NIS2 e ISO 27001: reutilice los controles y examine las carencias

Un programa ISO 27001 puede proporcionar una estructura operativa sólida para NIS2: evaluación de riesgos, responsables, controles, evidencias y mejora. El siguiente paso es una evaluación, requisito por requisito, de lo que esa estructura cubre realmente.

Para un CTO, la pregunta útil no es si los marcos se solapan. Es si un control implantado protege el servicio pertinente, satisface la obligación aplicable y produce evidencias que respaldan esa conclusión. Reutilice la implantación cuando se cumplan esas condiciones; preserve las diferencias legales y operativas cuando no se cumplan.

Entienda lo que establece cada marco

ISO/IEC 27001 especifica los requisitos de un sistema de gestión de la seguridad de la información con un alcance definido, o SGSI. Las cláusulas 4 a 10 abordan su estructura de gestión, incluidos el tratamiento de riesgos, la evaluación del desempeño y la mejora. El anexo A contiene 93 controles de referencia repartidos en las categorías organizativa, de personas, física y tecnológica. La aplicabilidad de los controles se basa en el riesgo; no es un requisito de implantar todos los controles de forma idéntica. ISO 27002 ofrece orientación para la implantación.

NIS2 es una directiva de la UE que se aplica a través de la legislación nacional. La aplicabilidad depende del sector, el tamaño, el servicio y reglas de inclusión específicas. Los anexos I y II identifican los sectores pertinentes, pero el sector por sí solo no determina si una organización es una entidad esencial o importante. Algunas entidades están incluidas con independencia de su tamaño.

Las diferencias prácticas son:

La certificación la realizan organismos de certificación independientes, no ISO. No acredita el cumplimiento de NIS2, y NIS2 no exige con carácter general la certificación ISO 27001. La aplicación de NIS2 puede incluir medidas de supervisión y sanciones; la certificación ISO tiene una finalidad de aseguramiento distinta.

Empiece por hacer coincidir los límites

Compare el alcance del SGSI certificado con las entidades jurídicas y los servicios sujetos a NIS2. Un certificado que cubre un equipo de desarrollo puede dejar fuera de su límite las operaciones de producción, otra filial o ubicaciones adicionales.

Cree una comparación de alcances que registre:

• Las entidades jurídicas, países y servicios incluidos, y el fundamento de su inclusión.
• Los sistemas, redes, ubicaciones y proveedores de apoyo pertinentes.
• El alcance del SGSI, el alcance del certificado y las exclusiones.
• Los requisitos nacionales, las normas sectoriales y las autoridades responsables aplicables, incluidas las obligaciones de registro aplicables, la información exigida sobre la entidad, los canales de presentación y las obligaciones de actualización.
• Quién aprobó la evaluación de aplicabilidad y cuándo debe revisarse.

Distinga una carencia de alcance de una carencia de control. Un entorno de producción fuera del SGSI puede tener ya buenos controles de acceso, pero esos controles siguen necesitando un responsable, una evaluación y evidencias dentro de la línea de trabajo de NIS2.

Compruebe la legislación sectorial antes de duplicar obligaciones. El artículo 4 aborda la relación con los actos jurídicos sectoriales de la Unión. En el caso de las entidades financieras, la relación con DORA requiere un análisis específico según el rol. Para las operaciones en Alemania, consulte la información del BSI sobre NIS2 en lugar de suponer que las obligaciones KRITIS existentes y las de NIS2 son idénticas.

Establezca correspondencias con controles implantados, no con etiquetas coincidentes

El artículo 21 exige medidas técnicas, operativas y organizativas adecuadas y proporcionadas. Sus diez ámbitos de medidas mínimas son un punto de partida para las correspondencias, pero una redacción similar es una pista útil, no una prueba de equivalencia.

Utilice lo siguiente como guía para la revisión, no como declaraciones automáticas de cobertura:

La Declaración de Aplicabilidad registra los controles necesarios y el razonamiento de su inclusión o exclusión. No es intercambiable con el plan de tratamiento de riesgos, los hallazgos de la auditoría interna ni los registros de la revisión por la dirección. Utilice esos artefactos conjuntamente para explicar tanto el diseño como el funcionamiento.

Una política establece expectativas. Una exportación de configuración puede mostrar la implantación. Los resultados de las revisiones de accesos, los tickets de corrección y los registros de pruebas pueden mostrar el funcionamiento. Reutilice las evidencias solo cuando coincidan el sistema, el periodo y el objetivo de la evaluación.

Evite los porcentajes fijos de solapamiento. La cobertura depende de la implantación y del ámbito legal; una cifra universal no puede acreditar que se esté preparado.

Construya una ruta de notificación de incidentes que funcione bajo presión

Un plan de respuesta alineado con ISO puede respaldar la detección, la contención, la investigación y la recuperación sin definir la notificación regulatoria. El artículo 23 de NIS2 añade obligaciones de notificación para los incidentes significativos.

Las fases de notificación de la directiva incluyen, por lo general:

• Una alerta temprana sin dilación indebida y en un plazo de 24 horas desde que se tiene conocimiento de un incidente significativo.
• Una notificación del incidente sin dilación indebida y en un plazo de 72 horas, que actualiza la alerta temprana y aporta una evaluación inicial.
• Un informe final, por lo general, en el plazo de un mes desde la presentación de la notificación del incidente. Si el incidente sigue en curso, en ese momento se exige un informe de situación, y el informe final debe presentarse en el plazo de un mes desde la gestión del incidente.

También debe facilitarse un informe intermedio si lo solicita el CSIRT o la autoridad competente.

Compruebe las normas nacionales y sectoriales aplicables: la directiva prevé un plazo de notificación distinto para los prestadores de servicios de confianza. No utilice un umbral genérico de interrupción como sustituto de los criterios de importancia aplicables.

Como recomendación práctica de implantación, cree un manual de notificación que especifique el responsable de la evaluación, la vía de escalado, la persona autorizada para presentar la notificación, el personal suplente, el canal de la autoridad y la información necesaria en cada fase. Registre por separado las marcas de tiempo de detección, conocimiento, evaluación de la importancia y presentación.

Practique el proceso con información incompleta. El equipo debe poder presentar el informe inicial exigido sin esperar a que termine una investigación forense. Conserve las versiones presentadas, los acuses de recibo, los hechos de apoyo y las decisiones sobre si un incidente alcanza el umbral.

Cuando también se aplique otro régimen de notificación, coordine la investigación pero evalúe por separado cada obligación de notificación. Un registro de incidente compartido no hace idénticos los destinatarios, los desencadenantes ni los plazos.

Haga demostrables la gobernanza y la resiliencia

El artículo 20 exige que los órganos de dirección aprueben las medidas para la gestión de riesgos de ciberseguridad y supervisen su aplicación. También aborda la formación de los miembros de los órganos de dirección. Una revisión por la dirección existente es una evidencia útil, pero compruebe si registra de forma explícita las aprobaciones, la supervisión, las decisiones y el seguimiento pertinentes.

Ofrezca a la dirección una visión lista para decidir: servicios afectados, riesgos significativos, opciones de tratamiento, excepciones sin resolver y resultados de eficacia. Unas actas que se limitan a indicar «se habló de seguridad» aportan pocas evidencias de una supervisión real. Asigne a cada acción aprobada un responsable y una fecha de revisión.

La continuidad necesita un tratamiento igual de concreto. El artículo 21 incluye las copias de seguridad, la recuperación en caso de catástrofe y la gestión de crisis; no impone un requisito universal de certificación ISO 22301. Determine la profundidad necesaria a partir del servicio, los riesgos y las normas aplicables.

Pruebe la restauración y la recuperación del servicio, no solo la finalización de las tareas de copia de seguridad. Incluya dependencias como los servicios de identidad, el DNS, el soporte de los proveedores, las credenciales privilegiadas y las comunicaciones cuando el entorno habitual no esté disponible. Registre los resultados de recuperación alcanzados y los bloqueos sin resolver frente a los objetivos acordados.

Mantenga un registro de diferencias visible

Para cada requisito, registre su fuente y versión, los controles correspondientes, el alcance, las referencias a las evidencias, el revisor y la justificación de la reutilización. Distinga entre cobertura respaldada, cobertura parcial, implantación ausente, evidencias ausentes y una decisión razonada de no aplicabilidad. La ausencia de un documento no siempre significa la ausencia de un control, pero sí exige una investigación.

Cada carencia necesita un responsable, el cambio necesario, las evidencias esperadas, una fecha límite y un revisor del cierre. Priorice los fallos que amenazan los servicios o impiden notificaciones urgentes en lugar de tratar todas las tareas de documentación como igual de urgentes.

Entre los errores habituales están establecer correspondencias solo con el anexo A pasando por alto los requisitos de gobernanza, aceptar el certificado de un proveedor sin comprobar su alcance, tratar las evidencias del año anterior como actuales y cerrar una tarea cuando se publica una política pero el proceso sigue sin probarse. El registro o la certificación nunca deben tratarse como prueba de implantación operativa.

Ejemplo práctico: ampliar un SGSI existente

Supuestos ilustrativos: un proveedor de servicios gestionados tiene un SGSI certificado conforme a ISO 27001 que cubre su equipo operativo principal. Su evaluación de aplicabilidad concluye que un servicio prestado a través de una entidad jurídica adicional está sujeto a NIS2. Esa entidad utiliza la misma plataforma de identidad y el mismo equipo de incidentes, pero tiene mecanismos de recuperación separados.

El equipo compara primero los límites de los servicios. Las configuraciones de autenticación existentes pueden servir para ambos alcances, pero el revisor comprueba si están incluidos los administradores, las cuentas de emergencia y las cuentas de servicio de la entidad adicional. Una exportación de la revisión de accesos que solo cubre el equipo original no puede demostrar una cobertura completa.

A continuación, el responsable de incidentes mantiene el procedimiento de respuesta establecido y añade una evaluación de incidentes significativos y una ruta de notificación a la autoridad. Un ejercicio de simulación de mesa reproduce una caída de un proveedor con un impacto incierto en los clientes. Los participantes registran cuándo tuvieron conocimiento de los hechos pertinentes, quién decidió sobre la importancia y cómo se presentaría una alerta temprana.

Por último, el responsable de infraestructura lleva a cabo un ejercicio de recuperación del servicio de la entidad adicional. La prueba revela que las credenciales de recuperación dependen de la plataforma de identidad que no está disponible. El registro de carencias asigna una acción correctiva y exige una nueva prueba satisfactoria antes del cierre.

Los entregables resultantes son una comparación de alcances, correspondencias revisadas, evidencias ampliadas de revisión de accesos, registros del ejercicio de notificación, resultados de recuperación y la aprobación por la dirección de las acciones de tratamiento pendientes. Los controles compartidos siguen siendo compartidos; las evidencias y decisiones específicas de la entidad siguen siendo visibles.

Convierta la evaluación en trabajo mantenido

El modelo de requisitos y evidencias conectados de Secani proporciona a los equipos una estructura para preservar el trabajo compartido y las decisiones específicas de cada marco. Modele los servicios y las dependencias, vincule las evidencias existentes a los controles pertinentes y convierta la cobertura que falta en tareas con responsable. Mantenga explícita la aprobación humana de las correspondencias y de las conclusiones sobre evidencias, incluidas las sugerencias asistidas por IA. Nuestra guía sobre correspondencias trazables entre marcos explica cómo conservar la justificación de la reutilización.

Empiece con un servicio regulado. Lleve su alcance, el tratamiento de riesgos, la Declaración de Aplicabilidad, el manual de incidentes y las evidencias de pruebas recientes a una revisión conjunta técnica y de cumplimiento. Elabore un registro de diferencias revisado y utilice después los ciclos de revisión habituales del SGSI para mantenerlo a medida que cambien los servicios, los proveedores y los requisitos.