Hay una pregunta que rara vez alguien se hace antes de firmar un contrato con el proveedor que gestiona el SOC o el servicio de Vulnerability Assessment: ¿qué sucede, exactamente, con la información que intercambiamos cada día?
Logs, alertas, indicadores de compromiso, detalles sobre vulnerabilidades aún no corregidas. Material que, si cayera en manos equivocadas, valdría más que una contraseña robada.
El artículo 17 del decreto NIS2 (D.Lgs. 138/2024) intenta poner orden precisamente aquí.
Durante meses ha permanecido en segundo plano respecto a los temas más debatidos de la normativa: responsabilidad del Consejo de Administración, medidas de seguridad, notificación de incidentes, gestión de la cadena de suministro. Las FAQ publicadas por la ACN le han devuelto centralidad, y el motivo es simple: afecta a casi todas las organizaciones que confían en un proveedor externo para actividades de seguridad.
De qué trata realmente el artículo 17
La norma permite a entidades esenciales e importantes, y a sus terceras partes, intercambiar de forma voluntaria información sobre seguridad informática: amenazas, cuasi incidentes, vulnerabilidades, tácticas de los atacantes, indicadores de compromiso, recomendaciones de configuración. El intercambio sigue siendo voluntario; lo que la norma impone es la disciplina en torno a él: cuando se produce, debe estar regulado por un acuerdo que defina su perímetro y herramientas de protección.
Aquí llega la aclaración que ha sorprendido a más de un responsable de TI: según la ACN, entran en esta categoría los contratos que tienen por objeto, aunque sea solo en parte, servicios de seguridad informática. NOC, MDR, SOC, CSOC, CERT, Vulnerability Assessment y Penetration Test, Red Teaming, Cyber Threat Intelligence: la lista de servicios que casi toda empresa estructurada adquiere desde hace años, a menudo sin haber releído nunca las cláusulas sobre confidencialidad de los datos intercambiados.
Una cuestión que también afecta a las personas, no solo a los jurídicos
Quien se ocupa de concienciación lo sabe: detrás de cada acuerdo de intercambio hay una relación entre personas. ¿Quien gestiona la relación con el proveedor del SOC sabe qué información puede transmitir por correo electrónico y cuál no? ¿Quien recibe un informe de Penetration Test entiende que ese documento, si se comparte mal, se convierte en un mapa de las vulnerabilidades empresariales ofrecido gratis a quien no debería verlo?
Los contratos fijan los límites. Las personas los respetan, o los ignoran, cada día, cuando adjuntan un archivo a un ticket, cuando reenvían una alerta a un colaborador externo sin comprobar la clasificación del contenido, cuando usan un canal no previsto porque «era urgente». La NIS2 formaliza obligaciones jurídicas; la cultura organizativa decide si esas obligaciones quedan en el papel o se convierten en comportamiento cotidiano.
Los plazos que hay que tener en cuenta
La ACN ha previsto una aplicación gradual. Para la actualización anual de 2025 solo debe notificarse lo que se haya suscrito después de la entrada en vigor del decreto. Los acuerdos anteriores, los firmados hace años quizá sin pensar mínimamente en la NIS2, quedan por analizar y eventualmente adecuar antes de la actualización anual de 2026. El plazo general para alinearse con la prescripción, en coherencia con la adopción de las medidas de seguridad básicas, vence en octubre de 2026.
Debe tomarse por lo que es, no como una excusa para aplazar. Retrasar el reconocimiento significa arriesgarse a llegar al vencimiento con contratos nunca releídos, información compartida durante años sin un perímetro claro, responsabilidades que nadie ha asignado realmente. Quien espere al último trimestre de 2026 para abrir el cajón de los contratos con proveedores encontrará, casi con certeza, más de una sorpresa.
Qué hacer, concretamente
No hace falta producir a toda prisa un documento nuevo para cada proveedor. Hace falta partir de un mapeo real: quién presta servicios de SOC, MDR, VA/PT, Red Teaming o Threat Intelligence, qué información se intercambia efectivamente con cada uno, qué dice ya el contrato en vigor. A partir de ahí se evalúa si hace falta un acuerdo específico o si basta con integrar cláusulas de confidencialidad en el existente.
Y después, el paso que a menudo se omite: quien en la empresa gestiona operativamente esas relaciones debe ser informado sobre qué significa el acuerdo en la práctica. No un webinar aislado, sino un itinerario que haga familiar la distinción entre información compartible e información que proteger, y las consecuencias concretas de un intercambio realizado sin atención.
La conclusión clave
El artículo 17 pide hacer explícito algo que ya ocurre: el intercambio de información sensible con quien gestiona nuestra defensa digital. No hace falta reescribir desde cero la seguridad empresarial. La parte técnica y la jurídica pueden delegarse en especialistas. La parte humana, es decir, las personas que cada día deciden qué escribir en un ticket o adjuntar a un correo electrónico, sigue siendo el punto sobre el que construimos nuestro enfoque de formación: un acuerdo bien redactado vale tanto como los hábitos de quien lo aplica cada día.
