Formulario de autoevaluación para Proveedores de Servicios Digitales Real Decreto-ley 12/2018

1. ¿Está familiarizado con el RDL 12/2018?

2. ¿Su empresa o una de sus unidades organizativas/filiales es proveedor de servicios digitales y le aplica el RDL 12/2018?

3. Establecimiento principal en España

4. Obligación de notificación y certificación del sistema de gestión de seguridad de la información

5. Obligaciones de seguridad

6. Enfoque de la seguridad basado en riesgos

7. Gestión de redes y sistemas de información (Organización)

8. Gestión de redes y sistemas de información (Políticas normativas y procedimientos)

9. Seguridad física y del entorno

10. Proveedores y servicios de seguridad de la información

11. Seguridad en el acceso redes y sistemas de información

12. Gestión de incidentes, monitorización, detección y respuesta

13. Gestión de la continuidad del negocio

14. Gestión de vulnerabilidades y auditorías periódicas

15. Fin de autoevaluación

Sección de

Establecimiento principal en España

Si su empresa es un PSD y su establecimiento principal en Europa se encuentra en España, le aplica el RDL 12/2018. Si su establecimiento principal está ubicado en otro Estado miembro de la UE, le aplicará la regulación de ese país.

Cuestionario:

¿Ha definido su empresa a España como establecimiento principal en Europa? (Elija una opción)

Sí

Ayuda

Estarán bajo la jurisdicción española los proveedores de servicios digitales que tengan su sede social en España y que constituya su establecimiento principal en la Unión Europea, así como los que, no estando establecidos en la Unión Europea, designen en España a su representante en la Unión para el cumplimiento de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión.

Los proveedores de servicios digitales quedan sometidos a la jurisdicción en materia de seguridad de las redes y sistemas de información del país donde tengan su establecimiento principal en la Unión Europea o, si no están establecidos en la Unión Europea, del país donde hayan designado a su representante en la Unión para el cumplimiento de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo.

Obligaciones de seguridad

Las siguientes secciones del cuestionario incluyen 33 preguntas relativas a medidas técnicas y organizativas en materia de seguridad de la información, en línea con los requisitos que se establecen en el Real Decreto-ley 12/2018.

El Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información es la trasposición al ordenamiento jurídico español de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, complementada por el Reglamento de Ejecución NIS (2018/151). El artículo 2 del Reglamento de Ejecución (UE) 2018/151, detalla las medidas de seguridad aplicables a operadores de servicios esenciales y proveedores de servicios digitales, esta autoevaluación se divide en bloques que se corresponden con la clasificación de medidas de seguridad que establece el artículo 2 del Reglamento.

La autoevaluación emplea como marco de referencia el estándar internacional ISO 27001, marco empleado por la Secretaría de Estado de Digitalización e Inteligencia Artificial en su metodología de supervisión, lo que le permitirá determinar el grado de cumplimiento de su organización en relación con los objetivos de seguridad que se establecen en el Real Decreto-ley 12/2018.

Seguridad física y del entorno

Garantizar la seguridad física en el acceso a las instalaciones, el equipamiento TIC, y los equipos críticos, es esencial para la seguridad de la información de la organización.

Cuestionario:

19. Se han definido zonas seguras y se han implementado controles para protegerlas (Marque todas las opciones que correspondan)

Las zonas seguras están protegidas por controles de acceso que garantizan que solo puede acceder el personal autorizado.

Las instalaciones están dotadas de medidas de seguridad física que protegen contra accidentes, ataques intencionados y desastres naturales.

Ninguna de las anteriores.

20. Se han identificado los activos críticos y se han establecido controles para garantizar su adecuado funcionamiento (Marque todas las opciones que correspondan)

Los activos críticos están ubicados en zonas seguras.

Se garantiza la disponibilidad de suministros críticos para la continuidad de las operaciones (Como por ejemplo acometidas redundantes y generadores auxiliares en previsión de cortes de fluido eléctrico).

Ninguna de las anteriores.

Proveedores y servicios de seguridad de la información

Para garantizar la seguridad en la cadena de suministro y la continuidad de las operaciones, se deben establecer requisitos de seguridad de la información para proveedores externos y verificar su cumplimiento de forma periódica.

Cuestionario:

21. Los contratos con proveedores externos incluyen cláusulas que especifican claramente los requisitos de obligado cumplimiento en materia de seguridad de la información (Marque todas las opciones que correspondan)

Los proveedores externos con acceso a la red y los sistemas de información, han firmado cláusulas que especifican claramente los requisititos de seguridad que deben cumplir.

Los proveedores externos con acceso a la red y los sistemas de información, han firmado cláusulas que especifican claramente los requisititos de seguridad relativos a la cadena de suministro, que deben cumplir todos sus subcontratistas.

Ninguna de las anteriores.

22. Se verifica de forma periódica el cumplimiento de los requisitos en materia de seguridad de la información por parte de los proveedores externos (Marque todas las opciones que correspondan)

Se verifica y audita periódicamente el cumplimiento de los requisitos de seguridad por parte de los proveedores externos.

Se reevalúan los riesgos cuándo se realizan cambios en el servicio prestado por los proveedores externos.

Ninguna de las anteriores.

Seguridad en el acceso redes y sistemas de información

El control de acceso a las redes y sistemas de información es una cuestión fundamental para la seguridad de las organizaciones, por lo que se deben establecer políticas que atendiendo al principio de mínimo privilegio restrinjan el acceso de los usuarios a estos recursos en base a sus necesidades.

Cuestionario:

23. Se dispone de políticas, normativas o procedimientos para gestionar los riesgos asociados con el uso de dispositivos móviles (Marque todas las opciones que correspondan)

Se dispone de políticas, normativas o procedimientos que regulan el uso de dispositivos móviles de uso personal (BYOD).

Se dispone de políticas, normativas o procedimientos que regulan el teletrabajo o el trabajo híbrido.

Ninguna de las anteriores.

24. Se dispone de políticas, normativas o procedimientos para el control de acceso a las redes y activos de información, y se han implementado procedimientos de “control de acceso e identidad” (Marque todas las opciones que correspondan)

Se dispone de procedimientos para asignar, revocar y verificar periódicamente, los privilegios de acceso de los usuarios a los sistemas y servicios de la organización.

Se dispone de procedimientos para la revisión periódica de los permisos de usuarios privilegiados (Administradores).

Ninguna de las anteriores.

25. Se dispone de políticas, normativas o procedimientos para impedir el acceso no autorizado a redes y sistemas de información (Marque todas las opciones que correspondan)

Se dispone de autenticación fuerte mediante el uso de doble factor de autenticación (En los sistemas que así lo requieren).

Se dispone de un sistema de gestión de contraseñas que implementa reglas de complejidad para garantizar su seguridad.

Ninguna de las anteriores.

Gestión de la continuidad del negocio

La gestión de la continuidad de negocio es una herramienta que permite a las organizaciones establecer planes de contingencia, para garantizar la continuidad de sus procesos críticos de negocio en cualquier circunstancia. Para elaborar un plan de continuidad de negocio se requiere realizar un análisis de impacto en el negocio (BIA) que permita identificar los procesos críticos y analizar el impacto que podría provocar su interrupción, y establecer requisitos de recuperación (RTO y RPO), en línea con los resultados del análisis.

Cuestionario

30. Se dispone de un plan de continuidad de negocio (Marque todas las opciones que correspondan)

Se ha realizado un análisis de impacto en el negocio y un plan de continuidad de negocio y se han establecido los roles y responsabilidades de todos los implicados.

Se han establecido requisitos de recuperación (RTO y RPO), en línea con los resultados del análisis de impacto en el negocio.

Se realizan pruebas anuales para garantizar la vigencia y eficacia el plan de continuidad de negocio

Ninguna de las anteriores.

31. Se dispone de mecanismos de copia de seguridad (Marque todas las opciones que correspondan)

Se dispone de copia de seguridad de toda la información crítica para la continuidad del negocio y las copias se realizan de forma periódica.

Las copias de seguridad se almacenan en medios y ubicaciones físicas distintas, y se dispone de copias offline para evitar su sobre escritura por posibles ataques de malware.

Se dispone de procedimientos documentados que contemplan la prueba y recuperación periódica de la información crítica para la continuidad del negocio, a partir de las copias de seguridad.

Ninguna de las anteriores.

Gestión de vulnerabilidades y auditorías periódicas

Los sistemas de gestión de seguridad de la información requieren de una revisión y actualización periódica para garantizar el cumplimiento de las políticas, normativas y procedimientos de seguridad que los integran. Este procedimiento de revisión debe incluir además auditorías de seguridad que permitan detectar a tiempo las vulnerabilidades que pudieran afectar al software o a los sistemas, y parchearlos para evitar posibles incidentes de seguridad.

Cuestionario:

32. Se dispone de procedimientos para la gestión de vulnerabilidades y actualizaciones de seguridad (Marque todas las opciones que correspondan)

Se dispone de fuentes fiables que permiten acceder a información actualizada sobre las vulnerabilidades que pudieran afectar a la organización (Por ejemplo: INICBE-CERT).

Se analiza la exposición de la organización a las vulnerabilidades que le afectan y se adoptan las medidas oportunas para mitigar los riesgos asociados.

Se dispone de una política para la gestión de parches de seguridad.

Se dispone de mecanismos que regulan la instalación de software por parte de los usuarios.

Ninguna de las anteriores.

33. Se realizan auditorías periódicas para verificar el cumplimiento de las políticas, normativas y procedimientos de seguridad de la información (Marque todas las opciones que correspondan)

Se realizan comprobaciones periódicas para verificar el cumplimiento de toda la normativa vigente relativa a seguridad de la información (Por ejemplo: RDL 12/2018, RD 43/2021, LO 3/2018, etc).

Se realizan auditorías periódicas de los sistemas para verificar el cumplimiento de las políticas, normativas y procedimientos de seguridad de la información.

Las auditorías de seguridad se realizan de forma periódica y por auditores independientes.

Ninguna de las anteriores.

Al pulsar en el botón “Terminar” concluirá su autoevaluación, y se le entregará un informe final con los resultados, si desea modificar alguna de las respuestas del cuestionario puede hacerlo antes de finalizarlo, utilizando el menú de navegación ubicado en la parte izquierda de la página.