NIS2 i ENS en cosmètica: s'apliquen a la teva empresa?

La fabricació de cosmètics depèn de sistemes connectats que poden veure's afectats per un ciberatac, fet que pot posar en risc la producció, les fórmules i les dades comercials.

La NIS2 i l'Esquema Nacional de Seguretat (ENS) poden establir requisits per a determinades empreses segons la seva activitat i la seva relació amb l'Administració. No totes les marques de cosmètica estan obligades a complir-los, per la qual cosa convé identificar quins requisits afecten realment cada organització.

A quines empreses cosmètiques afecta la NIS2?

La NIS2 inclou determinades activitats de fabricació química entre els sectors subjectes a requisits de ciberseguretat. Tanmateix, no totes les empreses de cosmètica hi estan incloses automàticament: cal valorar la seva activitat concreta, la seva mida i els criteris legals aplicables.

Encara que una empresa no estigui subjecta directament a la directiva, els seus clients poden exigir-li mesures de seguretat com a part de la cadena de subministrament.

Quan s'exigeix l'ENS a una empresa cosmètica?

L'Esquema Nacional de Seguretat, regulat pel Reial decret 311/2022, pot afectar empreses privades que presten serveis o subministren solucions a entitats públiques, segons el contracte i els sistemes implicats.

ENS en contractes amb l'Administració pública

Si la teva empresa treballa amb organismes públics, revisa els plecs i les condicions del contracte per comprovar quins requisits de seguretat ha de complir. Vendre cosmètics a un hospital públic no implica, per si sol, que tots els sistemes de l'empresa s'hagin de certificar.

Principals riscos de ciberseguretat en la indústria cosmètica

Els riscos depenen dels processos, els sistemes i les dades que gestioni cada empresa. Aquests són tres àmbits que convé revisar.

Robatori de fórmules i dades comercials

Les formulacions, les proves de producte i els plans de llançament tenen valor comercial. Un accés no autoritzat pot exposar informació confidencial i comprometre l'avantatge competitiu de la marca.

Ciberatacs als sistemes de fabricació i envasament

Els sistemes que controlen la producció, l'emmagatzematge i l'envasament poden veure's afectats per un ransomware o per accessos indeguts. Si s'interrompen, es poden produir retards en les comandes, problemes de subministrament i pèrdues operatives.

Atacs al comerç electrònic i a les dades dels clients

Les botigues en línia gestionen comptes, comandes i dades personals. Una configuració insegura, unes credencials compromeses o una vulnerabilitat a la plataforma poden facilitar accessos no autoritzats i afectar les vendes i la confiança dels clients.

Quines mesures de ciberseguretat ha d'aplicar una empresa cosmètica?

Les mesures concretes han de respondre a l'anàlisi de riscos i a les obligacions que corresponguin a cada organització. Entre els controls que convé avaluar hi ha els següents.

1. Identificar els riscos i assignar responsabilitats

L'empresa ha d'identificar els seus sistemes crítics, les dades que necessita protegir i les conseqüències d'una interrupció. També convé definir qui pren les decisions de seguretat i com es coordina la resposta davant d'un incident.

2. Monitorar els sistemes i detectar incidents

La monitorització permet identificar accessos no autoritzats, activitat sospitosa i possibles problemes de seguretat. Segons les necessitats de l'empresa, pot incloure equips corporatius, servidors, serveis al núvol i sistemes industrials.

3. Revisar la seguretat dels proveïdors i dels accessos

Limita els permisos als estrictament necessaris, utilitza l'autenticació multifactor i revisa els accessos dels proveïdors de tecnologia, manteniment i logística. Quan sigui viable, separa les xarxes corporatives de les industrials.

4. Protegir les còpies de seguretat i preparar la recuperació

Les còpies de seguretat han d'estar protegides contra l'esborrament, el xifratge i els accessos no autoritzats. A més, cal comprovar periòdicament que les dades i els sistemes es poden recuperar i definir quins processos s'han de restablir primer.

5. Preparar la resposta davant d'incidents

L'empresa ha d'establir com detectar, comunicar i gestionar un incident. El procediment ha d'incloure responsables, canals alternatius de comunicació i criteris per valorar si cal notificar-lo als clients, a les autoritats o als organismes competents.

6. Formar els empleats i revisar els controls

La formació ajuda a reconèixer correus fraudulents, protegir les credencials i comunicar els incidents a temps. Les mesures tècniques i organitzatives també s'han de revisar periòdicament per comprovar que continuen sent adequades.

Quines conseqüències pot tenir l'incompliment de la NIS2 i l'ENS?

Les conseqüències depenen de la normativa aplicable i de les circumstàncies de cada cas.

• NIS2: les entitats incloses en el seu àmbit d'aplicació poden afrontar sancions per incomplir les obligacions de gestió de riscos i notificació d'incidents, a més de mesures de supervisió.
• ENS: quan l'esquema és aplicable a un contracte o servei públic, no acreditar la conformitat exigida pot afectar l'adjudicació o la prestació del servei.
• Requisits de clients i proveïdors: no complir les condicions de seguretat pactades pot generar problemes contractuals i dificultar la continuïtat de determinades relacions comercials.

El primer pas és determinar quines obligacions corresponen a l'empresa i quines mesures ha d'aplicar.

Com millorar la ciberseguretat de la teva empresa cosmètica amb ESED

Per reduir els riscos, cal avaluar els sistemes, comprovar les mesures existents i preparar una resposta davant de possibles incidents.

A ESED ajudem les empreses a identificar vulnerabilitats i millorar la seva seguretat mitjançant auditories, anàlisis de vulnerabilitats, monitorització 24/7, detecció i resposta gestionada (MDR/XDR) i protecció d'entorns corporatius i al núvol.

Els nostres serveis gestionats funcionen amb una tarifa mensual fixa i sense costos imprevistos, cosa que permet planificar el pressupost de ciberseguretat i mantenir una protecció contínua. Així, la teva empresa pot adaptar les mesures de seguretat als seus processos, reduir el risc d'interrupcions i gestionar millor les seves obligacions de seguretat.