Onboarding de proveedores conforme a NIS2: ¿qué exige el § 30 BSIG para la cadena de suministro?

La Ley del BSI, en la redacción dada por la Ley de transposición de la Directiva NIS2 (Boletín Oficial Federal, BGBl. 2025 I n.º 301), distingue entre entidades esenciales e importantes (§ 28 BSIG). Son determinantes el tipo de entidad según los anexos 1 y 2 (por ejemplo, energía, transporte, sector financiero, servicios postales y de mensajería o fabricación) y su tamaño.

Es esencial una entidad del anexo 1 a partir de 250 empleados o con un volumen de negocios anual superior a 50 millones de euros y, a la vez, un balance general superior a 43 millones de euros. Es importante una entidad de los anexos 1 o 2 a partir de 50 empleados o con un volumen de negocios y un balance general superiores a 10 millones de euros cada uno. Algunas entidades, como los operadores de instalaciones críticas, están sujetas con independencia de su tamaño.

Los proveedores no tienen que estar sujetos a la ley para notar sus efectos: sus clientes deben acreditar la seguridad de la relación de suministro y, por ello, les trasladan los requisitos.

El § 30, apartado 2, enumera diez medidas que la gestión de riesgos debe incluir como mínimo. El número 4 menciona la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de las relaciones con los proveedores o prestadores de servicios directos. El número 5 añade medidas de seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión y divulgación de las vulnerabilidades.

La Directiva (UE) 2022/2555 es más concreta en este punto: según su artículo 21, apartado 3, las entidades tienen en cuenta las vulnerabilidades específicas de cada proveedor directo, así como la calidad general de los productos y de las prácticas de ciberseguridad de sus proveedores. Este apartado no figura literalmente en el texto de la ley alemana; la exposición de motivos (documento del Bundestag BT-Drucksache 21/1501) lo recoge en relación con el § 30.

La ley no establece un catálogo fijo de preguntas. Han dado buen resultado cuatro pasos: clasificar a los proveedores según su criticidad (¿qué datos, sistemas y procesos tocan?), fijar requisitos mínimos por nivel, comprobar su cumplimiento mediante acreditaciones y archivar el resultado de forma que pueda presentarse en una inspección.

Los requisitos típicos se refieren a la protección de accesos, como la autenticación multifactor, el cifrado, la gestión de vulnerabilidades y parches, la preparación ante emergencias, los canales de notificación de incidentes de seguridad y certificaciones como ISO/IEC 27001. Si el proveedor trata datos personales por encargo de su empresa, se añade el contrato conforme al artículo 28 del RGPD.

La revisión no es algo puntual: los certificados caducan, los subcontratistas cambian y los requisitos evolucionan. Por eso, los controles periódicos forman parte de la gestión de riesgos.

Conforme al § 33 BSIG, las entidades afectadas deben registrarse ante el BSI a más tardar tres meses después de ser consideradas entidad por primera vez. Según el BSI, este plazo ya ha vencido para las entidades que estaban afectadas desde la entrada en vigor; deben completar el registro cuanto antes.

Los órganos de dirección deben aplicar las medidas de gestión de riesgos y supervisar su aplicación (§ 38, apartado 1, BSIG), así como participar periódicamente en formaciones (§ 38, apartado 3, BSIG).

Conforme al § 65 BSIG, las infracciones del § 30 pueden sancionarse con multas de hasta 10 millones de euros en el caso de las entidades esenciales y de hasta 7 millones de euros en el de las entidades importantes. Con un volumen de negocios anual mundial superior a 500 millones de euros, el límite máximo es del 2 % o del 1,4 % de dicho volumen, respectivamente.

Vendo4u no recoge los requisitos en un cuestionario por cliente, sino en un catálogo común: los proveedores aportan una sola vez su información sobre seguridad de la información, protección de datos y continuidad del negocio y la respaldan con documentos vinculados a cada criterio. Los compradores filtran según sus requisitos mínimos, comparan proveedores y exportan el perfil con sus acreditaciones para su propia documentación.

La obligación de evaluar sigue correspondiendo a la entidad. Vendo4u aporta para ello una base uniforme y trazable.