- ¿Qué autónomos están obligados a cumplir la Ley de Ciberresiliencia?
- Las pymes son conscientes de los cambios, pero muestran escasa preparación
- ¿En qué consiste el test oficial gratuito de ENISA?
La Agencia de la Unión Europea para la Ciberseguridad (ENISA, por sus siglas European Network and Information Security Agency) acaba de publicar una herramienta digital gratuita de autoevaluación con la que los autónomos y toda clase de pequeñas empresas pueden comprobar si están listos para cumplir la nueva Ley de Ciberresiliencia (CRA), antes de que entren en vigor sus primeras obligaciones, el próximo 11 de septiembre.
No en vano, los resultados de una encuesta realizada en junio por la propia ENISA reflejaban que, si bien una mayoría de las pymes conoce la norma, no está en condiciones de aplicarla tal cual en la actualidad.
En concreto, este reglamento europeo obliga a quienes fabrican y comercializan software, aplicaciones o dispositivos IoT (internet de las cosas) a garantizar su seguridad durante todo su ciclo de vida. Y a partir de dicha fecha, si se detecta un fallo en el producto que los atacantes ya estén aprovechando para causar daños, estas empresas tendrán un máximo de 24 horas para informarse sobre cualquier anomalía de funcionamiento en el día a día de sus clientes y notificarlo a las autoridades.
La herramienta que ahora se ha presentado, denominada Modelo de evaluación de la madurez de la ciberresiliencia para pymes (SME Cyber Resilience Maturity Assessment Model), guía a los autónomos y pequeños negocios a través de la comprobación de cinco áreas clave. Así, en cuestión de minutos, devuelve un diagnóstico claro de en qué punto se encuentran y qué tienen que mejorar para no exponerse a sanciones.
¿Qué autónomos están obligados a cumplir la Ley de Ciberresiliencia?
La normativa se aplica a cualquier negocio que venda o cree para terceros cualquier producto con elementos digitales, como software (programas, app o plugins), dispositivos o componentes con acceso a la red que se vendan, distribuyan o desplieguen dentro de la UE.
Por ejemplo, afecta directamente a desarrolladores y agencias que creen extensiones para tiendas online, consultoras que implanten aplicaciones de gestión de negocios, como puede ser un canal de denuncias. Un servicio muy demandado en la actualidad, desde que la normativa europea de protección del denunciante convirtió estos sistemas en obligatorios para miles de empresas.
De forma semejante, negocios de domótica o autónomos que vendan cualquier herramienta con conexión a red quedan igualmente dentro del ámbito del reglamento. La propia decisión de ENISA de crear un test dirigido específicamente a microempresas es ya una señal de que la CRA no está concebida solo para las grandes tecnológicas.
Por otro lado, los mismos autónomos y las pymes que utilizan este tipo de herramientas digitales en su actividad diaria también notarán los efectos. Ya sea un TPV o una aplicación de facturación, los sistemas que contraten deberán cumplir unos requisitos mínimos de seguridad y ofrecer actualizaciones durante toda su vida útil. La ley traslada esta responsabilidad al fabricante, lo que en la práctica libera al usuario final de asumir en solitario las consecuencias de trabajar con productos que tienen fallos de seguridad que no se solucionan.
Las pymes son conscientes de los cambios, pero muestran escasa preparación
La mencionada encuesta de ENISA, que se realizó entre febrero y marzo con 194 organizaciones de 31 países, refleja una brecha entre el grado de conocimiento de la normativa y el grado de preparación a la hora de aplicarla.
Según sus resultados, el 66% de las empresas consultadas declaró haber oído hablar de la ley; sin embargo, el 54% reconoció tener una comprensión limitada o inexistente de los procedimientos de evaluación de conformidad, y el 42% manifestó el mismo problema respecto a la documentación exigida.
Pero estas diferencias fueron mayores en el caso de los pequeños negocios, toda vez que suelen carecer de personal especializado y de procesos formalizados de gestión de vulnerabilidades. Así, el modelo de madurez busca traducir la ley en preguntas concretas que cualquier autónomo pueda responder sin formación jurídica específica.
¿En qué consiste el test oficial gratuito de ENISA?
El Modelo de evaluación de la madurez de la ciberresiliencia para pymes está disponible de forma gratuita como un archivo Excel descargable en el sitio web de ENISA, sin necesidad de registro previo.
El cuestionario guía al usuario por una serie de preguntas estructuradas y calcula automáticamente una puntuación, generando un perfil de madurez global. También se incluye una lista de verificación en el mismo archivo de cara a identificar las prioridades más urgentes según los resultados.
En particular, el modelo evalúa el nivel de madurez en cinco áreas directamente relacionadas con los requisitos de la CRA. Cada criterio se puntúa en una escala del 1 al 5, desde la ausencia total de medidas hasta su aplicación sistemática y en mejora continua:
- Gobernanza y documentación: determina si el negocio tiene políticas de seguridad definidas, responsabilidades claras y supervisión directiva de los aspectos de ciberseguridad del producto.
- Gestión de riesgos y seguridad desde el diseño: establece si la seguridad se incorpora desde las fases iniciales del desarrollo, en lugar de añadirse como una capa posterior.
- Gestión de vulnerabilidades y parches: evalúa si existe un proceso para identificar, priorizar, corregir y comunicar adecuadamente los fallos de seguridad detectados.
- Gestión del ciclo de vida del producto: refleja si se mantiene soporte activo, actualizaciones de seguridad periódicas y una retirada ordenada del mercado.
- Competencias y formación en ciberseguridad: valora si el autónomo y su equipo disponen de los conocimientos necesarios para responder a las exigencias del reglamento en el trabajo diario.
Tras completarlo, el cuestionario sitúa al negocio en un perfil que puede ser básico (puntuación de entre 1 y 2,5), intermedio (entre 2,6 y 3,9) o avanzado (entre 4 y 5). ENISA deja claro que lograr una puntuación alta no equivale a que se cumpla la normativa; esto es, la herramienta sirve como diagnóstico, pero no certifica a quien la utiliza.
Para esto es necesario realizar ciertos procesos de evaluación que dependen de la categoría de producto. No obstante, sí supone un primer paso para quienes todavía no han iniciado esa labor.
