NIS2 i el risc de tercers: el nou paradigma de la ciberseguretat
- La Directiva NIS2 converteix la seguretat de la cadena de subministrament d'una opció tecnològica en una obligació jurídica.
- El 77% de les violacions de dades recents tenen origen en una tercera part, evidenciant la fragilitat dels perímetres tradicionals.
- S'establix un model de responsabilitat compartida on el client manté l'accountability però el proveïdor cloud assumeix obligacions de compliance.
- El Third Party Risk Management (TPRM) es torna essencial per evitar costos mitjans de data breach de 4,88 milions de dòlars.
L'arquitectura de la seguretat informàtica empresarial està patint una transformació profunda. Durant anys, les organitzacions s'han centrat a blindar el seu propi perímetre, invertint en firewalls i sistemes de detecció interns. No obstant això, la realitat operativa actual mostra que la porta d'entrada més vulnerable no és la principal, sinó la lateral: la dels proveïdors de serveis i socis tecnològics. Aquest fenomen ha impulsat l'ascens del Third Party Risk Management (TPRM), un procés estructurat per avaluar i monitoritzar els riscos associats a qualsevol entitat externa amb accés a dades o sistemes crítics.
La Directiva NIS2 i la nova era de la responsabilitat compartida
L'entrada en vigor de la Directiva NIS2 marca un abocament decisiu cap a una regulació més estricta de la cadena de subministrament. Aquesta normativa no es limita a exigir mesures de seguretat als subjectes NIS, sinó que estend el seu abast als seus socis tecnològics, especialment als proveïdors de serveis cloud. Aquests últims, que alberguen la majoria de les càrregues de treball crítiques, són ara considerats tercers crítics i proveïdors d'inferència d'IA.
El canvi fonamental resideix en la transició d'un model de confiança implícita a un de responsabilitat compartida. Tot i que la responsabilitat final (l'accountability) recau sobre la direcció de l'empresa client, els proveïdors cloud han de garantir ara la disponibilitat, integritat i confidencialitat dels dades com a requisit jurídic. Els acords contractuals s'estan redefinint per incloure obligacions de seguretat específiques que deixen de ser clausules genèriques per convertir-se en requisits obligatoris de compliance.
El paradox de la inversió en ciberseguretat
Existeix una contradicció estructural en la gestió actual del risc. Mentre les empreses augmenten els seus pressupostos en seguretat, la complexitat de les seves dependències creix a un ritme superior. Segons dades del TPRM Impact Report 2025 de Whistic, una empresa mitjana gestiona actualment 286 proveïdors, un increment del 21% respecte a l'any anterior. Aquesta expansió de l'ecosistema digital ha diluït el concepte de perímetre de seguretat, fent-lo gairebé obsolet.
L'impacte econòmic d'aquesta vulnerabilitat és massiu. El rapport IBM Cost of a Data Breach 2024 assenyala que el cost mitjà d'una brecha de dades ha arribat als 4,88 milions de dòlars. El problema és que el 70% de les organitzacions han patit violacions de dades en els últims tres anys i, en el 77% d'aquests casos, l'origen era una tercera part. Això demostra que, tot i augmentar el personal dedicat al TPRM —amb una mitjana de tres nous empleats full-time per empresa en 2024—, el 94% de les organitzacions admeten que no poden avaluar tots els proveïdors que volien.
Mapeig i evaluació: els pilars del TPRM
Per mitigar aquests riscos, els CISO han d'implementar programes de Risk Assessment que vagin més enllà d'un simple qüestionari inicial. Un programa eficaç de gestió de riscos de tercers s'estructureta en diverses fases crítiques:
L'objectiu no és eliminar el risc, que és impossible en una economia interconnectada, sinó identificar els proveïdors crítics i implementar controls proporcionals al nivell de risc detectat.
El procés comença amb la identificació i el mapeig de dependències, creant un inventari centralitzat de totes les terceres parts, des dels proveïdors de SaaS i hosting fins als integradors de sistema i consultors externs amb accés a dades personals. Posteriorment, s'executa una evaluació del risc inicial durant l'onboarding, seguida d'un monitoratge continu. L'error més comú és considerar l'avaluació com un acte únic; la seguretat d'un proveïdor pot degradar-se ràpidament a causa d'una vulnerabilitat no corregida (CVE) o un canvi en la seva pròpia infraestructura.
Vulnerabilitats indirectes i impacte reputacional
Els riscos associats a tercers no sempre es manifesten com un atac directe als sistemes del client. Moltes vegades, es tracta de vulnerabilitats indirectes. Un exemple real és el cas d'un vendor d'IT que, per tenir un sistema de ticketing no protegit, va exposar els logs d'accés de 12 clients diferents. En aquest escenari, no hi va haver una brecha directa en els sistemes dels clients, però l'impacte reputacional va ser significatiu i es van activar les obligacions de notificació previstes a l'Article 23 de la NIS2 per totes les empreses implicades.
Els riscos principals es poden resumir en tres categories:
- Accés privilegiat: Administradors externs o VPNs compartides que obren portes a la xarxa interna.
- Gestió no conforme: Software de tercers amb vulnerabilitats no patchades que serveixen de pont per a l'atacant.
- Ruptura de la cadena: Incidents en el proveïdor que són visibles al mercat i afecten la imatge de marca del client.
L'estratègia de mitigació per a l'empresa moderna
Per afrontar aquest escenari, les organitzacions han de moure's cap a una integració total del TPRM dins del Risk Assessment general de l'empresa. Això implica no només una anàlisi tècnica, sinó també una revisió jurídica dels contractes. Les mesures de seguretat NIS2 han de convertir-se en requisits obligatoris per als socis cloud, amb clàusules d'auditabilitat que permetin verificar el compliment real de les mesures promeses.
A més, s'està observant un vincle cada vegada més estret entre el TPRM i la ciberassegurança (cyber insurance). Les asseguradores comencen a exigir proves documentades de la gestió de riscos de tercers per concedir pòlisses o per ajustar les prèmies, ja que el 63% dels incidents cyber greus en 2025 han involucrat almenys un proveïdor extern. La capacitat de demostrar un control rigorós sobre la cadena de subministrament es converteix, per tant, en un actiu financer i operatiu.
Implicacions per al teixit empresarial de Catalunya i Espanya
Per a les empreses catalanes i espanyoles, l'adaptació a la Directiva NIS2 i la implementació del TPRM no són només qüestions de seguretat, sinó de supervivència competitiva. L'ecosistema d'empreses de Barcelona, amb una forta presència de startups tecnològiques i hubs d'innovació, es troba en una posició dual. Per un costat, moltes d'aquestes empreses actuen com a proveïdors de serveis per a grans corporacions europees; per l'altre, depenen elles mateixes de gegants del cloud.
En el context espanyol, l'aplicació de l'AI Act de la Unió Europea s'entretellexe amb aquests riscos. Atès que moltes empreses locals estan integrant solucions d'IA a través de proveïdors externs (AI inference providers), el risc de dependència tecnològica i la gestió de la privacitat de les dades es tornen crítics. Les pimes catalanes, que sovint no disposen de departaments de ciberseguretat robusts, podrien trobar-se amb dificultats per complir els nous requisits de compliance exigits pels seus clients més grans, que ara els demandaran proves rigoroses de seguretat per complir amb la NIS2.
L'oportunitat per al mercat local resideix en la professionalització dels serveis de consultoria en ciberseguretat i compliance. L'empresa catalana ha de passar de veure el cloud com una simple utilitat a entendre'l com una part integral de la seva superfície d'atac. La coordinació entre el sector privat i els organismes reguladors a Espanya serà clau per evitar que la burocracia del compliance asfixi la innovació, però assegurant que el creixement digital no es faci sobre una base fràgil.
Preguntes freqüents
Què és exactament el TPRM?
El Third Party Risk Management és el procés d'avaluació, gestió i monitoratge dels riscos ciber associs a proveïdors, socis o terceres parts que tenen accés a dades o sistemes crítics d'una organització.
Com afecta la Directiva NIS2 als proveïdors de cloud?
Els redefineix com a tercers crítics, imposant-los obligacions de compliance i seguretat que abans eren opcions tecnològiques, establint un model de responsabilitat compartida amb el client.
Per què és tan alt el cost dels data breaches vinculats a tercers?
Perquè aquestes violacions solen ser més difícils de detectar, més lentes de mitigar i impliquen sanzions regulatòries més severes a causa de la complexitat de la cadena de subministrament.
Quins són els passos bàsics per implementar un programa de TPRM?
Identificar i mapejar tots els proveïdors, realitzar una avaluació de risc inicial en l'onboarding, establir un monitoratge continu i integrar tot plegat en el Risk Assessment general de l'empresa.
Fonts: News, Sicurezza-informatica, Ictsecuritymagazine ·
glacom · Configurador 3D industrial: variants i pressupostos sense errors →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
