Las normas de ciberseguridad elaboradas en los últimos años para las instituciones más importantes de Europa están ejerciendo presión sobre miles de empresas más pequeñas para que refuercen sus propias defensas digitales.
A medida que nuevas normativas, como la NIS2 y la DORA, se extienden por los distintos sectores, incluso los proveedores más modestos deben dar un paso al frente para conservar sus contratos y clientes, lo que impulsa una especie de «efecto de goteo en materia de seguridad», en el que la presión por el cumplimiento normativo en los niveles más altos refuerza la resiliencia en toda la economía.
Eso es lo que los expertos en ciberseguridad y los analistas del sector afirman estar observando en toda la UE y el Reino Unido, una región que —a pesar de sus propias rivalidades internas y sus roces burocráticos— ha logrado aprobar en los últimos años diversas normas y marcos internacionales con el fin de armonizar los protocolos de ciberseguridad más allá de las fronteras.
Aunque cada nueva ley o norma pueda tener sus defectos y su buena dosis de detractores —dos tercios de los profesionales de la ciberseguridad señalan el creciente volumen y la complejidad de las normativas como un obstáculo importante para el cumplimiento, según el Foro Económico Mundial—, esta legislación contrasta claramente con los esfuerzos más moderados que provienen de los Estados Unidos, un país (en general) reacio a la regulación. Y, tal y como revela esta nueva tendencia de «efecto de goteo», las empresas que miran más allá de la complejidad y dan prioridad al cumplimiento normativo en materia de TI obtienen beneficios a largo plazo.
Los expertos en ciberseguridad señalan las normativas dirigidas a sectores críticos y promulgadas en los últimos años, tales como…
- NIS2—Con el objetivo de garantizar los servicios esenciales y las infraestructuras críticas en todos los Estados miembros de la UE, esta actualización de la Directiva sobre seguridad de las redes y la información (NIS) se adoptó en 2023 y se transpuso a la legislación nacional en 2024.
- DORA — La Ley de Resiliencia de las Operaciones Digitales, concebida para reforzar la resiliencia de las entidades financieras, entró en vigor en 2023.
- La Ley de IA de la UE —la primera ley del mundo que regula la inteligencia artificial— se aprobó en 2024.
- RGPD: el Reglamento General de Protección de Datos, considerado como la legislación en materia de protección de datos más estricta del mundo, entró en vigor en 2018.
- Proyecto de ley británico sobre ciberseguridad y resiliencia: un marco destinado a modernizar el apoyo a las infraestructuras nacionales críticas y a reforzar la supervisión de los riesgos de la cadena de suministro, que actualmente se encuentra en trámite en el Parlamento británico y cuya aprobación como ley está prevista para algún momento del año 2026.
…que han comenzado a ejercer un efecto sutil (y, en ocasiones, no tan sutil) en toda la cadena de suministro cibernética.
El impacto está alcanzando una masa crítica y se extiende mucho más allá de Europa: las empresas estadounidenses y otras empresas no pertenecientes a la UE también están obligadas a tener en cuenta esta normativa cuando operan en el mercado europeo.
«No se trata solo de un enfoque de arriba abajo; se está extendiendo a lo largo de toda la cadena de suministro», afirma Marc Vael, presidente de la sección belga de la Comunidad de CISO de la Organización Europea de Ciberseguridad (ECSO), la mayor federación independiente público-privada de responsables de seguridad de la información de Europa. «No solo terceros», añade, «sino también cuartos y quintos».
Puntos críticos: cuando la normativa cibernética se vuelve más estricta
Cada una de las nuevas normativas conlleva su propio tipo de presión.
«No se trata solo de un enfoque de arriba abajo; se está extendiendo a lo largo de toda la cadena de suministro». «No solo terceros, sino también cuartos y quintos».Marc Vael, presidente de la sección belga de la Comunidad de CISO de la Organización Europea de Ciberseguridad (ECSO)
La norma NIS2 amplía el alcance de la directiva original para abarcar una gama más amplia de entidades esenciales e importantes. DORA introduce en el sector de los servicios financieros requisitos rigurosos en materia de notificación de incidentes, gobernanza y riesgos de terceros. La Ley de Inteligencia Artificial y el RGPD van aún más allá, al añadir requisitos adicionales en materia de transparencia y rendición de cuentas. El incumplimiento no se limita únicamente a la imposición de multas. En muchos casos, los miembros del consejo de administración pueden ser considerados responsables a título personal, y las organizaciones corren el riesgo de sufrir un daño real a su reputación o de perder negocio.
«En la práctica, muchas empresas comienzan preguntándose: ¿Cumplimos con los requisitos mínimos para estar en conformidad?», afirma Edwin van den Heuvel, director y arquitecto de soluciones de ServiceNow en Tanium, un proveedor líder mundial de soluciones de ciberseguridad (y editor de esta revista). «Reciben una auditoría en papel de una gran consultora y, a continuación, se dan cuenta de que siguen sin tener ni idea de qué activos críticos poseen». Resulta que la resiliencia cibernética comienza con una visibilidad del 100 % de los dispositivos conectados a su red. Una vez que sepa qué es lo que está ejecutando, podrá empezar a protegerlo.
Una vez que las empresas detectan las deficiencias, comienzan a identificar qué elementos están interrelacionados, cuáles son críticos y cuáles están en riesgo, señala van den Heuvel.
La normativa cibernética y la reacción en cadena de la responsabilidad
Sin embargo, la normativa no solo fomenta las auditorías internas, sino que también reconfigura las relaciones externas.
«La verdadera pregunta es: ¿cómo gestionan los proveedores a sus propios subcontratistas? «La ciberseguridad no se limita a su propia casa; tiene que ver con las llaves que entrega a todos los demás».Sven Hutse, director de seguridad de la información (CISO) y asesor de dirección de sistemas de información (CIO), Birkin&Barre
Las empresas sujetas a regulación, que a su vez se encuentran bajo presión, exigen cada vez más a sus proveedores. Envían cuestionarios —a veces breves, otras veces con cientos de preguntas— a los buzones de correo electrónico de sus socios comerciales en todos los sectores de la economía. Según las estimaciones de Vael, en un año determinado, el responsable de seguridad de la información (CISO) de una empresa mediana podría tener que responder a cuestionarios de más de 160 clientes, lo que supone un total de más de 8,000 consultas individuales. «Es abrumador», afirma. «O bien responde de forma puntual, o bien publica de forma proactiva certificaciones, auditorías o documentos del centro de confianza en su sitio web».
Observadores como Vael están constatando cada vez con mayor frecuencia este tipo de divulgación proactiva de las medidas de seguridad cibernética, a medida que la presión ejercida desde arriba empuja a los socios a adoptar defensas más estrictas y a una mayor transparencia.
Es posible que se prescinda de aquellos proveedores que no puedan seguir el ritmo. Y las expectativas no se quedan ahí.
«La verdadera pregunta es: ¿cómo gestionan esos proveedores a sus propios subcontratistas?», afirma Sven Hutse, responsable de seguridad de la información (CISO) y asesor de sistemas de información (CIO) en la consultora Birkin&Barre. «La ciberseguridad no se limita a su propia casa; tiene que ver con las llaves que entrega a todos los demás».
Van den Heuvel confirma esa dinámica: «En el momento en que, como proveedor, no cumple los requisitos, simplemente le comunican que no le van a renovar el contrato». Esa presión comercial garantiza que incluso los pequeños proveedores empiecen a cumplir las normas que, en un principio, estaban destinadas a sectores críticos.
Esta tendencia hacia la rendición de cuentas da lugar a un nuevo tipo de ecosistema digital, en el que el cumplimiento normativo se contamina. A medida que las grandes empresas imponen normas de seguridad más estrictas a sus proveedores, estos (y los proveedores de sus proveedores) comienzan a adaptarse. El efecto se asemeja a lo que los epidemiólogos podrían denominar «inmunidad colectiva digital».
«En toda Europa se ven cada vez menos empresas en las que la puerta principal esté de par en par», afirma Vael. «Hace cinco años, siempre se encontraba algún problema. «Ahora es la excepción». Anima a las organizaciones a utilizar la inteligencia de fuentes abiertas para comprobar la veracidad de la información facilitada por los subcontratistas al cumplimentar los cuestionarios mencionados anteriormente.
El escrutinio de los proveedores, desde SolarWinds hasta los supermercados
Incidentes como el ciberataque del 2020 contra el proveedor de software SolarWinds —una brecha de seguridad que afectó a 18,000 organizaciones— obligaron a los organismos reguladores y a las grandes empresas a ampliar el control de la cadena de suministro, lo que llevó a las empresas más pequeñas a reforzar sus propias defensas. Cada incumplimiento y sus consecuencias endurecen el entramado de expectativas.
«En el momento en que no cumpla los requisitos como proveedor, simplemente le dirán que no le van a renovar el contrato».Edwin van den Heuvel, director y arquitecto de soluciones de ServiceNow, Tanium
Y no son solo las empresas tecnológicas las que se encuentran en una situación vulnerable en lo que respecta a sus cadenas de suministro. Van den Heuvel, que reside en Ámsterdam, recuerda un incidente de ransomware en una empresa de transporte neerlandesa que paralizó los envíos de queso a los supermercados y alteró la red logística alimentaria de los Países Bajos.
«Que no haya queso en las estanterías, en los Países Bajos, es prácticamente una emergencia nacional», bromea Van den Heuvel. Sin embargo, añade, la lección es importante: la resiliencia depende ahora tanto de la ciberseguridad de sus proveedores como de la suya propia.
El incidente del queso no es un caso aislado: este año, una oleada de ciberataques ha afectado a las entregas de productos perecederos en la «cadena de frío» de la UE y el Reino Unido, y los analistas prevén que pronto podrían llegar a los EE. UU. Este tipo de incidentes ponen de manifiesto la fragilidad de los sistemas interconectados. «Las empresas quieren estar seguras, pero dependen en gran medida de terceros», afirma Vael. «La confianza debe existir en ambos sentidos, tanto hacia arriba como hacia abajo».
Mantener esa confianza resulta costoso y requiere muchos recursos. Las empresas más pequeñas corren el riesgo de quedar excluidas, no porque no les importe la seguridad, sino porque el coste de demostrarla es demasiado elevado. Hutse reconoce el reto: «No todas las pymes [pequeñas y medianas empresas] disponen de los medios necesarios para obtener la certificación ISO 27001 », afirma Hutse, refiriéndose a una norma internacional de referencia en materia de sistemas de gestión de la seguridad de la información. «Por eso es importante la clasificación: se aplican distintos niveles de control en función del tipo de datos o del acceso de que se trate».
En otras palabras, sin proporcionalidad, la regulación podría resultar contraproducente. La Ley de IA de la UE, por ejemplo, aborda esta cuestión mediante su marco basado en el riesgo que regula el desarrollo, la implantación y el uso de los sistemas de IA en Europa. (Las normas, que entrarán en vigor por fases, se aplicarán hasta el 2026.) «Si dispone de un sistema de inteligencia artificial que vaya a tener alguna repercusión en Europa, debe tener en cuenta la Ley de la UE sobre la IA», afirmó Gretchen Scott, socia especializada en tecnología del bufete Goodwin Law, en una entrevista concedida a Focal Point el año pasado, cuando el Parlamento Europeo aprobó dicha ley. Scott, que reside en Londres, y otros abogados animan a las empresas a evaluar el nivel de riesgo de sus sistemas de inteligencia artificial basándose en los cuatro niveles establecidos en el reglamento.
Los responsables de seguridad pueden adoptar el mismo enfoque al analizar su cadena de suministro. Clasificar a los proveedores según su nivel de riesgo, tal y como aconseja Hutse, garantiza que el ecosistema sea a la vez seguro e inclusivo.
En definitiva, las empresas se ven obligadas a encontrar un equilibrio entre dos presiones: el coste que supone implementar medidas de ciberseguridad y el coste que supone no inspirar confianza. «O se invierte ahora, o se pierden clientes más adelante», afirma Vael.
La normativa en materia de ciberseguridad y el papel de las herramientas
Los avances en ciberseguridad, como la gestión autónoma de terminales —que combina la automatización con las herramientas de gestión de terminales—, pueden ayudar a las empresas a mantener el control sobre la superficie de ataque, cada vez más amplia. «No basta con tener un inventario», afirma van den Heuvel, «se necesita un inventario dinámico , algo que se actualice continuamente».
«No basta con tener un inventario, sino que se necesita un inventario dinámico, algo que se actualice continuamente».van den Heuvel
Sin embargo, ni siquiera las mejores herramientas pueden evitar la vulnerabilidad más antigua que existe: el comportamiento humano. Los expertos instan a las empresas a impartir formación y educación continuas en materia de sensibilización, pero muchas de ellas no cumplen con esta exigencia. «Menos de la mitad de las empresas cuentan con programas de formación estructurados en materia de ciberseguridad», afirma Hutse. «Y más del 90 % de los ataques que tienen éxito se deben a un error humano. «Lo sabemos, y, sin embargo, seguimos invirtiendo muy poco en las personas».
Van den Heuvel sostiene que los requisitos de notificación de incidentes de la DORA podrían cambiar esa mentalidad al obligar a las organizaciones a poner en práctica la colaboración, y no solo a prometerla: «Las empresas deben contar con un proceso que establezca lo siguiente: si se produce un incidente, evaluamos su impacto y lo notificamos externamente». «Esto permite avisar a los demás jugadores». Ese instinto de cooperación, ahora integrado en la DORA, puede ser uno de los efectos en cadena más discretos, pero a la vez más poderosos, de la normativa.
Esa concienciación debe llegar hasta los más altos niveles. Los consejos de administración están empezando a prestar atención, no solo por las normativas, sino porque ahora está en juego su propia responsabilidad. No obstante, algunos directivos consideran el cumplimiento normativo como una simple lista de tareas que hay que cumplir, en lugar de un enfoque estratégico de la gestión de riesgos. «El verdadero objetivo no consiste simplemente en marcar casillas», afirma van den Heuvel. «Se trata de garantizar la resiliencia operativa». «Si surge algún problema, ¿con qué rapidez pueden detectarlo, contenerlo y recuperarse?»
¿Y con qué rapidez puede informar a los demás? DORA, en particular, hace hincapié en la necesidad de informar con rapidez a las autoridades reguladoras, pero también a los demás operadores del sector. «Si se ve afectado, los demás miembros de su ecosistema merecen una advertencia», añade van den Heuvel.
Hacia una economía digital más segura
Al igual que ocurre con la sostenibilidad —donde las grandes empresas han impulsado prácticas más respetuosas con el medio ambiente en todas sus redes—, la ciberseguridad está entrando en una fase en la que la responsabilidad se extiende hacia el exterior. Muchas empresas no esperan a que las leyes les indiquen qué deben hacer. Actúan debido a la presión del mercado, al riesgo para su reputación y, sí, al sentido común.
«La seguridad perfecta no existe. Sin embargo, la normativa, las auditorías y la presión de los compañeros le hacen reflexionar... «Y pensar es la mitad del camino».Vael
«Muchas empresas ya están tomando medidas por su cuenta», afirma van den Heuvel. «Para eso no se necesitan leyes ni normativas». Hutse establece la misma comparación con la sostenibilidad: muchas empresas comenzaron a mejorar su huella medioambiental mucho antes de que la normativa les obligara a hacerlo. Según ellos, ese mismo cambio cultural se está produciendo ahora en el ámbito de la ciberseguridad.
«La seguridad perfecta no existe», admite Vael. «Sin embargo, la normativa, las auditorías y la presión de los compañeros le hacen reflexionar. Sobre copias de seguridad, incorporación de nuevos empleados, formación, riesgos de terceros y continuidad del negocio. «Y pensar es la mitad del camino».
En este nuevo contexto, no se trata solo de cumplir con la normativa; se trata de la confianza. Confíe en que sus proveedores no le pondrán en evidencia. Asegúrese de que sus herramientas estén actualizadas. Confíe en que su personal no conectará un dispositivo comprometido a la caja registradora. La ciberseguridad puede comenzar en los altos cargos, pero no se limita a ellos. Se va filtrando, a través de formularios, auditorías, contratos y conversaciones, hasta que incluso la empresa más pequeña de la cadena empieza a preguntarse: ¿qué debo proteger y cómo?
Al final, hay que entregar el queso. Y en la economía digital, eso significa que todos contribuimos a garantizar la seguridad de la cadena de suministro.
