Lista de preparación para NIS2: pasos prácticos para empresas

Lo que es

Prepararse para NIS2 significa entender si la directiva le es aplicable y de qué manera, y después implantar y documentar las medidas de gobernanza, técnicas y organizativas que espera. El artículo 21 enumera los ámbitos de las medidas de gestión de riesgos de ciberseguridad, entre ellos el análisis de riesgos y las políticas de seguridad, la gestión de incidentes, la continuidad de las actividades y la gestión de crisis, la seguridad de la cadena de suministro, la seguridad en la adquisición y el desarrollo, incluida la gestión de vulnerabilidades, la evaluación de la eficacia de las medidas, las prácticas básicas de ciberhigiene y la formación, la criptografía, la seguridad de los recursos humanos y el control de acceso, y la autenticación multifactor o continua. El artículo 20 atribuye a los órganos de dirección la responsabilidad de aprobar y supervisar estas medidas. El artículo 23 establece una notificación de incidentes por etapas a la autoridad competente o al CSIRT: una alerta temprana en un plazo de 24 horas desde que se tiene conocimiento de un incidente significativo, una notificación del incidente en un plazo de 72 horas y un informe final en el plazo de un mes desde la notificación del incidente. La legislación nacional puede añadir detalles y, para determinados proveedores digitales, como los de computación en la nube, centros de datos, servicios gestionados y DNS, el Reglamento de Ejecución (UE) 2024/2690 de la Comisión establece los requisitos técnicos con mayor detalle.

Para quién es

Esta lista de verificación está dirigida a:

• Organizaciones medianas y grandes de sectores cubiertos por NIS2 que están evaluando su situación
• Proveedores de entidades cubiertas que reciben cuestionarios de seguridad relacionados con NIS2
• Equipos directivos que necesitan una visión estructurada de qué tratar con sus asesores legales y técnicos
• Responsables de TI y de seguridad que preparan un análisis de brechas y una hoja de ruta

Qué ayuda a aclarar

Recorrer la lista de verificación ayuda a aclarar:

• Si es probable que su organización esté dentro del ámbito de aplicación y qué autoridad nacional le corresponde
• Dónde los controles y la documentación actuales no alcanzan las medidas esperadas
• Quién es el responsable en la dirección y qué formación necesita
• Qué brechas abordar primero y cuáles requieren la intervención de especialistas por separado

Qué se incluye

• Ámbito de aplicación: confirme el sector, el tamaño y los Estados miembros en los que opera; registre el resultado y el razonamiento
• Registro: compruebe si la legislación nacional le exige registrarse ante una autoridad y en qué plazo
• Gobernanza: designe a un directivo responsable, acuerde cómo la dirección aprueba y revisa las medidas de seguridad, y planifique la formación de la dirección
• Evaluación de riesgos: documente los servicios críticos, los sistemas que los soportan y los principales riesgos que les afectan
• Políticas: mantenga una política de seguridad de la información, normas de control de acceso y directrices de criptografía
• Gestión de incidentes: defina qué es para usted un incidente significativo, quién decide y cómo se prepararán los informes de 24 horas, 72 horas y un mes
• Continuidad: pruebe las copias de seguridad y la recuperación de los servicios críticos, y documente la comunicación de crisis
• Cadena de suministro: enumere los proveedores TIC clave, revise sus compromisos de seguridad e incluya cláusulas de seguridad en los contratos
• Desarrollo seguro y gestión de vulnerabilidades: defina cómo se notifican, clasifican y corrigen las vulnerabilidades
• Higiene y formación: imparta formación periódica de concienciación, aplique parches según el calendario y exija la MFA
• Eficacia: planifique revisiones o pruebas periódicas para demostrar que las medidas funcionan

Qué no se incluye

• Asesoramiento legal o una determinación de si usted está o no dentro del ámbito de aplicación
• Certificación, aprobación de cumplimiento o una opinión oficial de auditoría
• La presentación de informes o registros ante las autoridades en su nombre
• Afirmar que completar la lista de verificación satisface la legislación nacional

Cuándo elegirlo

Utilice esta lista de verificación cuando evalúe NIS2 por primera vez, cuando se publique o actualice la transposición nacional en un país en el que opera, o cuando un cliente solicite evidencia de una seguridad alineada con NIS2. Combínela con asesoramiento legal sobre el ámbito de aplicación y los requisitos nacionales. Si ya dispone de un programa basado en ISO 27001, asigne los controles existentes a la lista de verificación antes de crear documentos nuevos. Este artículo es información general y no constituye asesoramiento legal.

Nuestro enfoque

Empiece por el ámbito de aplicación y la gobernanza; el trabajo técnico sin la implicación de la dirección tiende a estancarse. A continuación, realice un análisis de brechas frente a las medidas, basado en evidencias y no en suposiciones: configuraciones, registros, resultados de pruebas, contratos y registros de formación. Ordene las brechas según el riesgo y el esfuerzo, y elabore una hoja de ruta con responsables y fechas. Nuestro servicio Security Baseline Review puede ofrecerle un punto de partida documentado: una visión escrita de los activos acordados, observaciones clasificadas por severidad y, cuando se incluyan en el alcance confirmado, observaciones sobre brechas de preparación frente a una referencia acordada. Sirve de apoyo a las decisiones internas y al diálogo con las partes interesadas, con una visión documentada de la preparación que puede presentar a organismos de certificación y asesores legales. En cuanto a la gestión de incidentes, ensaye el calendario de notificación con un ejercicio de simulación (tabletop) para que la alerta temprana de 24 horas sea realista y no teórica. Revise la hoja de ruta a medida que evolucionen las directrices nacionales.

Security Baseline Review

Preguntas frecuentes

Artículos relacionados