¿Quién es responsable cuando sufre una brecha nuestro proveedor SaaS?

Normalmente los dos, por cosas distintas. El proveedor es responsable de proteger su servicio y, según el RGPDRGPD: Reglamento General de Protección de Datos. La ley europea de protección de datos (Reglamento (UE) 2016/679)., un proveedor que actúa como su encargado del tratamiento debe notificárselo sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales. Usted, como responsable de los datos de sus clientes o empleados, sigue encargándose de evaluar el riesgo para los afectados y, cuando proceda, de notificarlo a la autoridad de control en un plazo de 72 horas desde que tenga conocimiento, y de informar a los interesados si el riesgo es alto. Si su empresa está sujeta a NIS2NIS2: segunda directiva europea sobre seguridad de las redes y de la información. La ley europea de ciberseguridad (Directiva (UE) 2022/2555), que impone obligaciones de seguridad y de notificación de incidentes a muchas empresas., un incidente significativo causado por un proveedor puede activar sus propias obligaciones de notificación, y NIS2 espera que gestione la seguridad de la cadena de suministro como parte de sus medidas de gestión de riesgos. Los contratos deciden gran parte de la práctica: plazos de aviso, cooperación, información que recibirá y responsabilidad. Prepárese antes: sepa qué proveedores tienen qué datos, guarde sus contactos de seguridad e incluya una brecha en un proveedor en su plan de respuesta a incidentes. Su ley nacional de transposición de NIS2 puede añadir detalles; consúltela.

← Las 25 preguntas sobre Seguridad en la nube y SaaSTodos los temas