Necesitas implantar políticas de ciberseguridad para un contrato público

¿Tienes razón?

Que necesite o no políticas depende del contrato: muchos pliegos públicos exigen medidas mínimas de seguridad, pruebas de auditoría y planes de continuidad como condición para contratar. Lo que determina su obligación efectiva son las cláusulas del pliego, la criticidad del servicio (por ejemplo gestión de datos sensibles o infraestructura crítica) y las exigencias de interoperabilidad con sistemas estatales.

No basta con afirmar que ‘se aplica normativa internacional’: el órgano público demandante pedirá evidencia concreta: políticas firmadas, matrices de riesgos, registros de copias, pruebas de backup y resultados de auditorías externas. También importa qué subcontratistas participan y qué controles tienen.

Si su empresa ya tiene certificaciones o pruebas de auditoría, su posición es más fuerte; si no, deberá preparar la documentación y ajustar la operativa a lo solicitado.

Cómo se soluciona

1. Lea el pliego con detalle y desglóselo por requisitos.

• Haga una matriz donde cada requisito del pliego tenga asignado responsable, evidencia exigida y un plazo para la entrega de la documentación.

1. Defina la gobernanza de seguridad.

• Nombre roles: responsable de seguridad, responsables de backups, responsable de acceso y de continuidad. Documente las responsabilidades y las escalaciones.

1. Elabore políticas y procedimientos mínimos.

• Políticas: control de acceso, gestión de parches, gestión de incidentes, cifrado de datos en tránsito y en reposo, uso de credenciales administrativas.
• Procedimientos: cómo se hacen copias, pruebas de restauración, rotación de claves y gestión de vulnerabilidades.

1. Implemente controles técnicos verificables.

• Controle accesos con autenticación fuerte, registre logs de auditoría y establezca monitoreo. Documente los resultados y los umbrales de alerta.

1. Prepare evidencias y pruebas prácticas.

• Realice pruebas de penetración (pentest) y auditorías internas o externas; documente informes, planes de corrección y su cierre.
• Haga ejercicios de recuperación y entregue registros de pruebas de restauración.

1. Gestione subcontratistas y cadena de suministro.

• Exija a subcontratistas cláusulas de seguridad y evidencia de controles. Mantenga contratos que permitan auditorías y acceso a registros en caso de incidente.

1. Establezca un plan de respuesta a incidentes y comunicación.

• Prepare un plan que incluya detección, contención y notificación al órgano público contratante y a terceros afectados. Establezca responsables y canales.

1. Incluya cláusulas contractuales de SLAs y responsabilidades.

• Defina niveles de servicio, penalidades por incumplimiento, y límites de responsabilidad. Negocie con cuidado las obligaciones en materia de incidentes y confidencialidad.

Qué puede pasar

1) Se cumple el requisito y se adjudica el contrato.

• Entregar la documentación exigida y evidencia de controles suele ser suficiente para pasar la fase técnica. La ventaja es la adjudicación; la desventaja es que mantener esos controles conlleva costes operativos continuos.

2) Observaciones técnicas y acuerdo de mejora.

• El órgano puede exigir medidas correctoras antes de la firma. Un plan de remediación bien documentado suele ser aceptable si demuestra intención y capacidad de ejecución.

3) Exclusión del proceso o rescisión contractual.

• Si no cumple los requisitos o sufre un incidente importante sin respuesta adecuada, puede ser excluido o sufrir la rescisión del contrato. Si hay incumplimiento grave, puede haber sanciones administrativas y responsabilidad por daños.

Y si gana, ¿cobro? El pago por servicios públicos puede depender de cumplimientos posteriores; incumplimientos de seguridad pueden llevar a retenciones de pago o penalidades, por lo que la capacidad de ejecución técnica y documental es clave para cobrar a tiempo.

Errores que arruinan el caso

• Presentar políticas genéricas sin evidencia de implementación práctica.
• No realizar pruebas de restauración de backups: un registro teórico no sustituye una prueba real.
• Subcontratar funciones críticas sin cláusulas que permitan auditoría y supervisión.
• No registrar logs de auditoría o no conservarlos según lo exigido en el pliego.
• No tener un responsable único que coordine comunicación con el órgano público en caso de incidente.