Actualitat

La ciberseguretat ja és una qüestió de direcció

NIS2 i la Llei 22/2022 d’Andorra fan responsable la direcció de la ciberseguretat. Què implica per a pimes obligades i per als seus proveïdors.

Publicat el Per BDR Group10 min de lectura

Les normes europees i andorranes de ciberseguretat posen la responsabilitat en els òrgans de direcció: han d’aprovar les mesures, supervisar-ne l’aplicació i formar-se. Les pimes que no hi estan obligades també ho noten, perquè els clients obligats ho exigeixen als proveïdors. La ciberseguretat s’ha de decidir a la gerència, amb el suport del personal tècnic.

Què diuen les normes sobre la direcció

La Directiva (UE) 2022/2555, coneguda com a NIS2, diu que els òrgans de direcció de les entitats essencials i importants han d’aprovar les mesures de gestió de riscos de ciberseguretat, supervisar-ne la posada en pràctica i respondre si l’entitat no les compleix (article 20.1). Els membres d’aquests òrgans han d’assistir a formacions (article 20.2). Els estats havien d’aplicar la directiva a partir del 18 d’octubre de 2024 (article 41).

A Andorra, la Llei 22/2022, del 9 de juny, de mesures per a la seguretat de les xarxes i dels sistemes d’informació (BOPA núm. 76, del 22 de juny de 2022), segueix el mateix esquema. L’article 17 fixa que els òrgans de direcció aproven les mesures, en supervisen l’aplicació i responen de l’incompliment, i que els seus membres han de formar-se periòdicament.

A Espanya, la llei que ha de transposar la directiva encara és en tràmit. El Consell de Ministres en va aprovar l’avantprojecte el 14 de gener de 2025 i, a 25 d’octubre de 2026, no l’hem localitzada publicada al BOE. No és motiu per esperar: el text europeu ja marca la direcció.

Què pot passar si no es compleix

NIS2 deixa que cada país decidi com es concreta la responsabilitat, però fixa un mínim. Les entitats essencials s’exposen a multes de fins a 10 milions d’euros o el 2% del volum de negoci mundial, i les importants, a 7 milions o l’1,4% (article 34). Per a les essencials, si les mesures d’execució no funcionen i l’entitat no corregeix les deficiències en el termini fixat, l’autoritat pot demanar que es prohibeixi temporalment exercir funcions de direcció al director general o al representant legal (article 32.5.b). En les essencials, les persones que la dirigeixen, la representen o la controlen han de poder ser considerades responsables de no vetllar pel compliment (article 32.6).

A Andorra, l’article 36 de la Llei 22/2022 preveu multes de 30.001 a 100.000 euros per les infraccions molt greus, de 15.001 a 30.000 per les greus i, per les lleus, amonestació o multa de 500 a 15.000 euros. L’article 31 atribueix la responsabilitat de les infraccions a l’entitat, mentre que l’article 17 diu que la direcció n’ha de respondre. Com es combinen les dues coses és una pregunta per a un assessor jurídic, però el missatge és clar: no es pot delegar la decisió en el departament tècnic i desentendre-se’n.

Convé tenir present que el Govern d’Andorra va informar el 23 de juny de 2026 que el Consell de Ministres havia aprovat un projecte de llei de modificació de la Llei 22/2022. Entre altres canvis, amplia a totes les entitats l’obligació de notificar incidències i fa obligatori un centre d’operacions de seguretat (SOC) per a les entitats crítiques. A 25 d’octubre de 2026 no hem localitzat el text modificat publicat, de manera que ens remetem al text de 2022; caldrà tornar-hi quan entri en vigor la reforma.

Els terminis no deixen temps per improvisar

NIS2 demana que l’entitat afectada enviï una alerta primerenca en un termini de vint-i-quatre hores des que té constància d’un incident significatiu, una notificació en setanta-dues hores i un informe final en un mes (article 23.4). La llei andorrana fixa la notificació al CSIRT-AD sense demora i, en tot cas, en setanta-dues hores des de la detecció (article 15).

Si l’incident afecta dades personals, hi ha un altre rellotge en paral·lel: setanta-dues hores per notificar-ho a l’autoritat de control, segons el RGPD (article 33) a Catalunya i segons la Llei 29/2021 (article 36) a Andorra, en aquest cas a l’APDA.

Un divendres a la tarda, el correu de comptabilitat d’una distribuïdora de Lleida comença a enviar factures falses als clients. Si ningú ha decidit abans qui avisa a qui i qui parla amb els clients, les primeres hores es perden discutint. Per això un pla d’incidents és una decisió de direcció abans que una eina.

Si no hi estàs obligat, també t’arriba

NIS2 s’aplica, en general, a empreses mitjanes i grans dels sectors dels seus annexos (article 2). La llei andorrana, a entitats d’aquests sectors que ocupen cinquanta persones o més o que superen els deu milions d’euros de volum de negoci o de balanç (article 2). Una botiga, un despatx o un taller petit probablement no hi entren directament.

Però la directiva demana a les entitats obligades que cuidin la seguretat de la cadena de subministrament, incloses les relacions amb els seus proveïdors directes (article 21.2.d). A la pràctica, això vol dir qüestionaris de seguretat, clàusules noves als contractes i preguntes sobre còpies, accessos i autenticació multifactor. L’empresa de manteniment amb accés remot a les instal·lacions d’una distribuïdora d’energia, o la de programari que dona servei a un grup hospitalari, ho notaran abans que es publiqui la llei espanyola.

Les empreses que treballen per a l’administració pública espanyola tenen un altre marc ja vigent: l’Esquema Nacional de Seguretat (Reial decret 311/2022) s’aplica als sistemes del sector privat que presten serveis o proveeixen solucions a entitats del sector públic, inclosa l’obligació de tenir una política de seguretat (article 2.3).

Pressupost i govern: com es porta a la pràctica

De les deu mesures mínimes que enumera NIS2 (article 21.2), la majoria són organitzatives: anàlisi de riscos, gestió d’incidents, continuïtat i còpies, cadena de subministrament, formació, control d’accessos. Sense algú que fixi prioritats, les eines acaben sent llicències que ningú revisa.

Cap de les dues normes fixa un percentatge de pressupost. NIS2 demana mesures proporcionades a la mida, a l’exposició i al cost de l’entitat (article 21.1), i la llei andorrana, a la dependència de sistemes crítics i a la disponibilitat d’alternatives (article 13.2). Aprovar mesures sense recursos per aplicar-les no té sentit, i aquí la direcció sí que té una feina concreta. Recomanem:

  • Un responsable amb nom per a cada sistema crític. La llei andorrana demana designar un Delegat de la Seguretat de la Informació, amb recursos i comunicació efectiva amb l’alta direcció (article 18).
  • Un punt fix a l’ordre del dia, un cop per trimestre, amb pocs indicadors: incidents, vulnerabilitats crítiques obertes, resultat de l’última prova de restauració.
  • Un registre per escrit de les decisions: què s’aprova, què es posposa i quin risc s’accepta, amb data i signatura.
  • Un import anual reservat per a seguretat, que no depengui de tenir un incident.

La mateixa directiva admet que les mesures siguin proporcionades: no es tracta de muntar l’estructura d’un banc, sinó de tenir clar el mínim.

Formació de la direcció

Els articles 20.2 de NIS2 i 17.2 de la Llei 22/2022 coincideixen en l’objectiu: que els membres de la direcció tinguin coneixements i destreses suficients per entendre i avaluar els riscos i les pràctiques de gestió, i el seu impacte en les operacions de l’entitat. La formació no s’ha de limitar a l’equip tècnic.

No fa falta un curs llarg. Una sessió anual d’unes hores, amb un exercici de simulació d’incident (què fem si demà no podem obrir cap fitxer), cobreix el que demana la norma i deixa clar qui decideix. És la nostra recomanació; cap de les dues normes fixa durada ni format.

Què preguntar al responsable d’IT

Sis preguntes que la direcció hauria de poder fer, i obtenir resposta per escrit:

  1. Quins cinc sistemes aturarien l’empresa si fallessin, i qui és el responsable de cadascun?
  2. Quan es va provar l’última restauració de còpies, i quant va trigar?
  3. Qui té accés d’administrador i quan es va revisar per última vegada?
  4. On tenim autenticació multifactor i on no?
  5. Quines vulnerabilitats crítiques hi ha obertes i des de quan?
  6. Quins proveïdors tenen accés als nostres sistemes o dades, i què diuen els contractes sobre seguretat i incidents?

Si la resposta és "no ho sé", ja és una decisió de direcció posar-hi recursos o assumir el risc per escrit.

Què hi fem nosaltres

Ho declarem: a BDR Group treballem la ciberseguretat a través de TutumSec, la nostra vertical especialitzada, amb consultoria vCISO, auditories, pentesting, resposta a incidents i una oficina tècnica que dona suport al compliment de NIS2. Si vols una primera orientació, TutumSec ofereix un diagnòstic gratuït basat en el que es pot observar del teu domini a internet i en un qüestionari breu. No substitueix una auditoria, però ajuda a saber per on començar.

Què fer ara

  1. Esbrina quin marc t’afecta (NIS2 o la futura llei espanyola, la Llei 22/2022, l’ENS o només la protecció de dades) i si algun client t’hi arrossega com a proveïdor.
  2. Fes una llista dels sistemes crítics amb un responsable per a cadascun.
  3. Escriu un pla d’incidents d’una pàgina: qui decideix, a qui s’avisa (CSIRT-AD a Andorra, línia 017 d’INCIBE a Espanya, l’autoritat de protecció de dades) i en quins terminis.
  4. Activa l’autenticació multifactor als accessos externs i comprova una restauració de còpia.
  5. Programa una formació anual per a la direcció, no només per a l’equip.

Preguntes freqüents

La meva pime ha de complir NIS2?

Depèn del sector i de la mida. En general afecta empreses mitjanes i grans dels sectors dels annexos de la directiva, amb alguns casos que hi entren sigui quina sigui la mida. Si treballes per a una entitat obligada, ho notaràs igualment.

Si la llei espanyola encara no s’ha aprovat, puc esperar?

No ho recomanem. Les exigències ja arriben per contracte des dels clients obligats, i les mesures bàsiques són útils amb llei o sense.

Una empresa andorrana ha de seguir NIS2?

La directiva s’adreça als estats de la UE i no s’aplica directament a Andorra, que té la seva pròpia Llei 22/2022. Una empresa andorrana pot quedar afectada si és proveïdora d’entitats obligades de la UE, i alguns proveïdors digitals que ofereixen serveis a la Unió sense estar-hi establerts han de designar-hi un representant (article 26.3).

A qui truco si tinc un incident?

A Andorra, el CSIRT-AD és l’equip de referència que estableix la Llei 22/2022. A Espanya, INCIBE ofereix la línia d’ajuda gratuïta 017, cada dia de 8 a 23 hores. Si hi ha dades personals afectades, cal valorar també la notificació a l’APDA o a l’AEPD.

Fonts

Parlem de la seguretat de la teva empresa

Si vols saber per on començar i què t’exigeix el teu marc, consulta la fitxa del servei: Ciberseguretat per a empreses amb TutumSec

Torna a Actualitat

Actualitat

Articles relacionats