La ciberseguridad lleva tiempo

¿Implantación “rápida” de un SGSI para la Directiva NIS2 a partir de octubre de 2024?

Implantar un SGSI (sistema de gestión de la seguridad de la información, ISMS en inglés) de forma fiable, incluida su certificación, puede llevar fácilmente de 15 a 36 meses. Por eso debería empezar hoy mismo.

¿Necesito un SGSI?

A grandes rasgos, a partir de 50 empleados y 10 millones de euros de facturación debería informarse activamente de si próximamente tendrá que implantar un SGSI conforme a los nuevos artículos 30, apartado 1, y 31 del proyecto de ley de reforma de la Ley alemana del BSI a partir del 17 de octubre de 2024.

Mi compañero Markus Vatter explicó en detalle en su artículo de julio “Directiva NIS-2” quiénes estarán obligados. Eso ya no va a cambiar mucho, porque en gran medida viene determinado por la Directiva europea NIS2 2022/2555.

Pero hay más motivos para mantener activamente la seguridad de la información de forma duradera.

• El 3 de julio de 2024 entró en vigor la Directiva europea sobre cadenas de suministro (2024/1760) que, como complemento de la Ley alemana de cadenas de suministro (LkSG), está llevando poco a poco a que las grandes empresas ya hoy exijan la certificación de sus socios comerciales, sean clientes o proveedores, para cumplir sus propias obligaciones de acreditación. Actualmente vemos que a nuestros clientes sus socios comerciales les preguntan cada vez más por la ISO 27001, TISAX (sector de la automoción), etc.
• Por último, un SGSI forma parte de una gestión de la calidad que funciona y es expresión de ella. Es decir, su seguro de D&O, de ciberseguridad o de responsabilidad civil puede negarse a pagar los daños si, pese a riesgos reconocibles, no ha tomado precauciones con un SGSI.

Ahorrar tiempo limitando el alcance

Como proveedor de servicios, puede ahorrar la mayor parte del tiempo limitando su SGSI en la primera fase. Puede hacerlo de forma cualitativa, aplicando al principio “solo” el estándar BSI 200-3 en lugar de la ISO 27001, y de forma cuantitativa, aplicando el SGSI únicamente a los procesos directos con clientes y excluyendo, por ejemplo, su administración interna.

Si más adelante aumentan las exigencias en una u otra dimensión, ya dispondrá de una base sobre la que construir rápidamente.

Si ya sabe ahora que más adelante necesitará más calidad o más alcance, lo más eficaz es, naturalmente, hacerlo bien desde el principio. Pero, una vez implantado, el SGSI es un proceso continuo que se mejora a sí mismo, así que la ampliación ya está prevista.

Implantación

Hoja de ruta típica

• De 3 a 12 meses de implantación
• 12 meses para el primer ciclo PDCA ordinario
• 9 meses de certificación

Primeros pasos

El primer paso es, naturalmente, decidir que quiere un SGSI y con qué alcance. Después debería buscar un consultor competente que le ayude a revisar esta decisión y le acompañe en la implantación.

Es decir, acordará con usted una hoja de ruta: empezando de arriba abajo, por ejemplo con una política del SGSI, se sientan las bases; después se identifican y clasifican los activos, se definen las estructuras de implantación y de gestión de riesgos, se desarrollan mecanismos de control y, por último, todo se integra en el día a día.

Ciclo de revisión

Cuando el SGSI “está vivo”, recorre de forma continua, normalmente una vez al año, el ciclo de planificar, hacer, verificar y actuar (en inglés Plan, Do, Check, Act: PDCA).

Certificación

Tras el primer ciclo PDCA es un buen momento para contratar, en su caso, a un auditor externo adicional que inicie con usted y con su consultor del SGSI el primer proceso de certificación. Este comprueba no solo si lo ha estandarizado todo, sino también si se lleva a la práctica. Antes de completar el primer ciclo PDCA, el riesgo de que la certificación fracase y haya que pagar dos veces sería demasiado alto. Suele realizarse en dos pasos. Primero se revisan cuidadosamente los documentos y el funcionamiento, y después se plantean y responden preguntas. Normalmente tiene una validez de tres años, durante los cuales pueden realizarse pequeñas auditorías intermedias.

Para saber más

• Mi compañero Markus Vatter le asesorará con mucho gusto sobre la implantación de un SGSI.
• Directiva NIS-2
• BSI: Certificación ISO 27001 por el BSI

Fuente

Esta noticia procede de nuestra empresa colaboradora bbg bitbase group.