NIS2 pide seguridad en la cadena: demuéstrala proveedor a proveedor.
Para el CISO de una entidad esencial o importante con muchos proveedores TIC: HodeiShield puntúa las diez medidas del artículo 21, mide la exposición de cada proveedor y deja la evidencia lista para quien te la pida.
- Puntuación control a control verificada en NIS2
- Datos en la UE (OVH, Gravelines); Cloudflare (EE. UU.) en la ruta de la petición
Qué exige NIS2, en breve
NIS2 obliga a gestionar el riesgo de ciberseguridad con medidas técnicas, operativas y organizativas proporcionadas, y a notificar los incidentes significativos.
Resumen informativo, no asesoramiento jurídico. Si te aplica y con qué plazos depende de la norma nacional de transposición.
- Diez medidas mínimas
- El artículo 21(2) enumera diez ámbitos, de la gestión de incidentes a la criptografía. Uno de ellos es la seguridad de la cadena de suministro, incluidos los aspectos de la relación con cada proveedor directo.
- Mirar a cada proveedor
- El artículo 21(3) pide tener en cuenta las vulnerabilidades propias de cada proveedor directo y la calidad de sus productos y de sus prácticas de ciberseguridad.
- Notificar en plazo
- Alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en un mes (artículo 23).
- La dirección responde
- Los órganos de dirección aprueban y supervisan las medidas, y pueden responder por su incumplimiento (artículo 20).
Las diez medidas del artículo 21(2)
HodeiShield puntúa las diez a partir de la evidencia que aportas. En las marcadas, además, la plataforma hace trabajo propio.
- a)
Análisis de riesgos y seguridad de los sistemas
Exposición en euros por proveedor y registro de riesgos.
Parcial - b)
Gestión de incidentes
Registro único con plazos de 24 h y 72 h calculados.
Parcial - c)
Continuidad y gestión de crisis
Medida organizativa: evidencia y seguimiento.
- d)
Seguridad de la cadena de suministro
Grafo, cuestionarios, escaneo periódico, CVE y SBOM de cada proveedor.
Directo - e)
Adquisición, desarrollo y gestión de vulnerabilidades
Sincronización diaria de CVE y SBOM contra OSV.dev.
Parcial - f)
Evaluar la eficacia de las medidas
Postura por marco y evidencia con fecha de validez.
Parcial - g)
Ciberhigiene y formación
Medida organizativa: evidencia y seguimiento.
- h)
Criptografía y cifrado
Medida técnica de tu entorno: evidencia y seguimiento.
- i)
Personal, control de acceso y activos
Medida organizativa: evidencia y seguimiento.
- j)
Autenticación multifactor y comunicaciones seguras
Medida técnica de tu entorno: evidencia y seguimiento.
Las medidas sin marca las puntúa la plataforma con la evidencia que subes; implantarlas es tarea de tu organización.
De cada obligación de NIS2 a una capacidad de HodeiShield
Con la fase del ciclo y el alcance real de cada una.
Directo: la plataforma lo hace. Parcial: aporta evidencia o una parte, el resto es tuyo. No cubre: queda fuera de HodeiShield.
- Obligación:
Seguridad de la cadena de suministro
Art. 21(2)(d)
Qué hace HodeiShield:Grafo de dependencias con propagación a 3 saltos y concentración HHI, cuestionarios por token con recordatorios y escaneo externo periódico de cada proveedor.
Docs · Conceptos básicos (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceDirecto - Obligación:
Vulnerabilidades y calidad de las prácticas de cada proveedor directo
Art. 21(3)
Qué hace HodeiShield:Puntuación de riesgo de 0 a 100 por proveedor que combina escaneo, cuestionario y CVE conocidas, con registro de decisiones sobre el proveedor.
Docs · Motor de riesgo (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceDirecto - Obligación:
Gestión y divulgación de vulnerabilidades
Art. 21(2)(e)
Qué hace HodeiShield:Sincronización diaria de CVE (NVD, CISA KEV y EPSS, la probabilidad de explotación) y SBOM de proveedores cruzado con OSV.dev. La divulgación coordinada de tus propias vulnerabilidades no entra.
Docs · Cadena SBOM, CVE y alerta (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Análisis de riesgos
Art. 21(2)(a)
Qué hace HodeiShield:ALE FAIR en euros como estimación puntual, con una banda de incertidumbre simulada (sin calibrar), y simulador determinista de escenarios.
Docs · Motor de riesgo (se abre en una pestaña nueva)FasePREDICTAlcanceParcial - Obligación:
Alerta temprana en 24 h y notificación en 72 h
Art. 23
Qué hace HodeiShield:Registra el incidente una vez, lo clasifica y calcula los plazos. La notificación a la autoridad o al CSIRT la envías tú.
Demo · registro de incidentesFaseFuera del cicloAlcanceParcial - Obligación:
Aprobación y supervisión por la dirección
Art. 20
Qué hace HodeiShield:Panel ejecutivo e informes PDF con la postura, las obligaciones y la hoja de ruta de remediación.
Docs · Cumplimiento (se abre en una pestaña nueva)FasePREDICTAlcanceParcial - Obligación:
Medidas organizativas y técnicas del resto de apartados
Art. 21(2)(c)(f)(g)(h)(i)(j)
Qué hace HodeiShield:Evidencia con responsable, validez y estado, biblioteca de políticas y hoja de ruta priorizada. La plataforma puntúa; no implanta la medida.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceParcial - Obligación:
Enseñar el estado a un cliente o a una autoridad
Art. 21
Qué hace HodeiShield:Trust Center con acceso público o restringido (NDA / revisión manual), y atestación ATTEST de banda por marco. Prueba integridad y origen, no que la evidencia sea veraz.
Docs · Verificador ATTEST (se abre en una pestaña nueva)FaseATTESTAlcanceParcial
Lo que HodeiShield no hace con NIS2
Límites explícitos.
No determina si eres entidad esencial o importante
Eso depende de tu sector, tu tamaño y la norma nacional. Lo decide tu organización con asesoría jurídica.
No implanta las medidas ni notifica por ti
Puntúa las medidas y calcula plazos. Aplicar la criptografía o enviar la alerta temprana sigue siendo tuyo.
No monitoriza proveedores de forma continua
Los escaneos de proveedor son periódicos, vía fuentes externas, y el agente reporta por ciclo. No es tiempo real.
La puntuación no es una conformidad
Orienta tu trabajo. No sustituye una evaluación de la autoridad competente ni garantiza el cumplimiento.
Preguntas sobre NIS2
Lo que más se pregunta antes de una demo.
¿Qué pide NIS2 sobre mis proveedores?
Incluye la seguridad de la cadena de suministro entre las medidas mínimas (artículo 21(2)(d)) y pide considerar las vulnerabilidades de cada proveedor directo y la calidad de sus prácticas de ciberseguridad (artículo 21(3)).
¿Me aplica NIS2?
Depende del sector (anexos I y II), del tamaño y de la transposición nacional. HodeiShield no lo determina; tu asesoría jurídica lo concreta con la norma vigente.
¿Cómo ayuda con los plazos de 24 y 72 horas?
Registras el incidente una vez, lo clasificas y la plataforma calcula los plazos aplicables. El envío de la notificación a la autoridad competente lo haces tú.
¿HodeiShield me hace cumplir NIS2?
No. Mide tu postura frente a las diez medidas, mide a tus proveedores y ordena la evidencia. Cumplir exige implantar las medidas y que tu evidencia las respalde.
¿La puntuación de proveedores es continua?
No. Los escaneos son periódicos a través de fuentes externas, los cuestionarios los responde el proveedor y la sincronización de CVE es diaria.
Soluciones relacionadas
Pon tus proveedores en orden antes de la próxima petición
En la demo recorremos el artículo 21 con un caso de ejemplo: del proveedor con una CVE en KEV a la evidencia que puedes enseñar.
Sin compromiso. Datos de ejemplo, nunca de otros clientes.