Cumplimiento NIS2: obligaciones de seguridad para tu empresa

¿Tienes razón?

Que NIS2 te obligue depende de tres factores concretos: qué servicios ofrecés, con qué alcance geográfico trabajás y cuánto dependés de infraestructuras críticas o proveedores europeos. Si vendés software que gestiona redes, servicios en la nube, plataformas de comercio electrónico que nutren cadenas de suministro transfronterizas o proveés servicios de operaciones esenciales a empresas con sede en la UE, es probable que la normativa europea entre en juego. También importa si sos proveedor de servicios digitales a entidades reguladas: en ese caso te miran como parte de la cadena.

No se trata solo de tamaño: el corazón es la función. Una pyme pequeña puede quedar alcanzada si su servicio es esencial para un operador europeo. Por eso la comprobación técnica y documental es clave: contratos con clientes europeos, cláusulas de seguridad en los SLAs, localización de datos y dependencias técnicas. Si en tus contratos figurás como responsable de operaciones críticas o manejás accesos remotos a sistemas de terceros en la UE, tu posición cambia.

Cómo se soluciona

1. Identificá si estás en el alcance: revisá contratos y clientes. Exportá todos los acuerdos que impliquen prestación de servicios a entidades europeas o integración con infraestructuras críticas.
2. Hacé un inventario técnico: listá activos (servidores, aplicaciones, accesos remotos, APIs), proveedores críticos y puntos de conexión con redes externas. Usá formatos simples: hoja de cálculo con responsable, ubicación y riesgo asociado.
3. Evaluá riesgos y controles actuales: documentá medidas existentes (control de accesos, back-ups, cifrado, gestión de parches, monitorización) y detectá brechas frente a buenas prácticas internacionales.
4. Implementá medidas básicas obligadas por NIS2: fortalecé autenticación, segregá redes, controlá accesos privilegiados, y documentá procesos de respuesta a incidentes. Priorizar lo que conecta con clientes o infraestructuras europeas.
5. Redactá o actualizá cláusulas contractuales: exigí a proveedores y clientes requisitos mínimos de seguridad y notificación de incidentes, y dejá claro quién es responsable de qué. Guardá versiones firmadas.
6. Prepará procedimientos de notificación y gobernanza: definí responsables internos, cadena de escalamiento y plantilla para notificar incidentes a clientes y autoridades when required por contratos. Entrená al equipo con simulacros.
7. Auditá y certificá donde convenga: una auditoría externa que valide controles de seguridad aporta prueba objetiva ante clientes y autoridades.

Qué podés hacer solo: inventario documental, exportar contratos, identificar proveedores críticos y aplicar controles básicos como gestión de usuarios y back-ups. Cuándo llamar a un especialista: si hay contratos con cláusulas europeas complejas, incidentes que afecten a terceros, negociación con grandes clientes o necesidad de auditar cumplimiento según estándares internacionales.

Qué puede pasar

1) Se arregla con una carta y cambios contractuales. Muchas veces la respuesta no es legal sino técnica: el cliente pide evidencia de controles y un compromiso contractual de mejora. Ofrecer un plan de remediación escrito y fechas de hitos técnicos suele resolver la mayoría de los reclamos comerciales.

2) Acuerdo o conciliación comercial. Si la otra parte reclama incumplimiento contractual por ausencia de controles, puede proponerse un acuerdo que incluya indemnización limitada, auditoría y compromiso de mejoras. A veces un acuerdo comercial, aunque implique pago, es preferible porque preserva la relación y evita litigios largos.

3) Procedimientos administrativos o judiciales en la UE o reclamos contractuales. Si hay daño real a terceros o interrupción de servicios, el reclamo puede escalar. En ese caso, además de la discusión sobre responsabilidad, entran en juego la prueba técnica y la solvencia del proveedor. Si ganás, podés obtener reconocimiento de cumplimiento parcial o reducción de responsabilidad; si perdés, podés enfrentar condenas contractuales y gastos en pericia y costas. Importante: una sentencia contra una empresa insolvente puede ser difícil de cobrar, y la reputación comercial también es un activo que se pierde.

Y si ganás, ¿cobrás? La ejecución de una sentencia depende de la situación patrimonial del deudor y de los activos disponibles. Tener pólizas de seguro cibernético y cláusulas de garantía en contratos ayuda a que un resultado favorable sea efectivo.

Errores que arruinan el caso

• No conservar contratos y versiones: cuando llega un reclamo, el primer error es no poder documentar lo pactado con clientes y proveedores.
• No separar responsabilidades técnicas por escrito: dejar la responsabilidad de la seguridad en cláusulas vagas habilita disputas.
• Borrar logs y evidencia técnica: eliminar registros de accesos o incidentes impide defender la postura técnica.
• Subestimar a proveedores: no auditar a terceros que tienen acceso a sistemas críticos es una causa recurrente de incumplimiento.
• Delegar toda la seguridad sin verificar: aceptar certificados o reportes sin pedir pruebas ni auditorías deja vacíos en la defensa.