Puntos clave
- El Cyber Security and Resilience Bill del Reino Unido incorporaría a los proveedores de servicios gestionados que cumplan los criterios a un marco regulatorio como relevant managed service providers (RMSP).
- Los RMSP tendrían que aplicar medidas adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad y reducir al mínimo los incidentes que afecten a los sistemas utilizados para prestar servicios gestionados.
- Las normas propuestas sobre incidentes exigen una notificación inicial en un plazo de 24 horas y un informe más completo en 72 horas, informando al regulador y al NCSC.
- Entre los requisitos propuestos también figura avisar a los clientes cuando sea probable que un ciberincidente les afecte, para que puedan tomar medidas de mitigación.
- La preparación de un MSP debe centrarse en la visibilidad de los activos, la corrección de vulnerabilidades, el acceso privilegiado, la capacidad de recuperación, la detección de incidentes y la evidencia de que los controles de seguridad funcionan de forma constante.
- NinjaOne puede ayudarte a generar esa evidencia operativa con inventario de endpoints, gestión de parches y vulnerabilidades, controles de acceso, copia de seguridad, visibilidad de la configuración e informes centralizados.
Por primera vez, los proveedores de servicios gestionados (MSP) del Reino Unido están a punto de convertirse en entidades reguladas. Hasta ahora, las obligaciones de ciberseguridad que gestionabas eran en realidad las de tus clientes, y las cumplías porque lo exigía un contrato o un cuestionario de seguridad. El Cyber Security and Resilience Bill (Network and Information Systems) va a cambiar eso.
En su redacción actual, la ley somete a los MSP directamente a regulación, con obligaciones legales propias en lugar de obligaciones heredadas de un cliente. Si tu empresa se conecta a la red de un cliente para prestar gestión, monitorización o soporte de TI de forma continua, conviene entender la normativa mientras todavía hay tiempo de prepararse.
En este artículo vemos qué es esta ley, qué exigiría a los MSP y cómo tener la evidencia lista antes de que entre en vigor.
Refuerza la seguridad de tus endpoints
¿Qué es el Cyber Security and Resilience Bill del Reino Unido?
Es la actualización más importante de la regulación británica de ciberseguridad en casi una década y amplía las NIS Regulations 2018. Tras salir de la UE, el Reino Unido creó su propio marco en lugar de adoptar la NIS2 europea, por lo que ambos no son idénticos, aunque comparten similitudes.
La ley extiende las normas a los centros de datos, a los proveedores críticos designados y a los proveedores de servicios gestionados. Los MSP pasan a ser «relevant managed service providers», o RMSP, una categoría que incluye a cualquier proveedor que gestione, monitorice o dé soporte en remoto a los sistemas de TI de un cliente.
La razón para incluir a los MSP es que a menudo tienen acceso privilegiado a cientos de entornos de clientes a la vez, lo que los convierte en un único punto desde el que los atacantes pueden llegar a muchas organizaciones. Incluir a los MSP en el ámbito de aplicación busca cerrar esa brecha.
En qué punto está la ley ahora mismo
La ley todavía no está en vigor. Ha llegado a la fase de comisión (Committee Stage) en la Cámara de los Lores. Se espera la sanción real a finales de 2026 o principios de 2027, con una aplicación por fases hasta 2028.
Qué cambiaría la ley para tu MSP
Según el borrador actual, la condición de RMSP traería consigo nuevas obligaciones:
- Regulación directa
- Tu MSP quedaría regulado, con la obligación de registrarse ante el regulador en cuanto entre en el ámbito de aplicación.
- Notificación más rápida
- Tendrías que informar al regulador y al NCSC de un ciberincidente significativo en un plazo de 24 horas y presentar después un informe más completo en 72 horas.
- Aviso a los clientes
- Tendrías que avisar a los clientes afectados para que puedan protegerse.
- Un estándar definido
- Trabajarías para cumplir el Cyber Assessment Framework (CAF) del NCSC, siendo Cyber Essentials la vía más rápida hacia los cinco controles básicos: firewalls, configuración segura, control de acceso, protección contra malware y gestión de parches.
- Multas vinculadas a la facturación
- Las sanciones alcanzarían la cifra más alta entre 10 millones de libras o el 2 % de la facturación global en una infracción estándar, y entre 17 millones de libras o el 4 % en una infracción grave o reiterada.
Los MSP ya aplican parches, controlan accesos, hacen copias de seguridad, inventarían y registran incidentes para mantener a sus clientes en marcha. Lo que añadiría la ley es la expectativa de una cobertura continua que puedas demostrar cuando te lo pidan.
Cómo pueden prepararse los MSP para el Cyber Security and Resilience Bill
La mayor parte del trabajo de preparación se reduce a cuatro disciplinas operativas que ya conoces:
- Saber qué tienes y qué está expuesto. Mantén un inventario que refleje lo que está funcionando en cada entorno de cliente y documenta tus procesos de corrección de vulnerabilidades.
- Controlar quién puede acceder a qué. Basa el acceso privilegiado en roles, aplica MFA y conserva un registro revisable de quién tuvo acceso y cuándo terminó.
- Mantener los sistemas recuperables. Haz copia de seguridad de lo importante, incluidos los datos SaaS, y demuestra que puedes restaurarlos.
- Estar listo para notificar. Monta el proceso de registro, alertas e informes que te permita documentar un incidente en menos de un día.
Pon orden en el caos de los activos informáticos
Así te ayuda NinjaOne
El CAF se basa en resultados, y los reguladores y las aseguradoras están dejando atrás la autodeclaración para exigir una cobertura de controles continua y demostrable. Los MSP no deberían necesitar una herramienta de cumplimiento aparte acoplada a su stack de RMM/PSA.
Las herramientas nativas de NinjaOne encajan con los resultados del CAF y con los cinco controles de Cyber Essentials en los que se apoya la ley.
- Gestión nativa de parches y vulnerabilidades
- Tu historial de parches es un registro continuo y demostrable.
- Documentación de los endpoints
- Estado de los parches, inventarios de software, salud de los dispositivos y líneas base de configuración, todo en un mismo lugar.
- Controles de acceso basados en roles
- Los permisos granulares y unos registros de auditoría claros te permiten verificar quién accedió a qué sistemas y cuándo.
- Copia de seguridad y recuperación
- NinjaOne Backup cubre endpoints, servidores y datos SaaS como los de Microsoft 365, con registros de finalización y validación de las restauraciones.
- Informes listos para una auditoría
- El historial de parches, el estado de la configuración y los registros de acceso se reúnen en un rastro de evidencia siempre activo que puedes mostrar a un regulador o a un cliente cuando lo pida.
La plataforma se encarga de la capa operativa, donde se genera buena parte de la evidencia, integrada en las herramientas que ya utilizas en lugar de añadirse por fuera.
Por qué a los MSP les conviene adelantarse a la ley
La ley todavía no está aprobada y el calendario puede cambiar, pero la dirección general es clara. Los MSP que empiecen a prepararse ahora liderarán la conversación sobre cumplimiento con sus clientes en lugar de ir a remolque.
