ANEXO
Requisitos técnicos y metodológicos contemplados en el artículo 2 del presente Reglamento
1.Política sobre la seguridad de los sistemas de redes y de información [artículo 21, apartado 2, letra a), de la Directiva (UE) 2022/2555]
1.1.Política sobre la seguridad de las redes y sistemas de información
1.1.1.A efectos del artículo 21, apartado 2, letra a), de la Directiva (UE) 2022/2555, la política de seguridad de los sistemas de redes y de información:
a)determinará el enfoque de las entidades pertinentes para gestionar la seguridad de sus sistemas de redes y de información;
b)se adecuará a la estrategia y los objetivos operativos de las entidades pertinentes y los completará;
c)establecerá los objetivos de seguridad de las redes y de la información;
d)se comprometerá a mejorar constantemente la seguridad de los sistemas de redes y de información;
e)se comprometerá a facilitar los recursos oportunos para su aplicación, incluidos el personal, los recursos financieros, los procedimientos, las herramientas y las tecnologías que se necesiten;
f)será comunicada a los empleados y partes externas que proceda, que deberán aprobarla;
g)presentará los roles y responsabilidades con arreglo al punto 1.2;
h)detallará la documentación que debe conservarse y la duración del período de conservación;
i)enumerará las políticas específicas;
j)fijará indicadores y medidas para supervisar su aplicación y el estado actual del nivel de madurez de la seguridad de las redes y de la información de las entidades pertinentes;
k)indicará la fecha de la aprobación formal por parte de los órganos de dirección de las entidades pertinentes [en adelante, «órgano(s) de dirección»].
1.1.2.El órgano de dirección revisará y, cuando proceda, actualizará la política de seguridad de los sistemas de redes y de información al menos una vez al año, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos. Los resultados de las revisiones quedarán documentados.
1.2.Roles, responsabilidades y autoridades
1.2.1.Como parte de la política de seguridad de los sistemas de redes y de información a que hace referencia el punto 1.1, las entidades pertinentes determinarán las responsabilidades y autoridades en materia de seguridad de los sistemas de redes y de información y las asignarán a distintos roles, las repartirán en función de las necesidades de la entidad y se las comunicarán a los órganos de dirección.
1.2.2.Las entidades pertinentes exigirán a todo el personal y a terceros que apliquen la seguridad de los sistemas de redes y de información de conformidad con la política de seguridad de las redes y la información y las políticas específicas existentes, así como con los procedimientos de las entidades pertinentes.
1.2.3.Al menos una persona informará directamente a los órganos de dirección sobre cuestiones de seguridad de los sistemas de redes y de información.
1.2.4.En función del tamaño de las entidades pertinentes, la seguridad de las redes y los sistemas de información corresponderá a roles o funciones específicos que se desempeñarán además de los roles existentes.
1.2.5.Aquellos cargos o áreas de responsabilidad que entren en conflicto se separarán, cuando proceda.
1.2.6.Los órganos de dirección revisarán y, cuando proceda, actualizarán los roles, responsabilidades y autoridades a intervalos planificados, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
2.Política de gestión de riesgos [artículo 21, apartado 2, letra a), de la Directiva (UE) 2022/2555]
2.1.Marco de la gestión de riesgos
2.1.1.A efectos del artículo 21, apartado 2, letra a), de la Directiva (UE) 2022/2555, las entidades pertinentes establecerán y mantendrán un marco de la gestión de riesgos adecuado para detectar y abordar los riesgos que se planteen para la seguridad de los sistemas de redes y de información. Las entidades pertinentes realizarán evaluaciones de riesgos cuyos resultados documentarán y, a partir de estos últimos, establecerán un plan de tratamiento de riesgos, que aplicarán y supervisarán. Siempre que las entidades pertinentes garanticen una información adecuada a los órganos de dirección, estos últimos o, cuando proceda, las personas que sean responsables y tengan autoridad para gestionar los riesgos, aprobarán los resultados de la evaluación de riesgos y los riesgos residuales.
2.1.2.A los efectos del punto 2.1.1, las entidades pertinentes establecerán procedimientos para detectar, analizar, evaluar y tratar los riesgos («proceso de gestión de riesgos de ciberseguridad»). El proceso de gestión de riesgos de ciberseguridad formará parte del proceso de gestión de riesgos general de la entidad pertinente, según proceda. Como parte del proceso de gestión de riesgos de ciberseguridad, las entidades pertinentes:
a)seguirán una metodología de gestión de riesgos;
b)establecerán un nivel de tolerancia al riesgo conforme con la propensión al riesgo de la entidad;
c)establecerán y mantendrán criterios de riesgo pertinentes;
d)de conformidad con un enfoque que abarque todos los riesgos, determinarán y registrarán todos los riesgos existentes para la seguridad de los sistemas de redes y de información, en especial con relación a terceros o a aquellos riesgos que puedan generar alteraciones en la disponibilidad, integridad, autenticidad y confidencialidad de los sistemas de redes y de información, incluida la detección de puntos únicos de fallo;
e)analizarán los riesgos que se planteen para la seguridad de los sistemas de redes y de información, especialmente la amenaza, la probabilidad, el impacto y el nivel de riesgo, teniendo en cuenta la inteligencia sobre ciberamenazas y las vulnerabilidades;
f)evaluarán los riesgos detectados a partir de los criterios de riesgo;
g)determinarán y priorizarán las opciones y medidas adecuadas de tratamiento de riesgos;
h)supervisarán constantemente la aplicación de las medidas de tratamiento de riesgos;
i)determinarán quién es responsable de la aplicación de las medidas de tratamiento de riesgos y cuándo deben aplicarse estas;
j)informarán de manera comprensible de las medidas de tratamiento de riesgos elegidas en un plan de tratamiento de riesgos y de las razones que justifiquen la aceptación de los riesgos residuales.
2.1.3.Cuando detecten y prioricen las opciones y medidas adecuadas para el tratamiento de los riesgos, las entidades pertinentes tendrán en cuenta los resultados de la evaluación de riesgos, los resultados del procedimiento para evaluar la eficacia de las medidas para la gestión de riesgos de ciberseguridad, el coste de su aplicación en relación con los beneficios previstos, la clasificación de activos contemplada en el punto 12.1 y el análisis de impacto operativo a que se refiere el punto 4.1.3.
2.1.4.Las entidades pertinentes revisarán y, cuando proceda, actualizarán los resultados de la evaluación de riesgos y el plan de tratamiento de riesgos a intervalos planificados y como mínimo anualmente, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riegos.
2.2.Control del cumplimiento
2.2.1.Las entidades pertinentes revisarán periódicamente el cumplimiento de sus políticas en materia de seguridad de los sistemas de redes y de información, políticas específicas, reglas y normas. Los órganos de dirección serán informados, mediante informes periódicos, del estado de seguridad de las redes y la información a partir de las revisiones del cumplimiento.
2.2.2.Las entidades pertinentes pondrán en marcha un sistema eficaz de notificación del cumplimiento que será adecuado a sus estructuras, sus entornos operativos y su panorama de amenazas. El sistema de notificación del cumplimiento podrá ofrecer a los órganos de dirección una visión informada del estado en que se encuentre la gestión de riesgos de las entidades pertinentes.
2.2.3.Las entidades pertinentes realizarán el control del cumplimiento a intervalos planificados, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
2.3.Revisión independiente de la seguridad de la información y las redes
2.3.1.Las entidades pertinentes revisarán de forma independiente su enfoque de gestión de la seguridad de los sistemas de redes y de información y su aplicación, incluidas las personas, los procesos y las tecnologías.
2.3.2.Las entidades pertinentes desarrollarán y mantendrán procedimientos para llevar a cabo revisiones independientes que serán ejecutados por personas con las debidas competencias en materia de auditoría. Cuando miembros del personal de la entidad pertinente realicen una revisión independiente, las personas encargadas de la misma no podrán ejercer poder jerárquico sobre el personal de la zona objeto de la revisión. Si el tamaño de la entidad pertinente no permite esta separación del poder jerárquico, la entidad pondrá en marcha medidas alternativas para garantizar la imparcialidad de las revisiones.
2.3.3.Los resultados de las revisiones independientes, especialmente los resultados del control del cumplimiento de conformidad con el punto 2.2 y del control y la medición con arreglo al punto 7, se notificarán a los órganos de control. De acuerdo con los criterios de aceptación del riesgo de las entidades pertinentes, se adoptarán medidas correctoras o se aceptará el riesgo residual.
2.3.4.Las revisiones independientes tendrán lugar a intervalos planificados, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
3.Gestión de incidentes [artículo 21, apartado 2, letra b), de la Directiva (UE) 2022/2555]
3.1.Política de gestión de incidentes
3.1.1.A los efectos del artículo 21, apartado 2, letra b), de la Directiva (UE) 2022/2555, las entidades pertinentes elaborarán y pondrán en marcha una política de gestión de incidentes por la que se establezcan los roles, responsabilidades y procedimientos para la detección, el análisis, la contención y la gestión de los incidentes, así como la posterior recuperación, documentación y notificación de los mismos a su debido tiempo.
3.1.2.La política prevista en el punto 3.1.1 será coherente con el plan de continuidad de las actividades y de recuperación en caso de catástrofe a que hace referencia el punto 4.1. La política incluirá:
a)un sistema de clasificación de incidentes que sea coherente con la evaluación y clasificación de sucesos realizada de conformidad con el punto 3.4.1;
b)planes de comunicación eficaces, especialmente en lo relativo a la activación de los niveles sucesivos de intervención y la presentación de informes;
c)la asignación, a los empleados competentes, de roles para detectar y gestionar adecuadamente los incidentes;
d)los documentos que han de utilizarse durante el proceso para detectar y gestionar los incidentes, como, por ejemplo, manuales de respuesta a incidentes, cuadros de activación por niveles, listas de contactos y plantillas.
3.1.3.Los roles, responsabilidades y procedimientos establecidos en la política se probarán, revisarán y, cuando proceda, se actualizarán a intervalos planificados, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
3.2.Supervisión y registro
3.2.1.Las entidades pertinentes establecerán procedimientos y utilizarán herramientas para supervisar y registrar las actividades en sus sistemas de redes y de información a fin de detectar sucesos que puedan considerarse incidentes y dar una respuesta consecuente para mitigar su impacto.
3.2.2.En la medida de lo posible, la supervisión se automatizará y se llevará a cabo bien de forma continua bien a intervalos periódicos, en función de las capacidades operativas. Las entidades pertinentes pondrán en marcha sus actividades de seguimiento de manera que se minimicen los falsos positivos y falsos negativos.
3.2.3.A partir de los procedimientos contemplados en el punto 3.2.1, las entidades pertinentes mantendrán, completarán y revisarán sus registros. Las entidades pertinentes establecerán una lista de los activos que deban registrarse teniendo en cuenta los resultados de la evaluación de riesgos efectuada conforme al punto 2.1. Cuando proceda, los registros incluirán información sobre:
a)el tráfico de entrada y salida de la red;
b)la creación, modificación o supresión de usuarios de los sistemas de redes y de información de las entidades pertinentes y la ampliación de los permisos;
c)el acceso a los sistemas y aplicaciones;
d)los sucesos relacionados con la autenticación;
e)todo acceso privilegiado a los sistemas y aplicaciones, así como las actividades realizadas por las cuentas de administración;
f)el acceso a los archivos críticos de configuración y a las copias de seguridad y todo cambio en los mismos;
g)los registros de sucesos y los registros de las herramientas de seguridad, como antivirus, sistemas de detección de intrusiones o cortafuegos;
h)el uso de los recursos del sistema, así como su rendimiento;
i)el acceso físico a las instalaciones;
j)el acceso a los equipos y dispositivos de red y su utilización;
k)la activación, detención e interrupción de los distintos registros;
l)los sucesos medioambientales.
3.2.4.Se revisará periódicamente la existencia de tendencias inusuales o indeseadas en los registros. Cuando proceda, las entidades pertinentes establecerán valores adecuados para los umbrales de alerta. Cuando se superen los valores establecidos para los umbrales de alerta, saltará una alarma que será, en su caso, automática. Las entidades pertinentes se asegurarán de que, en las situaciones de alerta, se adopte a su debido tiempo una respuesta cualificada y adecuada.
3.2.5.Las entidades pertinentes mantendrán registros, de los que harán copias de seguridad, durante un período predefinido, y los protegerán contra el acceso o los cambios no autorizados.
3.2.6.En la medida de lo posible, las entidades pertinentes velarán por que todos los sistemas dispongan de fuentes de información temporal sincronizadas para permitir la vinculación de registros entre sistemas de cara a la evaluación de sucesos. Las entidades pertinentes establecerán y mantendrán una lista de todos los activos que se registren y velarán por que los sistemas de seguimiento y registro sean redundantes. La disponibilidad de los sistemas de supervisión y registro se controlará con independencia de los sistemas que estén supervisando.
3.2.7.Tanto los procedimientos como la lista de activos que se registren se revisarán y, cuando proceda, se actualizarán a intervalos regulares y después de incidentes significativos.
3.3.Notificación de sucesos
3.3.1.Las entidades pertinentes pondrán en marcha un mecanismo sencillo que permita a sus empleados, proveedores y clientes notificar los sucesos sospechosos.
3.3.2.Las entidades pertinentes informarán, cuando proceda, del mecanismo de notificación de sucesos a sus proveedores y clientes, y formarán periódicamente a sus empleados en el uso del mismo.
3.4.Evaluación y clasificación de sucesos
3.4.1.Las entidades pertinentes evaluarán los sucesos sospechosos para determinar si constituyen incidentes y, en su caso, esclarecer su naturaleza y gravedad.
3.4.2.A los efectos del punto 3.4.1, las entidades pertinentes realizarán las acciones siguientes:
a)una evaluación basada en criterios predefinidos fijados de antemano y en una clasificación que establezca las prioridades de contención y erradicación de incidentes;
b)la evaluación trimestral de la existencia de incidentes recurrentes tal como contempla el artículo 4 del presente Reglamento;
c)la revisión de los registros adecuados a efectos de la evaluación y clasificación de los sucesos;
d)la puesta en marcha de un procedimiento para vincular los registros y el análisis;
e)y la reevaluación y reclasificación de los sucesos cuando se disponga de nueva información o tras analizar la información disponible previamente.
3.5.Respuesta ante incidentes
3.5.1.Las entidades pertinentes responderán a los incidentes a su debido tiempo y de conformidad con procedimientos documentados.
3.5.2.Los procedimientos de respuesta ante los incidentes incluirán las siguientes fases:
a)contención del incidente, para evitar las consecuencias de que se propague;
b)erradicación, para evitar que el incidente continúe o reaparezca;
c)recuperación tras el incidente, cuando se requiera.
3.5.3.Las entidades pertinentes establecerán procedimientos y planes de comunicación:
a)con los equipos de respuesta ante incidentes de seguridad informática (CSIRT) o, cuando proceda, las autoridades competentes, en materia de notificación de incidentes;
b)para la comunicación entre los miembros del personal de la entidad pertinente, y para la comunicación con las partes interesadas ajenas a la entidad.
3.5.4.Las entidades pertinentes registrarán tanto las actividades de respuesta ante incidentes de conformidad con los procedimientos contemplados en el punto 3.2.1 como las pruebas correspondientes.
3.5.5.Las entidades pertinentes probarán a intervalos planificados sus procedimientos de respuesta ante los incidentes.
3.6.Revisiones posteriores al incidente
3.6.1.Cuando proceda, y una vez se hayan recuperado del incidente, las entidades pertinentes llevarán a cabo revisiones posteriores al mismo. Las revisiones posteriores al incidente identificarán, cuando se pueda, la causa subyacente y se traducirán en conclusiones documentadas para reducir la ocurrencia y las consecuencias de futuros incidentes.
3.6.2.Las entidades pertinentes velarán por que las revisiones posteriores a los incidentes contribuyan a mejorar su enfoque en materia de seguridad de las redes y de la información, de medidas de tratamiento de riesgos y de procedimientos de gestión, detección y respuesta ante incidentes.
3.6.3.Las entidades pertinentes comprobarán a intervalos planificados si los incidentes condujeron a revisiones posteriores al incidente.
4.Continuidad de las actividades y gestión de las crisis [artículo 21, apartado 2, letra c), de la Directiva (UE) 2022/2555]
4.1.Plan de continuidad de las actividades y de recuperación en caso de catástrofe
4.1.1.A efectos del artículo 21, apartado 2, letra c), de la Directiva (UE) 2022/2555, las entidades pertinentes establecerán y mantendrán un plan de continuidad de las actividades y de recuperación en caso de catástrofe que pondrán en marcha si se producen incidentes.
4.1.2.Las operaciones de las entidades pertinentes se restablecerán de acuerdo con el plan de continuidad de las actividades y de recuperación en caso de catástrofe. El plan se basará en los resultados de la evaluación de riesgos realizada con arreglo al punto 2.1 e incluirá, según proceda, lo siguiente:
a)objetivos, ámbito de aplicación y público destinatario;
b)roles y responsabilidades;
c)contactos clave y canales de comunicación (internos y externos);
d)condiciones de activación y desactivación del plan;
e)orden de recuperación de las operaciones;
f)planes de recuperación de operaciones específicas, incluidos los objetivos de recuperación;
g)recursos necesarios, incluidas las copias de seguridad y las redundancias;
h)restablecimiento y reanudación de las actividades a partir de medidas temporales.
4.1.3.Las entidades pertinentes realizarán un análisis de impacto operativo para evaluar el posible impacto de las perturbaciones graves en sus operaciones y establecerán, a partir de los resultados de dicho análisis, requisitos de continuidad para los sistemas de redes y de información.
4.1.4.El plan de continuidad de las actividades y el plan de recuperación en caso de catástrofe se probarán, revisarán y, cuando proceda, se actualizarán a intervalos planificados o tras incidentes significativos o cambios significativos en las operaciones o los riesgos. Las entidades pertinentes velarán por que dichos planes engloben las conclusiones extraídas en las pruebas.
4.2.Gestión de las copias de seguridad y las redundancias
4.2.1.Las entidades pertinentes mantendrán copias de seguridad de los datos y pondrán a disposición recursos suficientes, como instalaciones, sistemas de redes y de información y personal, para velar por un nivel de redundancia adecuado.
4.2.2.A partir de los resultados de la evaluación de riesgos realizada según el punto 2.1 y el plan de continuidad de las actividades, las entidades pertinentes establecerán planes de copia de seguridad que incluirán lo siguiente:
a)plazos de recuperación;
b)garantías de que las copias de seguridad sean completas y precisas, especialmente los datos de configuración y la información almacenada en el entorno de proveedores de servicios de computación en nube;
c)almacenamiento de copias de seguridad (en línea o fuera de línea) en uno o varios lugares seguros, que no estén en la misma red que el sistema y que estén a una distancia suficiente para escapar de cualquier daño provocado por una catástrofe en el emplazamiento principal;
d)controles adecuados de acceso lógico y físico a las copias de seguridad, de conformidad con el nivel de clasificación de activos;
e)recuperación de datos de las copias de seguridad;
f)plazos de conservación sustentados en los requisitos operativos y reglamentarios.
4.2.3.Las entidades pertinentes verificarán regularmente la integridad de las copias de seguridad.
4.2.4.A partir de los resultados de la evaluación de riesgos realizada con arreglo al punto 2.1 y el plan de continuidad de las actividades, las entidades pertinentes garantizarán una disponibilidad suficiente de los recursos mediante, como mínimo, la redundancia parcial de lo siguiente:
a)los sistemas de redes y de información;
b)los activos, incluidos las instalaciones, los equipos y los suministros;
c)el personal con la responsabilidad, la autoridad y las competencias necesarias;
d)los canales de comunicación adecuados.
4.2.5.Cuando proceda, las entidades pertinentes velarán por que la supervisión y el ajuste de los recursos, incluidas las instalaciones, los sistemas y el personal, estén debidamente fundados en los requisitos de copias de seguridad y redundancia.
4.2.6.Las entidades pertinentes llevarán a cabo pruebas periódicas de la recuperación de copias de seguridad y las redundancias para asegurarse de que, en condiciones de recuperación, es posible depender de ellas y que engloban las copias, los procesos y los conocimientos necesarios para llevar a cabo una recuperación eficaz. Las entidades pertinentes documentarán los resultados de las pruebas y, cuando sea necesario, adoptarán medidas correctoras.
4.3.Gestión de crisis
4.3.1.Las entidades pertinentes pondrán en marcha procesos de gestión de crisis.
4.3.2.Las entidades pertinentes velarán por que los procesos de gestión de crisis aborden al menos los siguientes elementos:
a)los roles y responsabilidades del personal y, cuando proceda, los proveedores y los prestadores de servicios, especificando la asignación de roles en situaciones de crisis y los pasos específicos que deben seguirse;
b)los medios de comunicación adecuados entre las entidades pertinentes y las autoridades competentes;
c)la aplicación de medidas adecuadas para garantizar el mantenimiento de la seguridad de los sistemas de redes y de información en situaciones de crisis.
A efectos de la letra b), el flujo de información entre las entidades pertinentes y las autoridades competentes incluirá comunicaciones obligatorias, como informes de incidentes y los plazos correspondientes, así como comunicaciones facultativas.
4.3.3.Las entidades pertinentes pondrán en marcha procesos para gestionar y usar la información recibida de los CSIRT o, cuando proceda, las autoridades competentes, en relación con incidentes, vulnerabilidades, amenazas o posibles medidas de mitigación.
4.3.4.Las entidades pertinentes comprobarán, revisarán y, cuando proceda, actualizarán los planes de gestión de la crisis de forma periódica o después de incidentes significativos o cambios significativos en las operaciones o los riesgos.
5.Seguridad de las cadenas de suministro [artículo 21, apartado 2, letra d), de la Directiva (UE) 2022/2555]
5.1.Política de seguridad de las cadenas de suministros
5.1.1.A efectos del artículo 21, apartado 2, letra d), de la Directiva (UE) 2022/2555, las entidades pertinentes establecerán, pondrán en marcha y aplicarán una política de seguridad de las cadenas de suministros que rija las relaciones con sus proveedores y prestadores de servicios directos con el fin de mitigar los riesgos detectados para la seguridad de los sistemas de redes y de información. En la política de seguridad de las cadenas de suministros, las entidades pertinentes determinarán su papel en la cadena de suministro y se lo comunicarán a sus proveedores y prestadores de servicios directos.
5.1.2.Como parte de la política de la cadena de suministro contemplada en el punto 5.1.1, las entidades pertinentes establecerán criterios para seleccionar y contratar a los proveedores y prestadores de servicios. Dichos criterios incluirán lo siguiente:
a)las prácticas de ciberseguridad de sus proveedores y prestadores de servicios, incluidos sus procedimientos de desarrollo seguro;
b)la capacidad de los proveedores y prestadores de servicios para cumplir las especificaciones de ciberseguridad establecidas por las entidades pertinentes;
c)la calidad general y la resiliencia de los productos y servicios TIC y las medidas para la gestión de riesgos de ciberseguridad integradas en ellos, incluidos los riesgos y el nivel de clasificación de los productos y servicios TIC;
d)la capacidad de las entidades pertinentes de diversificar las fuentes de suministro y limitar la dependencia de un proveedor, cuando proceda.
5.1.3.Cuando establezcan su política de seguridad de la cadena de suministro, las entidades pertinentes tendrán en cuenta los resultados de las evaluaciones coordinadas de riesgos para la seguridad de las cadenas de suministro críticas realizadas de conformidad con el artículo 22, apartado 1, de la Directiva (UE) 2022/2555, según proceda.
5.1.4.A partir de la política de seguridad de las cadenas de suministro y teniendo en cuenta los resultados de la evaluación de riesgos realizada de conformidad con el punto 2.1 del presente anexo, las entidades pertinentes se asegurarán de que sus contratos con los proveedores y prestadores de servicios especifiquen, cuando proceda mediante acuerdos de nivel de servicio, los siguientes elementos, según se requiera:
a)los requisitos de ciberseguridad correspondientes a los proveedores y prestadores de servicios, incluidos los requisitos relativos a la seguridad en la adquisición de productos y servicios TIC establecidos en el punto 6.1;
b)los requisitos relativos a la sensibilización, las capacidades y la formación y, cuando proceda, los certificados requeridos de los empleados de los proveedores o prestadores de servicios;
c)los requisitos relativos a los controles de los antecedentes personales de los empleados de los proveedores y prestadores de servicios;
d)la obligación de los proveedores y prestadores de servicios de informar, sin demora indebida, a las entidades pertinentes de aquellos incidentes que presenten un riesgo para la seguridad de los sistemas de redes y de información de dichas entidades;
e)el derecho de auditoría o el derecho a recibir informes de auditoría;
f)la obligación de los proveedores y prestadores de servicios de hacerse cargo de las vulnerabilidades que presenten un riesgo para la seguridad de los sistemas de redes y de información de las entidades pertinentes;
g)los requisitos relativos a la subcontratación y, cuando las entidades pertinentes permitan esta última, los requisitos de ciberseguridad de los subcontratistas de conformidad con los requisitos de seguridad contemplados en la letra a);
h)las obligaciones de los proveedores y prestadores de servicios al finalizar el contrato, tales como la recuperación y eliminación de información que hayan obtenido en el ejercicio de sus funciones.
5.1.5.Las entidades pertinentes tendrán en cuenta los elementos a que se refieren los puntos 5.1.2 y 5.1.3 como parte del proceso de selección de nuevos proveedores o prestadores de servicios, y como parte del proceso de contratación a que se refiere el punto 6.1.
5.1.6.Las entidades pertinentes revisarán la política de seguridad de la cadena de suministro y supervisarán, evaluarán y, cuando proceda, tomarán medidas acordes con los cambios en las prácticas de ciberseguridad de los proveedores y prestadores de servicios, a intervalos planificados o cuando se produzcan cambios significativos en las operaciones o en los riesgos, o acontezcan incidentes significativos relativos a la prestación de servicios TIC o que tengan repercusiones en la seguridad del producto TIC de los proveedores y prestadores de servicios.
5.1.7.A los efectos del punto 5.1.6, las entidades pertinentes:
a)supervisarán periódicamente los informes relativos a la aplicación de los acuerdos de nivel de servicio, cuando proceda;
b)revisarán los incidentes relacionados con los productos y servicios TIC de los proveedores y prestadores de servicios;
c)evaluarán la necesidad de revisiones no programadas y recopilarán las conclusiones de manera comprensible;
d)analizarán los riesgos que planteen los cambios relativos a los productos y servicios TIC de los proveedores y prestadores de servicios y, cuando proceda, adoptarán medidas de mitigación a su debido tiempo.
5.2.Directorio de proveedores y prestadores de servicios
Las entidades pertinentes mantendrán y actualizarán un registro de sus proveedores y prestadores de servicios directos, en el que incluirán:
a)los puntos de contacto correspondientes a cada proveedor o prestador de servicios directo;
b)una lista de productos TIC, servicios TIC y procesos TIC proporcionados por el proveedor o prestador de servicios directo a las entidades pertinentes.
6.Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de información [artículo 21, apartado 2, letra e), de la Directiva (UE) 2022/2555]
6.1.Seguridad en la adquisición de servicios TIC o productos TIC
6.1.1.A los efectos del artículo 21, apartado 2, letra e), de la Directiva (UE) 2022/2555, las entidades pertinentes establecerán y pondrán en marcha procedimientos para gestionar los riesgos derivados de la adquisición de servicios o productos TIC para componentes que sean críticos para la seguridad de los sistemas de redes y de información de las entidades pertinentes, de acuerdo con la evaluación de riesgos realizada con arreglo al punto 2.1, de los proveedores o prestadores de servicios a lo largo de su vida útil.
6.1.2.A los efectos del punto 6.1.1, los procedimientos contemplados en el mismo incluirán:
a)requisitos de seguridad aplicables a los servicios o productos TIC que vayan a adquirirse;
b)requisitos relativos a las actualizaciones de seguridad a lo largo de toda la vida útil de los productos o servicios TIC o a su sustitución tras el final del período de soporte;
c)información que describa los componentes de hardware y software utilizados en los servicios y productos TIC;
d)información que describa las funciones de ciberseguridad de los servicios o productos TIC puestas en marcha o la configuración necesaria para su funcionamiento seguro;
e)garantías de que los servicios o productos TIC cumplen los requisitos de seguridad con arreglo a la letra a);
f)métodos para validar el cumplimiento de los requisitos de seguridad declarados por parte de los servicios o productos de TIC suministrados, y documentación de los resultados de la validación.
6.1.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán los procedimientos a intervalos planificados, así como cuando se produzcan incidentes significativos.
6.2.Ciclo de vida del desarrollo seguro
6.2.1.Antes de desarrollar un sistema de redes y de información, incluidos los programas informáticos, las entidades pertinentes establecerán normas para el desarrollo seguro del mismo, y las aplicarán al desarrollar estos sistemas de redes y de información internamente o cuando externalicen dicho desarrollo. Las normas englobarán todas las fases de desarrollo, como las especificaciones, el diseño, la creación, la implantación y las pruebas.
6.2.2.A los efectos del punto 6.2.1, las entidades pertinentes:
a)llevarán a cabo análisis de los requisitos de seguridad en las fases de especificación y diseño de cualquier proyecto de desarrollo o adquisición emprendido por ellas mismas o en su nombre;
b)aplicarán los principios para diseñar sistemas seguros y principios de codificación seguros a toda actividad de desarrollo de sistemas de información, tales como la promoción de la ciberseguridad desde el diseño o las arquitecturas de confianza cero;
c)establecerán requisitos de seguridad en relación con los entornos de desarrollo;
d)establecerán y aplicarán procesos de pruebas de seguridad en el ciclo de vida del desarrollo;
e)seleccionarán, protegerán y gestionarán adecuadamente los datos de las pruebas de seguridad;
f)sanearán y anonimizarán los datos de las pruebas con arreglo a la evaluación de riesgos realizada de conformidad con el punto 2.1.
6.2.3.En cuanto a la externalización del desarrollo de sistemas de redes y de información, las entidades pertinentes también aplicarán las políticas y procedimientos a que se refieren los puntos 5 y 6.1.
6.2.4.Las entidades pertinentes revisarán y, cuando proceda, actualizarán las normas de desarrollo seguro a intervalos planificados.
6.3.Gestión de configuraciones
6.3.1.Las entidades pertinentes adoptarán las medidas adecuadas para establecer, documentar, poner en marcha y supervisar las configuraciones, incluidas las configuraciones de seguridad del hardware de los equipos y programas informáticos, los servicios y las redes.
6.3.2.A los efectos del punto 6.3.1, las entidades pertinentes:
a)crearán un entorno seguro en las configuraciones de sus equipos y programas informáticos, servicios y redes y lo mantendrán;
b)establecerán y pondrán en marcha procesos y herramientas para dar cumplimiento a las configuraciones seguras establecidas para los equipos y programas informáticos, servicios y redes, para los sistemas de nueva instalación y los sistemas en funcionamiento a lo largo de todo su ciclo de vida.
6.3.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán las configuraciones a intervalos planificados, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
6.4.Gestión de cambios, reparaciones y mantenimiento
6.4.1.Las entidades pertinentes aplicarán procedimientos de gestión de cambios para controlar aquellos que se produzcan en los sistemas de redes y de información. Los procedimientos serán, según proceda, coherentes con las políticas generales de las entidades pertinentes relativas a la gestión de cambios.
6.4.2.Los procedimientos contemplados en el punto 6.4.1 se aplicarán en el caso de lanzamientos, modificaciones y cambios de emergencia de cualquier equipo o programa informático en funcionamiento o de cambios en la configuración. Los procedimientos garantizarán que dichos cambios se documenten y, a partir de la evaluación de riesgos realizada de acuerdo con el punto 2.1, se prueben y evalúen teniendo en cuenta el impacto potencial antes de su aplicación.
6.4.3.En caso de que los procedimientos habituales de gestión de cambios no puedan seguirse debido a una emergencia, las entidades pertinentes documentarán el resultado del cambio y explicarán por qué no pudieron seguirse dichos procedimientos.
6.4.4.Las entidades pertinentes revisarán y, cuando proceda, actualizarán los procedimientos a intervalos planificados, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
6.5.Pruebas de seguridad
6.5.1.Las entidades pertinentes establecerán, pondrán en marcha y aplicarán orientaciones y procedimientos para las pruebas de seguridad.
6.5.2.Las entidades pertinentes:
a)establecerán, a partir de la evaluación de riesgos realizada de acuerdo con el punto 2.1, la necesidad, el alcance, la frecuencia y el tipo de pruebas de seguridad;
b)realizarán pruebas de seguridad de acuerdo con una metodología de prueba documentada, que englobe los elementos señalados como relevantes para el funcionamiento seguro en un análisis de riesgos;
c)documentarán el tipo, el alcance, la fecha y los resultados de las pruebas, incluidas la evaluación del carácter esencial y las medidas de mitigación correspondientes a cada hallazgo;
d)aplicarán medidas de mitigación en caso de que se produzcan hallazgos críticos.
6.5.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán las políticas de pruebas de seguridad a intervalos planificados.
6.6.Gestión de parches de seguridad
6.6.1.Las entidades pertinentes detallarán y aplicarán procedimientos coherentes con los procedimientos de gestión de cambios a que se refiere el punto 6.4.1, de gestión de vulnerabilidades, de gestión del riesgo y otros procedimientos de gestión pertinentes para garantizar que:
a)los parches de seguridad se apliquen en un plazo razonable desde el momento en que estén disponibles;
b)los parches de seguridad se sometan a ensayo antes de ponerlos en marcha en los sistemas de producción;
c)los parches de seguridad procedan de fuentes de confianza y se compruebe su integridad;
d)se adopten medidas adicionales y se acepten los riesgos residuales en aquellos casos en que no haya un parche disponible o no pueda aplicarse conforme al punto 6.6.2.
6.6.2.Como excepción al punto 6.6.1, letra a), las entidades pertinentes podrán optar por no aplicar parches de seguridad cuando las desventajas de aplicarlos superen los beneficios de ciberseguridad. Las entidades pertinentes documentarán y justificarán debidamente los motivos de tal decisión.
6.7.Seguridad de las redes
6.7.1.Las entidades pertinentes adoptarán medidas adecuadas para proteger sus sistemas de redes y de información de las ciberamenazas.
6.7.2.A los efectos del punto 6.7.1, las entidades pertinentes:
a)documentarán la arquitectura de la red de manera comprensible y actualizada;
b)establecerán y aplicarán controles para proteger los dominios de red internos de las entidades pertinentes frente al acceso no autorizado;
c)configurarán los controles para impedir el acceso y las comunicaciones de la red que no sean necesarios para el funcionamiento de las entidades pertinentes;
d)establecerán y aplicarán controles del acceso remoto a los sistemas de redes y de información, incluido el acceso por parte de los proveedores de servicios;
e)no utilizarán los sistemas empleados para gestionar la aplicación de la política de seguridad para otros fines;
f)prohibirán de manera explícita o desactivarán las conexiones y servicios que no sean necesarios;
g)cuando proceda, únicamente permitirán el acceso a los sistemas de redes y de información de las entidades pertinentes a los dispositivos autorizados por estas últimas;
h)permitirán la conexión de los proveedores de servicios previa solicitud de autorización únicamente y durante un período de tiempo limitado, como la duración de una operación de mantenimiento;
i)establecerán la comunicación entre distintos sistemas únicamente a través de canales de confianza que estén aislados mediante separación lógica, criptográfica o física de otros canales de comunicación, y facilitarán la identificación segura de su punto final y la protección de sus datos frente a la modificación o la revelación;
j)adoptarán un plan de ejecución para realizar la transición hacia protocolos de comunicación de la capa de red de última generación de manera segura, adecuada y gradual, y establecerán medidas para acelerar dicha transición;
k)adoptarán un plan de ejecución relativo a la implantación de normas sobre las comunicaciones por correo electrónico modernas, interoperables y aprobadas a escala internacional para proteger las comunicaciones por correo electrónico y mitigar las vulnerabilidades vinculadas a las amenazas relativas a este último, y establecerán medidas para acelerar dicha implantación;
l)aplicarán las mejores prácticas sobre seguridad del sistema de nombres de dominio, la seguridad del enrutamiento de internet y la higiene del enrutamiento del tráfico con origen en la red o destinado a ella.
6.7.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán estas medidas a intervalos planificados o cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
6.8.Segmentación de la red
6.8.1.Las entidades pertinentes segmentarán los sistemas en redes o zonas de acuerdo con los resultados de la evaluación de riesgos a que se refiere el punto 2.1. Segmentarán sus sistemas y redes de los sistemas y redes de terceros.
6.8.2.A tal efecto, las entidades pertinentes:
a)considerarán la relación funcional, lógica y física, incluida la ubicación, entre sistemas y servicios fiables;
b)concederán acceso a una red o zona sobre la base de una evaluación de sus requisitos de seguridad;
c)mantendrán los sistemas que resulten críticos para el funcionamiento de la entidad pertinente o para la protección en zonas seguras;
d)implantarán una zona desmilitarizada dentro de sus redes de comunicación para ofrecer una comunicación segura desde o hacia sus redes;
e)restringirán el acceso y las comunicaciones entre zonas y dentro de ellas a lo necesario para el funcionamiento de las entidades pertinentes o la seguridad;
f)separarán la red específica para la administración de los sistemas de redes y de información de la red operativa de las entidades pertinentes;
g)segregarán los canales de administración de la red del resto de tráfico de la red;
h)separarán los sistemas de producción de los servicios de las entidades pertinentes de los sistemas utilizados para el desarrollo y las pruebas, incluidas las copias de seguridad.
6.8.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán la segmentación de la red a intervalos planificados, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
6.9.Protección frente a los programas informáticos maliciosos y no autorizados
6.9.1.Las entidades pertinentes protegerán sus sistemas de redes y de información frente a los programas informáticos maliciosos y no autorizados.
6.9.2.Para ello, las entidades pertinentes aplicarán, en particular, medidas para detectar o impedir el uso de programas informáticos maliciosos o no autorizados. Las entidades pertinentes velarán, cuando proceda, por que sus sistemas de redes y de información estén equipados con programas informáticos de detección y respuesta, que se actualicen periódicamente de conformidad con la evaluación de riesgos realizada con arreglo al punto 2.1 y los acuerdos contractuales con los proveedores.
6.10.Gestión y divulgación de las vulnerabilidades
6.10.1.Las entidades pertinentes recibirán información sobre las vulnerabilidades de sus sistemas de redes y de información, evaluarán su exposición a dichas vulnerabilidades y adoptarán las medidas necesarias para gestionarlas.
6.10.2.A los efectos del punto 6.10.1, las entidades pertinentes:
a)supervisarán la información sobre vulnerabilidades a través de los canales adecuados, tales como los anuncios de los CSIRT, las autoridades competentes o la información facilitada por los proveedores o prestadores de servicios;
b)realizarán, según proceda, exploraciones de vulnerabilidad y registrarán pruebas de los resultados de las mismas, a intervalos planificados;
c)abordarán, sin demora indebida, las vulnerabilidades que las entidades pertinentes consideren críticas para sus operaciones;
d)asegurarán que su gestión de vulnerabilidades sea compatible con sus procedimientos de gestión de cambios, gestión de parches de seguridad, gestión de riesgos y gestión de incidentes;
e)establecerán un procedimiento de divulgación de las vulnerabilidades de conformidad con la política coordinada de divulgación de las vulnerabilidades nacional aplicable.
6.10.3.Cuando esté justificado por el posible impacto de la vulnerabilidad, las entidades pertinentes crearán y llevarán a la práctica un plan para mitigarla. En otros casos, las entidades pertinentes documentarán y justificarán el motivo por el que la vulnerabilidad no requiere reparación.
6.10.4.Las entidades pertinentes revisarán y, cuando proceda, actualizarán a intervalos planificados los canales que utilizan para supervisar la información relativa a las vulnerabilidades.
7.Orientaciones y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad [artículo 21, apartado 2, letra f), de la Directiva (UE) 2022/2555]
7.1.A los efectos del artículo 21, apartado 2, letra f), de la Directiva (UE) 2022/2555, las entidades pertinentes establecerán, llevarán a la práctica y aplicarán orientaciones y procedimientos para evaluar si las medidas para la gestión de riesgos de ciberseguridad que hayan adoptado se ejecutan y mantienen de manera efectiva.
7.2.Las orientaciones y procedimientos a que hace referencia el punto 7.1 tendrán en cuenta los resultados de la evaluación de riesgos conforme al punto 2.1 y los incidentes significativos ocurridos en el pasado. Las entidades pertinentes determinarán:
a)qué medidas para la gestión de riesgos de ciberseguridad deben supervisarse y medirse, incluidos los procedimientos y controles;
b)los métodos de supervisión, medición, análisis y evaluación, según corresponda, para asegurar resultados válidos;
c)cuándo deben realizarse la supervisión y la medición;
d)quiénes son los responsables de supervisar y medir la eficacia de las medidas para la gestión de riesgos de ciberseguridad;
e)cuándo se deben analizar y evaluar los resultados de la supervisión y la medición;
f)quiénes deben analizar y evaluar estos resultados.
7.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán las orientaciones y los procedimientos a intervalos planificados, así como cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
8.Formación en seguridad y prácticas básicas de ciberhigiene [artículo 21, apartado 2, letra g), de la Directiva (UE) 2022/2555]
8.1.Mejora de la sensibilización y prácticas básicas de ciberhigiene
8.1.1.A los efectos del artículo 21, apartado 2, letra g), de la Directiva (UE) 2022/2555, las entidades pertinentes se asegurarán de que sus empleados, incluidos los miembros de los órganos de dirección, así como sus proveedores y prestadores de servicios directos sean conscientes de los riesgos, estén informados de la importancia de la ciberseguridad y apliquen prácticas de ciberhigiene.
8.1.2.A los efectos del punto 8.1.1, las entidades pertinentes ofrecerán a sus empleados, incluidos los miembros de los órganos de dirección, así como a sus proveedores y prestadores de servicios directos, según proceda de conformidad con el punto 5.1.4, un programa de mejora de la sensibilización que:
a)se programará a lo largo del tiempo, de forma que se repitan las actividades e incluya a los nuevos empleados;
b)se establecerá en consonancia con la política de seguridad de las redes y la información, las políticas específicas y los procedimientos pertinentes en materia de seguridad de las redes y de la información;
c)englobará las ciberamenazas relevantes, las medidas para la gestión de riesgos de ciberseguridad en vigor, los puntos de contacto y los recursos para obtener información adicional y asesoramiento sobre aspectos de ciberseguridad, así como las prácticas de ciberhigiene para los usuarios.
8.1.3.El programa de mejora de la sensibilización se probará en términos de eficacia, según proceda. El programa de mejora de la sensibilización se actualizará y se ofrecerá a intervalos planificados teniendo en cuenta los cambios en las prácticas de ciberhigiene y el panorama actual de amenazas y de riesgos para las entidades pertinentes.
8.2.Formación en seguridad
8.2.1.Las entidades pertinentes indicarán cuáles son los empleados cuyos roles exigen capacidades y conocimientos especializados de seguridad y velarán por que reciban formación periódica sobre la seguridad de los sistemas de redes y de información.
8.2.2.Las entidades pertinentes establecerán, pondrán en marcha y ejecutarán un programa de formación en consonancia con la política de seguridad de las redes y de la información, las políticas específicas y otros procedimientos pertinentes en materia de seguridad de las redes y de la información que determine las necesidades de formación de ciertos roles y puestos de acuerdo con criterios concretos.
8.2.3.La formación contemplada en el punto 8.2.1 se adecuará a las funciones laborales de los empleados y se evaluará su eficacia. La formación tendrá en cuenta las medidas de seguridad en vigor y englobará lo siguiente:
a)instrucciones relativas a la configuración y el funcionamiento seguros de los sistemas de redes y de información, incluidos los dispositivos móviles;
b)información sobre ciberamenazas conocidas;
c)formación relativa al comportamiento frente a sucesos relevantes para la seguridad.
8.2.4.Las entidades pertinentes llevarán a cabo la formación para los miembros del personal que se trasladen a nuevos puestos o roles que requieran capacidades y conocimientos especializados en seguridad.
8.2.5.El programa se actualizará y desarrollará de manera periódica teniendo en cuenta las normas y reglas aplicables, los roles asignados, las responsabilidades, así como las ciberamenazas conocidas y los avances tecnológicos.
9.Criptografía [artículo 21, apartado 2, letra h), de la Directiva (UE) 2022/2555]
9.1.A los efectos del artículo 21, apartado 2, letra h), de la Directiva (UE) 2022/2555, las entidades pertinentes establecerán, llevarán a la práctica y aplicarán orientaciones y procedimientos relativos a la criptografía, con el objetivo de asegurar un uso adecuado y eficaz de la misma para proteger la confidencialidad, autenticidad e integridad de la información en consonancia con la clasificación de activos de las entidades pertinentes y los resultados de la evaluación de riesgos realizada de conformidad con el punto 2.1.
9.2.Las orientaciones y procedimientos a que hace referencia el punto 9.1 establecerán:
a)de acuerdo con la clasificación de activos de las entidades pertinentes, el tipo, la firmeza y la calidad de las medidas criptográficas necesarias para proteger los activos de dichas entidades, incluidos los datos en reposo y los datos en tránsito;
b)teniendo en cuenta la letra a), los protocolos o las familias de protocolos que deben adoptarse, así como los algoritmos criptográficos, la solidez del cifrado, las soluciones criptográficas y las prácticas de uso que deben aprobarse y exigirse para su uso en las entidades, siguiendo, cuando proceda, un enfoque de agilidad criptográfica;
c)el enfoque de las entidades pertinentes sobre la gestión de claves, que incluya, cuando proceda, métodos para lo siguiente:
i)generar distintas claves para sistemas y aplicaciones criptográficos;
ii)expedir y obtener certificados de clave pública;
iii)distribuir claves a las entidades en cuestión, incluida información sobre cómo activar las claves cuando se reciban;
iv)almacenar claves, incluida información sobre cómo acceden a ellas los usuarios autorizados;
v)cambiar o actualizar las claves, incluida información sobre cuándo y cómo modificarlas;
vi)gestionar las claves en riesgo;
vii)anular claves, incluida información sobre cómo retirarlas o desactivarlas;
viii)recuperar las claves perdidas o corrompidas;
ix)hacer copias de seguridad y crear archivos de las claves;
x)destruir claves;
xi)hacer un registro y auditar las actividades relativas a la gestión de claves.
xii)fijar las fechas de activación y desactivación de las claves asegurándose de que estas solo pueden utilizarse durante el período de tiempo especificado de acuerdo con las normas de gestión de claves de la organización.
9.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán las orientaciones y los procedimientos a intervalos planificados teniendo en cuenta los últimos avances en criptografía.
10.Seguridad de los recursos humanos [artículo 21, apartado 2, letra i), de la Directiva (UE) 2022/2555]
10.1.Seguridad de los recursos humanos
10.1.1.A los efectos del artículo 21, apartado 2, letra i), de la Directiva (UE) 2022/2555, las entidades pertinentes se asegurarán de que sus empleados y sus proveedores y prestadores de servicios directos, cuando proceda, entiendan sus responsabilidades en materia de seguridad y se comprometan a ellas, según convenga con relación a los servicios ofrecidos y el puesto de trabajo y en consonancia con la política de seguridad de los sistemas de redes y de información de la entidad pertinente.
10.1.2.El requisito contemplado en el punto 10.1.1 incluirá lo siguiente:
a)mecanismos para garantizar que todos los empleados, proveedores y prestadores de servicios directos, cuando proceda, entiendan y respeten las prácticas estándar de ciberhigiene aplicadas por las entidades pertinentes de acuerdo con el punto 8.1;
b)mecanismos para garantizar que todos los usuarios que dispongan de acceso de administración o privilegiado conozcan sus roles, responsabilidades y autoridades y actúen de conformidad con ellos;
c)mecanismos para garantizar que los miembros de los órganos de dirección conozcan sus roles, responsabilidades y autoridades y actúen de conformidad con ellos en lo que se refiere a la seguridad de los sistemas de redes y de información;
d)mecanismos para contratar personal cualificado para los roles correspondientes, como por ejemplo, los controles de referencia, los procedimientos de evaluación, la validación de certificaciones o las pruebas escritas.
10.1.3.Las entidades pertinentes revisarán la asignación de personal a roles específicos, tal como se recoge en el punto 1.2, así como su atribución de recursos humanos a este respecto, a intervalos planificados y al menos una vez al año. Las entidades actualizarán la asignación cuando sea necesario.
10.2.Comprobación de antecedentes
10.2.1.Las entidades pertinentes se asegurarán, en la medida posible, de comprobar los antecedentes personales de sus empleados y, cuando proceda, de sus proveedores y prestadores de servicios directos, de conformidad con el apartado 5.1.4, cuando resulte necesario para sus roles, responsabilidades y autoridades.
10.2.2.A los efectos del punto 10.2.1, las entidades pertinentes:
a)aplicarán criterios que establezcan qué roles, responsabilidades y autoridades deben ejercer exclusivamente aquellas personas cuyos antecedentes hayan sido comprobados;
b)se asegurarán de que estas comprobaciones contempladas en el punto 10.2.1 se lleven a cabo antes de que estas personas empiecen a ejercer dichos roles, responsabilidades y autoridades, que tendrán en cuenta las disposiciones legales, normativas y éticas aplicables en proporción a los requisitos operativos, la clasificación de activos contemplada en el apartado 12.1 y los sistemas de redes y de información a los que va a accederse, así como los riesgos percibidos.
10.2.3.Las entidades pertinentes revisarán la política a intervalos planificados y la actualizarán según proceda.
10.3.Terminación o cambio de los procedimientos de contratación
10.3.1.Las entidades pertinentes se asegurarán de que la seguridad de los sistemas de redes y de información y las tareas que sigan siendo válidas tras la terminación o el cambio de empleo de sus empleados se definan y ejecuten contractualmente.
10.3.2.A los efectos del punto 10.3.1, las entidades pertinentes recogerán en las condiciones de empleo, contrato o acuerdo de cada persona, las responsabilidades y funciones que siguen teniendo validez una vez finalizado el empleo o contrato, como por ejemplo las cláusulas de confidencialidad.
10.4.Procedimiento disciplinario
10.4.1.Las entidades pertinentes establecerán, comunicarán y mantendrán un procedimiento disciplinario para gestionar los incumplimientos de las políticas de seguridad de los sistemas de redes y de información. El proceso tendrá en cuenta los requisitos legales, estatutarios, contractuales y empresariales pertinentes.
10.4.2.Las entidades pertinentes revisarán y, cuando proceda, actualizarán los procedimientos disciplinarios a intervalos planificados o cuando resulte necesario debido a cambios jurídicos o cambios significativos en las operaciones o los riesgos.
11.Control de accesos [artículo 21, apartado 2, letras i) y j), de la Directiva (UE) 2022/2555]
11.1.Política de control de accesos
11.1.1.A los efectos del artículo 21, apartado 2, letra i), de la Directiva (UE) 2022/2555, las entidades pertinentes establecerán, documentarán y pondrán en marcha políticas de control de acceso lógico y físico relativas al acceso a sus sistemas de redes y de información; basándose en requisitos empresariales y en requisitos de seguridad de los sistemas de redes y de información.
11.1.2.La política a que hace referencia el punto 11.1.1 se encargará de lo siguiente:
a)el acceso de personas, como el personal, los visitantes y las entidades externas, como los proveedores y prestadores de servicios;
b)el acceso por parte de los sistemas de redes y de información;
c)garantizar que solo se autorice el acceso a usuarios que hayan sido debidamente autenticados.
11.1.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán las políticas a intervalos planificados o cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
11.2.Gestión de derechos de acceso
11.2.1.Las entidades pertinentes ofrecerán, modificarán, retirarán y documentarán los derechos de acceso a los sistemas de redes y de información de conformidad con la política de control de accesos prevista en el punto 11.1.
11.2.2.Las entidades pertinentes:
a)concederán y retirarán los derechos de acceso sobre la base de los principios de necesidad de conocer, el mínimo privilegio y separación de competencias;
b)velarán por que los derechos de acceso se modifiquen en consecuencia tras la terminación o el cambio de empleo;
c)velarán por que las personas pertinentes autoricen el acceso a los sistemas de redes y de información;
d)velarán por que los derechos de acceso se encarguen debidamente del acceso de terceros, como visitantes o proveedores y prestadores de servicios, especialmente limitando los derechos de acceso en su alcance y duración;
e)mantendrán un registro de los derechos de acceso concedidos;
f)realizarán un registro de la gestión de los derechos de acceso.
11.2.3.Las entidades pertinentes revisarán los derechos de acceso a intervalos planificados y los modificarán según los cambios organizativos. Las entidades pertinentes documentarán los resultados de la revisión e incluirán los cambios necesarios de los derechos de acceso.
11.3.Cuentas privilegiadas y cuentas de administración del sistema
11.3.1.Las entidades pertinentes dispondrán de orientaciones para la gestión de cuentas privilegiadas y cuentas de administración del sistema como parte de la política de control de acceso contemplada en el punto 11.1.
11.3.2.La política a que hace referencia el punto 11.3.1 se encargará de lo siguiente:
a)establecer procedimientos sólidos de identificación y autenticación, como la autenticación de múltiples factores, y procedimientos de autorización para cuentas privilegiadas y cuentas de administración del sistema;
b)crear cuentas específicas que vayan a utilizarse exclusivamente para operaciones de administración del sistema, tales como la instalación, la configuración, la gestión o el mantenimiento;
c)personalizar y restringir en la mayor medida posible los privilegios de la administración del sistema;
d)prever que las cuentas de administración del sistema solo se utilicen para conectarse a los sistemas de administración correspondientes.
11.3.3.Las entidades pertinentes revisarán los derechos de acceso de las cuentas privilegiadas y las cuentas de administración del sistema a intervalos planificados, los modificarán teniendo en cuenta los cambios organizativos y documentarán los resultados de la revisión, incluidos los cambios necesarios en los derechos de acceso.
11.4.Sistemas de administración
11.4.1.Las entidades pertinentes restringirán el uso de los sistemas de administración del sistema de conformidad con la política de control de accesos prevista en el punto 11.1.
11.4.2.A tal efecto, las entidades pertinentes:
a)utilizarán únicamente sistemas de administración del sistema a efectos de administración del mismo y no para otras operaciones;
b)separar lógicamente estos sistemas de los programas de aplicación que no se utilicen con fines de administración del sistema;
c)protegerán el acceso a los sistemas de administración del sistema mediante la autenticación y el cifrado.
11.5.Identificación
11.5.1.Las entidades pertinentes gestionarán todo el ciclo de vida de las identidades de los sistemas de redes y de información y sus usuarios.
11.5.2.A tal efecto, las entidades pertinentes:
a)crearán identidades únicas para los sistemas de redes y de información y sus usuarios;
b)asociarán la identidad de los usuarios a una sola persona;
c)se encargarán de la supervisión de las identidades de los sistemas de redes y de información;
d)realizarán un registro de la gestión de las identidades.
11.5.3.las entidades pertinentes solo autorizarán las identidades asignadas a múltiples personas, como las identidades compartidas, cuando sean necesarias por razones empresariales u operativas y estén sujetas a un proceso de aprobación y documentación explícito. Las entidades pertinentes tendrán en cuenta las identidades asignadas a múltiples personas en el marco de gestión de riesgos de ciberseguridad contemplado en el punto 2.1.
11.5.4.Las entidades pertinentes revisarán periódicamente las identidades correspondientes a los sistemas de redes y de información y sus usuarios y, cuando ya no sean necesarias, las desactivarán inmediatamente.
11.6.Autenticación
11.6.1.Las entidades pertinentes pondrán en marcha tecnologías y procedimientos de autenticación seguros basados en las restricciones de acceso y en la política de control de acceso.
11.6.2.A tal efecto, las entidades pertinentes:
a)garantizarán que la solidez de la autenticación sea adecuada para a la clasificación del activo al que se va a acceder;
b)controlar la asignación a los usuarios y la gestión de información de autenticación secreta mediante un proceso que garantice la confidencialidad de la información, incluido el asesoramiento al personal sobre el tratamiento adecuado de la información de autenticación;
c)exigir el cambio de credenciales de autenticación al principio, a intervalos predefinidos y cuando se sospeche que las credenciales corren algún peligro;
d)exigir el restablecimiento de las credenciales y el bloqueo de los usuarios tras un número predefinido de intentos de conexión infructuosos;
e)cerrar las sesiones inactivas tras un período de inactividad predefinido; y
f)exigir credenciales separadas para obtener un acceso privilegiado o acceder a cuentas de administración.
11.6.3.En la medida de lo posible, las entidades pertinentes utilizarán los métodos de autenticación más avanzados, de conformidad con el riesgo evaluado asociado y la clasificación del activo al que se vaya a acceder, así como información de autenticación exclusiva.
11.6.4.Las entidades pertinentes revisarán los procedimientos y las tecnologías de autenticación a intervalos planificados.
11.7.Autenticación de múltiples factores
11.7.1.Las entidades pertinentes velarán por que los usuarios sean autenticados mediante múltiples factores de autenticación o mecanismos de autenticación continua para acceder a los sistemas de redes y de información la entidad, cuando proceda, de conformidad con la clasificación del activo al que se va a acceder.
11.7.2.Las entidades pertinentes se asegurarán de que la solidez de la autenticación sea adecuada a la clasificación del activo al que se va a acceder.
12.Gestión de activos [artículo 21, apartado 2, letra i), de la Directiva (UE) 2022/2555]
12.1.Clasificación de activos
12.1.1.A los efectos del artículo 21, apartado 2, letra i), de la Directiva (UE) 2022/2555, las entidades pertinentes establecerán los niveles de clasificación de todos los activos, incluida la información, que formen parte del ámbito de sus sistemas de redes y de información con relación al nivel de protección requerido.
12.1.2.A los efectos del punto 12.1.1, las entidades pertinentes:
a)establecerán un sistema de niveles de clasificación de los activos;
b)asociarán todos los activos con un nivel de clasificación, basado en los requisitos de confidencialidad, integridad, autenticidad y disponibilidad, para indicar la protección requerida en función de su sensibilidad, criticidad, riesgo y valor empresarial;
c)amoldarán los requisitos de disponibilidad de los activos a los objetivos de entrega y recuperación establecidos en sus planes de continuidad de las actividades y de recuperación en caso de catástrofe.
12.1.3.Las entidades pertinentes realizarán revisiones periódicas de los niveles de clasificación de los activos y los actualizarán, según proceda.
12.2.Gestión de activos
12.2.1.Las entidades pertinentes establecerán, pondrán en marcha y aplicarán una política para la correcta gestión de los activos, incluida la información, acorde con su política de seguridad de las redes y de la información y la pondrán en conocimiento de todo aquel que utilice o gestione los activos.
12.2.2.Dicha política:
a)hará referencia a toda la vida útil de los activos, especialmente su adquisición, uso, almacenamiento, transporte y eliminación;
b)establecerá normas para su uso seguro, su almacenamiento seguro, su transporte seguro y la supresión y destrucción irreversibles de los activos;
c)preverá que la transferencia se lleve a cabo de manera segura, de conformidad con el tipo de activo que transfiera.
12.2.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán la política a intervalos planificados o cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
12.3.Política de soportes extraíbles
12.3.1.Las entidades pertinentes establecerán, pondrán en marcha y aplicarán una política relativa a la gestión de soportes de almacenamiento extraíbles y la pondrán en conocimiento de sus empleados y de terceros que manipulen soportes de almacenamiento extraíbles en las instalaciones de las entidades pertinentes o en otros lugares en los que los soportes extraíbles estén conectados a los sistemas de redes y de información de la entidad.
12.3.2.Dicha política:
a)preverá una prohibición técnica para la conexión de soportes extraíbles salvo que existan razones internas para su uso;
b)preverá la deshabilitación de la reproducción automática desde dichos soportes y la detección de códigos maliciosos en los mismos antes de que se utilicen en los sistemas de las entidades pertinentes;
c)preverá medidas para controlar y proteger los soportes de almacenamiento extraíbles que contengan datos durante el tránsito y el almacenamiento;
d)según proceda, preverá medidas para la utilización de técnicas criptográficas para proteger los datos contenidos en los soportes de almacenamiento extraíbles.
12.3.3.Las entidades pertinentes revisarán y, cuando proceda, actualizarán la política a intervalos planificados o cuando se produzcan incidentes significativos o cambios significativos en las operaciones o los riesgos.
12.4.Inventario de activos
12.4.1.Las entidades pertinentes crearán y mantendrán un inventario completo, preciso, actualizado y coherente de sus activos. Registrarán los cambios en las entradas del inventario de manera que puedan rastrearse.
12.4.2.La granularidad del inventario de los activos se situará en un nivel adecuado a las necesidades de las entidades pertinentes. El inventario incluirá lo siguiente:
a)la lista de operaciones y servicios y su descripción;
b)la lista de sistemas de redes y de información y otros activos asociados que sirvan de apoyo a las operaciones y servicios de las entidades pertinentes.
12.4.3.Las entidades pertinentes revisarán y actualizarán periódicamente el inventario y sus activos y registrarán el historial de cambios.
12.5.Depósito, devolución o supresión de activos al término de la relación laboral
Las entidades pertinentes crearán, pondrán en marcha y aplicarán procedimientos para que los activos bajo custodia del personal sean depositados, devueltos o suprimidos al término de la relación laboral, y documentarán el depósito, la devolución y la supresión de dichos activos. Cuando no sea posible el depósito, la devolución o la supresión de activos, las entidades pertinentes se asegurarán de que dichos activos ya no puedan acceder a los sistemas de redes y de información de la entidad de conformidad con el punto 12.2.2.
13.Seguridad medioambiental y física [artículo 21, apartado 2, letras c), e) e i), de la Directiva (UE) 2022/2555]
13.1.Servicios públicos
13.1.1.A los efectos del artículo 21, apartado 2, letra c), de la Directiva (UE) 2022/2555, las entidades pertinentes evitarán las pérdidas, los daños o riesgos de los sistemas de redes y de información o la interrupción de sus operaciones debido al fallo y la interrupción de los servicios públicos.
13.1.2.A tal efecto, cuando proceda, las entidades pertinentes:
a)protegerán las instalaciones de los fallos eléctricos y de otras alteraciones causadas por fallos en servicios públicos como la electricidad, las telecomunicaciones, el suministro de agua, el gas, las aguas residuales, la ventilación o el aire acondicionado;
b)considerarán la utilización de redundancias en los servicios de utilidad pública;
c)protegerán los servicios públicos de electricidad y telecomunicaciones, que transportan datos u ofrecen sistemas de redes y de información, frente a la interceptación y los daños;
d)supervisarán los servicios públicos contemplados en la letra c) e informarán al personal interno o externo competente de los sucesos que tengan lugar más allá de los umbrales mínimo y máximo de control a que se refiere el punto 13.2.2, letra b), que afecten a los servicios de utilidad pública;
e)concluirán contratos para el suministro de emergencia con los servicios correspondientes, tales como el combustible para el suministro eléctrico de emergencia;
f)Garantizarán la eficacia continua, supervisarán, mantendrán y probarán el suministro de los sistemas de redes y de información necesarios para el funcionamiento del servicio ofrecido, especialmente la electricidad, el control de la temperatura y la humedad, las telecomunicaciones y la conexión a Internet.
13.1.3.Las entidades pertinentes comprobarán, revisarán y, cuando proceda, actualizarán las medidas de protección de forma periódica o después de incidentes significativos o cambios significativos en las operaciones o los riesgos.
13.2.Protección contra las amenazas físicas y medioambientales
13.2.1.A los efectos del artículo 21, apartado 2, letra e), de la Directiva (UE) 2022/2555, las entidades pertinentes evitarán o reducirán las consecuencias de los sucesos que tengan lugar a causa de amenazas físicas y medioambientales, como las catástrofes naturales y otras amenazas intencionadas o inintencionadas, a partir de los resultados de la evaluación de riesgos realizada de conformidad con el punto 2.1.
13.2.2.A tal efecto, cuando proceda, las entidades pertinentes:
a)diseñarán y pondrán en marcha medidas de protección contra las amenazas físicas y medioambientales;
b)determinarán umbrales mínimos y máximos de control de las amenazas físicas y medioambientales;
c)supervisarán los parámetros medioambientales e informarán al personal interno o externo competente de los sucesos que tengan lugar más allá de los umbrales mínimo y máximo de control a que se refiere la letra b).
13.2.3.Las entidades pertinentes comprobarán, revisarán y, cuando proceda, actualizarán las medidas de protección de forma periódica o después de incidentes significativos o cambios significativos en las operaciones o los riesgos.
13.3.Control de acceso perimetral y físico
13.3.1.A los efectos del artículo 21, apartado 2, letra i), de la Directiva (UE) 2022/2555, las entidades pertinentes evitarán y controlarán el acceso físico no autorizado, los daños y las interferencias a sus sistemas de redes y de información.
13.3.2.A tal efecto, las entidades pertinentes:
a)sobre la base de la evaluación de riesgos realizada con arreglo al punto 2.1, establecerán y utilizarán perímetros de seguridad para proteger las zonas en las que se ubican los sistemas de redes y de información;
b)protegerán las zonas a que se refiere la letra a) mediante controles de entrada y puntos de acceso adecuados;
c)diseñarán e implantarán la seguridad física de las oficinas, las salas y las instalaciones;
d)supervisarán de manera continuada sus instalaciones en lo que se refiere al acceso físico no autorizado.
13.3.3.Las entidades pertinentes comprobarán, revisarán y, cuando proceda, actualizarán las medidas de control del acceso físico de forma periódica o después de incidentes significativos o cambios significativos en las operaciones o los riesgos.
