No afectado, y aun así obligado.
La mayoría de los integradores quedan por debajo del umbral de tamaño y no tienen que registrarse ante el BSI. El efecto arrastre no viene del supervisor, sino del cliente, por la vía del contrato.
Por qué la obligación te llega a ti aunque afecte a tus clientes
Las entidades afectadas tienen que gobernar la seguridad de su cadena de suministro. Es uno de los diez ámbitos de medidas del § 30, apdo. 2 de la BSIG. No pueden delegar esa obligación externalizando la TI: la responsabilidad sigue siendo suya.
Así que trasladan el requisito. No como un ruego, sino como cláusula contractual: para los tipos de entidad cubiertos por el reglamento de ejecución, este prescribe exactamente eso.
En todo caso, las entidades esenciales e importantes deberían obligar contractualmente a sus proveedores a cumplir medidas de seguridad y hacérselo acreditar.
Aunque la TI esté completamente externalizada, usted sigue siendo responsable. Los contratos por sí solos no bastan: la obligación permanece en la dirección de la empresa.
Lo que acaba por eso en tu mesa
Casi nunca como un escrito jurídico, sino como una tabla con fecha límite.
Un cuestionario de proveedores con preguntas que exigen un análisis de todo el parque atendido.
La petición de una prueba del estado de parches a una fecha de corte pasada.
Una adenda contractual con plazos de notificación que tienes que poder cumplir técnicamente.
La exigencia de un derecho de auditoría o de informes de auditoría periódicos.
La pregunta de quién puede acceder en tu casa a los sistemas del cliente, y cómo se demuestra.
Seis puntos que tu cliente tiene que pactar
Recogidos en el anexo 5.1.4 del Reglamento de Ejecución (UE) 2024/2690. A la derecha, con qué hace octoja demostrable la respuesta.
Requisitos de ciberseguridad
Lo que implantas técnicamente se puede acreditar desde el funcionamiento diario y no desde una declaración propia.
Notificación inmediata de los incidentes
Alertas con horarios de servicio por canal y marca de tiempo por aviso: la base para poder cumplir siquiera un plazo de 24 horas.
Derecho de auditoría o a recibir informes de auditoría
Los informes se pueden generar de forma programada y por cliente. Tu cliente recibe la prueba sin que nadie tenga que reunir capturas de pantalla.
Cualificación y fiabilidad del personal empleado
Quién puede acceder a qué sistema se regula con grupos y 17 permisos de acción sobre dispositivos, y se puede seguir en la vista de accesos.
Corrección de vulnerabilidades
Estado de parches por endpoint. Aprobaciones con responsable y marca de tiempo. Excepciones con justificación registrada.
Un registro permanentemente actualizado de los proveedores y los sistemas
El inventario se registra solo y lleva un historial de cambios, incluido el fin de soporte del sistema operativo.
Esa misma obligación es tu argumento de venta.
Tus clientes tienen que aportar evidencias y a menudo no saben cómo. Quien pueda entregarlas ya no vende asistencia remota, sino capacidad de demostrar.
Los cuestionarios de proveedores preguntan de forma habitual por la gestión de vulnerabilidades y de parches. Justo ese ámbito del deber de documentación del § 30, apdo. 1, frase 3 de la BSIG lo cubre un informe de cumplimiento de parches que cada mes llega solo al buzón del cliente. Y de paso responde a la pregunta de por qué tu contrato vale lo que cuesta.
¿Ya tienes el cuestionario encima de la mesa? Respóndelo desde el sistema.
En el acceso de prueba generas los informes con tus propios dispositivos y ves qué preguntas quedan cubiertas con ellos, y cuáles no.