Incumplimiento de Instructure/Canvas - Las consecuencias para los proveedores de TI
Incumplimiento de Instructure/Canvas y la Ley NIS2/Ciberseguridad – Consecuencias para los proveedores de TI
¿Qué pasó?
El 2 de mayo de 2026, Instructure confirmó un incidente de seguridad en Canvas, donde se pudieron haber expuesto datos de estudiantes, incluyendo nombres, direcciones de correo electrónico, identificaciones de estudiantes y mensajes. Un total de 31 instituciones de educación superior suecas se vieron afectadas, todas usando Canvas entregado a través de SUNET.
¿Quién asume la responsabilidad?
Están involucrados tres actores: Instructure (el proveedor de software), SUNET (intermediario sueco y organismo de contratación) y las universidades (clientes finales). Según la Ley de Ciberseguridad, SUNET tiene la mayor responsabilidad en Suecia:
Responsabilidad de la cadena de suministro. La Ley de Ciberseguridad exige que las organizaciones impongan requisitos de seguridad a los proveedores y subcontratistas que prestan servicios digitales. SUNET podría ser examinado para determinar si su contrato con Instructure contenía requisitos adecuados.
Reporte de incidentes. En caso de un incidente significativo, el operador debe presentar una advertencia temprana dentro de las 24 horas, una notificación más detallada dentro de las 72 horas, un informe de progreso si el incidente está en curso y, finalmente, un informe de cierre.
Sanciones. La gerencia puede ser considerada personalmente responsable por las deficiencias, y la organización se arriesga a importantes sanciones financieras basadas en la facturación global.
Los MSP y los proveedores de TI críticos se enfrentan exactamente a la misma exposición
Este no es solo un problema de SUNET. Como MSP o proveedor de TI para el sector público; escuelas, municipios, regiones, agencias gubernamentales, usted se encuentra exactamente en la misma posición. Usted es el vínculo entre una plataforma subyacente y un cliente final cubierto por la ley.
Y esto es lo que realmente debería llamar la atención: la infracción no ocurrió en las universidades suecas, ocurrió en su proveedor en EE. UU.
Sin embargo, son los actores suecos de la cadena quienes tienen las obligaciones de informar, se enfrentan a un escrutinio y se arriesgan a sanciones. Como proveedor de TI crítico, puede enfrentar fuertes multas por la falla de seguridad de otra persona, si no tiene:
- Requisitos de seguridad documentados para sus subcontratistas en los contratos
- Un plan de respuesta a incidentes con plazos ajustados (24/72 horas) incorporados
- Procesos para monitorear y dar seguimiento continuamente a la postura de seguridad de sus proveedores
Los operadores también deben identificar por sí mismos que están cubiertos y registrarse en la Autoridad Sueca de Contingencias Civiles. Ninguna autoridad llamará a su puerta. Solo ese paso puede desencadenar una acción de supervisión.
Las multas no son simbólicas: para las entidades esenciales, las sanciones pueden alcanzar los 10 millones de euros o el 2% de la facturación anual global. Para las entidades importantes, el límite es de 7 millones de euros o el 1,4%. El caso Canvas es una ilustración concreta de cómo se aplica la normativa en la práctica, y otra llamada de atención para toda la industria sueca de TI. A veces, también es mejor para ellos tomar sus medidas de precaución para proteger sus datos personales y evitar fugas inesperadas.