Las nuevas directrices de CoESS y Euralarm avanzan un paso más allá del cumplimiento tecnológico: proponen delimitar entre cliente y empresa de seguridad las responsabilidades cibernéticas durante toda la vida del servicio, someter conjuntamente su continuidad a prueba y gestionar también el riesgo derivado de la obsolescencia de los sistemas.
APROSER, como miembro de la Confederación Europea de Servicios de Seguridad (CoESS), se hace eco de la publicación, junto con Euralarm, de una nueva edición de las Cybersecurity Guidelines for the Security and Fire Safety Industry, que actualizan el marco de referencia para afrontar los riesgos cibernéticos asociados a unos servicios de seguridad cada vez más conectados.
Las Directrices combinan una síntesis del nuevo marco regulatorio europeo con recomendaciones de gobernanza y medidas operativas concretas. Su estructura sigue cinco ámbitos que cubren el ciclo completo de los sistemas y servicios de seguridad: producto, diseño del proyecto, instalación y mantenimiento, monitorización y respuesta ante alarmas. Sobre esta base, el documento identifica riesgos y propone medidas para cada fase, incorporando tanto la dimensión tecnológica como la organizativa y la relación con el cliente. La actualización se produce en un contexto marcado por la Directiva NIS2 y por el Cyber Resilience Act, pero su principal interés para las empresas de seguridad no reside únicamente en resumir las nuevas obligaciones europeas. Las Directrices apuntan hacia una evolución de mayor alcance: incorporar la ciberresiliencia a la propia definición, organización y mantenimiento del servicio de seguridad.
En sistemas cada vez más conectados, la frontera entre la infraestructura del cliente y la del proveedor resulta progresivamente menos nítida. Por ello, CoESS y Euralarm recomiendan que ambas partes identifiquen los componentes IT y OT interconectados, evalúen conjuntamente los riesgos, establezcan con claridad sus respectivas responsabilidades y acuerden controles, procedimientos de respaldo, pruebas de estrés y planes de continuidad de negocio conjuntos. Las Directrices dan, en todo caso, un paso adicional al señalar que ese reparto de responsabilidades debe mantenerse durante toda la vida de la solución, incluso mediante el correspondiente acuerdo de servicio. La ciberseguridad deja así de ser exclusivamente una característica técnica de los sistemas para convertirse también en un elemento de la relación entre la empresa de seguridad y su cliente.
Pero las Directrices incorporan otra consecuencia que merece especial atención: la gestión de la obsolescencia tecnológica se convierte también en una cuestión de seguridad. El seguimiento de vulnerabilidades, actualizaciones y avisos de fin de vida de los equipos, junto con la retirada de componentes que hayan quedado tecnológicamente obsoletos, pasa a formar parte de las medidas recomendadas para mantener la resiliencia del servicio. Este planteamiento alcanza incluso al proceso de compra. CoESS y Euralarm recomiendan, por ello, que los responsables técnicos y de contratación estén preparados para valorar el cumplimiento en materia de ciberseguridad de los proveedores y las implicaciones regulatorias de los productos que se incorporan a los sistemas de seguridad.
Destacar finalmente que la dimensión humana continúa siendo igualmente esencial. Las Directrices recomiendan reforzar la formación y actualización de directivos, responsables de cumplimiento, personal técnico y del conjunto de las plantillas, pero dentro de una concepción más amplia en la que tecnología, organización, personas y continuidad operativa forman parte de una misma estrategia de resiliencia. Para APROSER, esta evolución pone de manifiesto una cuestión de especial importancia: modernizar un servicio de seguridad no consiste únicamente en incorporar más tecnología. Supone garantizar que esa tecnología pueda mantenerse segura, actualizada y operativa durante toda la vida del servicio y definir con precisión las responsabilidades de todos los actores que intervienen en él.
Más información: CoESS – CoESS and Euralarm launch practical cybersecurity guidance for the security industry
Documento: Cybersecurity Guidelines for the Security and Fire Safety Industry – versión original en inglés
