitúanse onde as decisións afectan as persoas, e a documentación escríbese á vez que o código.

Que a súa organización actúe como provedor ou como responsable do despregamento depende de como se poña en servizo o sistema. Esa cuestión forma parte da análise xurídica, que lle corresponde á súa asesoría legal; nós achegamos os datos técnicos que necesita.

Os equipos de contratación, seguridade e asesoría xurídica necesitan evidencias antes de asinar un contrato. Pídanos o noso certificado ISO/IEC 27001 e o seu alcance, as respostas ao seu cuestionario de seguridade de provedores e as condicións de tratamento de datos que se aplicarían ao seu proxecto.

Envíe a súa solicitude a través da páxina de contacto e indique o marco co que avalía os provedores, como a NIS2, DORA ou o ENS. As persoas axeitadas poranse en contacto con vostede.