Desde el 15 de agosto de 2026 está en vigor en los Países Bajos la Cyberbeveiligingswet (la ley neerlandesa de ciberseguridad, Cbw), la transposición neerlandesa de la Directiva europea NIS2. La ley atribuye a la dirección la responsabilidad sobre los riesgos cibernéticos. Eso plantea una pregunta práctica: ¿resisten también la gestión de accesos y MFA cuando alguien llama al service desk?
¿Qué es la ley de ciberseguridad?
La Cbw se aplica a las organizaciones que prestan servicios esenciales o importantes, en 18 sectores. Por ejemplo, energía, agua potable, infraestructura digital, sanidad, administración pública y transporte. Según Security Management, se trata de más de 8000 organizaciones. Las organizaciones deben evaluar por sí mismas si están sujetas a ella.
La ley establece tres obligaciones:
- Deber de diligencia. Adoptar medidas para gestionar los riesgos para la seguridad de las redes y los sistemas de información.
- Obligación de notificación. Notificar los incidentes significativos dentro de los plazos legales.
- Obligación de registro. Registrarse ante el NCSC.
¿Qué exige la ley a la dirección?
La dirección es la responsable última de la gestión de los riesgos cibernéticos. Los directivos deben tener conocimientos suficientes para evaluar los riesgos y las medidas de seguridad, y seguir para ello una formación adecuada. La ciberseguridad deja así de ser solo un asunto de IT y pasa a serlo también del consejo de dirección.
Gestión de accesos y MFA en NIS2
El artículo 21 de NIS2 enumera las medidas que deben adoptar las organizaciones. Entre ellas figuran las políticas de gestión de accesos (apartado 2, letra i) y el uso de la autenticación multifactor (apartado 2, letra j).
La directiva no menciona ningún método específico para verificar a quien llama al service desk.
Dónde entra en juego el service desk
La gestión de accesos y MFA protegen el inicio de sesión. Pero también tienen que poder restablecerse, por ejemplo tras olvidar una contraseña o al cambiar de teléfono. Ese restablecimiento puede pasar por el service desk. Quien consigue que el service desk realice un restablecimiento, rodea esas medidas.
Que esto ocurre en la práctica lo describen la CISA y el FBI en su aviso sobre Scattered Spider. Por eso, el restablecimiento a través del service desk es un punto lógico para comprobar si sus medidas de gestión de accesos y MFA resisten en la práctica.
¿Qué puede hacer?
- Compruebe si su service desk resiste. Una evaluación de account takeover muestra si su service desk entrega una cuenta a alguien que llama. Siempre dentro de una autorización firmada.
- Observe dónde deja margen el proceso. Un análisis de procesos muestra dónde divergen la política y la práctica.
- Opte por la verificación técnica. Las medidas técnicas sustituyen el criterio de un solo empleado por un control que el propio llamante debe superar.
- Implique a la dirección. El informe y la presentación final ofrecen a la dirección una imagen concreta del riesgo.
