Preparación para NIS2: ámbito, obligaciones de la dirección y evidencias

La preparación para NIS2 empieza con una decisión documentada sobre la aplicabilidad. El sector, el servicio, el tamaño, el establecimiento y las reglas especiales de inclusión pueden ser determinantes. El cuestionario de un cliente aporta contexto útil, pero no determina su situación jurídica. Tampoco un certificado de seguridad demuestra que se hayan abordado todas las entidades, servicios y obligaciones de notificación pertinentes.

Para un CEO, estar preparado significa poder explicar qué ha aprobado la dirección, por qué las medidas son adecuadas, quién las aplicará y cómo se evaluará su eficacia. También significa asegurarse de que la organización puede notificar un incidente significativo cuando la información todavía es incompleta y las operaciones normales están alteradas.

La tarea práctica consiste en conectar el ámbito jurídico, los riesgos de los servicios, las prioridades de ejecución y las evidencias revisadas. Esa conexión da a la dirección una base para decidir sobre inversiones, interrupciones operativas, proveedores y exposición no resuelta.

Determine qué entidades y servicios están cubiertos

La Directiva NIS2 establece un nivel mínimo común de ciberseguridad en la UE para determinadas actividades. Los artículos 2 y 3, junto con los anexos, fijan su ámbito de aplicación y su estructura de clasificación. La legislación nacional de transposición aporta las obligaciones y los procedimientos locales aplicables.

Evalúe cada entidad jurídica pertinente en lugar de tratar el nombre del grupo como el perímetro regulatorio. Las actividades de una filial, las relaciones de propiedad y los lugares de establecimiento pueden cambiar la respuesta. La dirección debe exigir una conclusión registrada, los hechos que la sustentan y un responsable para las cuestiones pendientes.

Relacione las actividades con los tipos de entidad enumerados

El anexo I incluye sectores como la energía, el transporte, la sanidad, el agua, los servicios financieros, la infraestructura digital, la gestión de servicios de TIC, la administración pública y el espacio. El anexo II amplía la cobertura a ámbitos como los servicios postales, la gestión de residuos, los productos químicos, la alimentación, determinadas actividades de fabricación, los proveedores digitales y la investigación.

El encabezado del sector es solo el punto de partida. Lea los tipos de entidad y las actividades dentro de la entrada correspondiente. La fabricación no es una categoría de inclusión universal, y vender software no convierte automáticamente a una empresa en proveedor de servicios en la nube o en proveedor de servicios gestionados.

Describa lo que la entidad presta realmente: el servicio, sus destinatarios, cómo funciona y si administra sistemas de clientes. Los códigos de actividad del registro mercantil y las descripciones del sitio web pueden respaldar ese análisis, pero no deben sustituirlo.

Por ejemplo, vender una aplicación con licencia y operar los sistemas de información de un cliente son actividades distintas. Una empresa que se presenta como consultora puede, no obstante, prestar una administración continuada que exija evaluarla frente a las definiciones de servicios gestionados. Resuelva estas cuestiones antes de diseñar el perímetro de cumplimiento.

Calcule el tamaño con las reglas aplicables

El artículo 2 utiliza la definición de tamaño de empresa de la UE. Como criterio inicial de cribado, el umbral general de inclusión es de 50 empleados o más, o bien un volumen de negocios y un balance general que superen ambos los 10 millones de euros. A grandes rasgos, superar los límites de mediana empresa implica al menos 250 empleados, o un volumen de negocios superior a 50 millones de euros junto con un balance general superior a 43 millones de euros.

Estas cifras no sustituyen el cálculo completo. Los ejercicios contables pertinentes, la metodología de cómputo de plantilla y las empresas asociadas o vinculadas pueden afectar al resultado. Una filial pequeña a escala local puede superar un umbral cuando se tienen en cuenta las relaciones de propiedad correspondientes.

Conserve el cálculo, las cifras de base y el razonamiento sobre las relaciones del grupo. Evite registrar únicamente «mediana empresa» sin explicar cómo se llegó a esa conclusión. El volumen de negocios por sí solo no es la alternativa financiera completa a la plantilla.

Cuando el tamaño esté cerca de un umbral o la estructura de propiedad sea compleja, encargue una evaluación jurídica específica. El coste de resolver esa incertidumbre debe considerarse parte de la definición de los requisitos operativos, no algo que se aplaza hasta que una autoridad o un cliente cuestione la conclusión.

Examine las reglas especiales de inclusión y clasificación

Algunas categorías de servicios pueden quedar incluidas con independencia de su tamaño. El artículo 2 contempla determinadas actividades de comunicaciones, servicios de confianza, DNS y dominios de primer nivel, ciertos organismos de la administración pública y las entidades identificadas como críticas con arreglo al marco de la UE correspondiente. La identificación nacional también puede incluir entidades en el ámbito por su importancia para la sociedad o por las consecuencias de una interrupción.

A continuación, el artículo 3 determina si una entidad cubierta es esencial o importante. Las grandes entidades del anexo I forman una categoría relevante de entidades esenciales, pero el artículo contiene reglas adicionales específicas de determinados servicios y de designación. Una empresa mediana del anexo I no es automáticamente esencial; los anexos no son simplemente dos listas de niveles de supervisión.

Ambas clasificaciones conllevan las obligaciones básicas de gestión de riesgos de ciberseguridad y de notificación de incidentes significativos. La condición de entidad importante cambia el modelo de supervisión; no elimina la necesidad de medidas eficaces.

La cobertura jurídica directa y los requisitos de los clientes deben registrarse por separado. Un proveedor más pequeño puede quedar fuera del ámbito directo y, aun así, afrontar obligaciones contractuales de seguridad considerables. A la inversa, un cuestionario de cliente que diga «NIS2 aplica» no es una decisión de clasificación vinculante.

Un registro de ámbito defendible debe contener:

• La entidad jurídica y sus servicios reales.
• Las entradas de los anexos pertinentes o los motivos especiales de inclusión.
• El cálculo del tamaño y las relaciones de propiedad pertinentes.
• La clasificación como esencial o importante, con su motivación.
• Los lugares de establecimiento y el análisis de jurisdicción.
• Las normas nacionales aplicables, el revisor, la fecha de aprobación y las cuestiones abiertas.

Entre los desencadenantes de una nueva evaluación deben figurar las adquisiciones, los nuevos servicios, los cambios significativos de tamaño y las novedades legislativas. Una decisión de exclusión puede ser correcta cuando se adopta y quedar desfasada más adelante.

Traslade el nivel mínimo de la UE a obligaciones nacionales

NIS2 es una directiva que se aplica a través del Derecho nacional. Los Estados miembros tenían como plazo de transposición el 17 de octubre de 2024, y las medidas de transposición debían aplicarse a partir del 18 de octubre de 2024. Esas fechas no indican a una empresa concreta cuál es su plazo nacional de registro vigente ni el procedimiento que debe seguir.

Cree un registro de obligaciones para cada entidad y país pertinentes. Identifique la legislación aplicable, la autoridad, el proceso de registro, el canal de notificación, las disposiciones sectoriales y el responsable interno. Distinga entre un requisito legal, una guía de la autoridad y una recomendación interna de implantación.

Determine la jurisdicción antes de elegir un canal de notificación

El artículo 26 vincula, por lo general, la jurisdicción al establecimiento, pero determinados servicios siguen reglas distintas. Los proveedores de comunicaciones electrónicas públicas están sujetos a la regulación del lugar donde prestan los servicios correspondientes. Determinados proveedores digitales aplican el criterio del establecimiento principal, entre ellos los servicios en la nube, los centros de datos, las redes de distribución de contenidos, los servicios gestionados, los servicios de seguridad gestionados y ciertos negocios de plataformas en línea y relacionados con dominios.

Para esa evaluación del establecimiento principal, examine dónde se adoptan de forma predominante en la Unión las decisiones relativas a la gestión de riesgos de ciberseguridad. Si ese lugar no puede determinarse o esas decisiones no se adoptan en la Unión, evalúe dónde se llevan a cabo en la Unión las operaciones de ciberseguridad; si tampoco puede determinarse, utilice el establecimiento de la Unión con mayor número de empleados. Por tanto, el domicilio social de una sociedad holding puede no ser suficiente.

Determinados proveedores que ofrecen servicios en la Unión sin un establecimiento en ella deben designar un representante en la UE. Una sede en el extranjero no supone una exención automática, pero tener clientes europeos tampoco incluye automáticamente en el ámbito a cualquier empresa de fuera de la UE. El tipo de servicio y las demás condiciones de aplicabilidad siguen siendo relevantes.

Registre las obligaciones de registro y de información sobre la entidad por separado del programa de seguridad. Conserve los justificantes de presentación, los datos de contacto actualizados y la responsabilidad de mantenerlos al día. Si el registro está pendiente fuera de plazo, confirme el proceso vigente de la autoridad y actúe con rapidez. Completar el registro no demuestra la aplicación de las medidas de seguridad.

Mantenga separadas las obligaciones KRITIS y las sectoriales

En las operaciones en Alemania, compruebe los requisitos KRITIS junto con las normas de transposición de NIS2 aplicables. Ambos regímenes se solapan, pero no son idénticos. Estar cubierto por NIS2 no convierte automáticamente cada instalación en una instalación crítica, y un programa KRITIS consolidado no cumple automáticamente todas las obligaciones de NIS2.

Mantenga registros separados para la clasificación de la entidad, las instalaciones críticas y las obligaciones adicionales. Consulte la información del BSI sobre NIS2 para conocer el proceso nacional vigente en lugar de basarse en anuncios antiguos de plazos.

El artículo 4 también aborda los requisitos sectoriales equivalentes de la UE. Para las entidades financieras cubiertas, DORA puede regir los ámbitos correspondientes. Determine qué obligaciones se aplican a cada entidad y servicio concretos en lugar de mantener por defecto vías de notificación duplicadas.

Elabore un plan del que la dirección sea responsable

El artículo 20 atribuye la aprobación y la supervisión de la aplicación a los órganos de dirección de las entidades esenciales e importantes. También prevé la responsabilidad por las infracciones del artículo 21; las consecuencias jurídicas dependen del Derecho nacional y de la forma jurídica de la entidad.

La ejecución puede delegarse en los equipos de seguridad, TI, operaciones, compras y otros. La delegación debe preservar una supervisión visible por parte de la dirección. El papel del CEO no es configurar sistemas, sino asegurarse de que los riesgos significativos para los servicios reciben decisiones informadas, recursos y seguimiento.

Apruebe decisiones, no solo documentos

Un paquete de aprobación debe conectar la evaluación de riesgos con un plan ejecutable. Incluya los servicios cubiertos, los principales escenarios de interrupción, las medidas propuestas, las alternativas, las dependencias de ejecución, las necesidades de personal, los hitos y las evidencias esperadas.

Para cada obligación, registre la implantación, el responsable, las evidencias, la brecha y la siguiente decisión. Así es posible distinguir una intención aprobada de una capacidad ya implantada. También pone de manifiesto las medidas que no tienen un responsable o que dependen de recursos que nunca se asignaron.

Las actas de la dirección deben explicar la decisión y su fundamento. Por ejemplo, la aprobación de una inversión en recuperación debe recoger qué interrupción del servicio aborda, el resultado de recuperación esperado y las limitaciones operativas. Una firma en una política no explica si la dirección tuvo en cuenta el problema de implantación que hay detrás.

Los debates presupuestarios deben incluir la capacidad interna y la interrupción de la actividad, no solo el gasto en software. Un cambio de red puede requerir una parada de producción; la revisión de un proveedor puede exigir una negociación jurídica; una prueba de restauración puede necesitar un entorno aislado y personal de operaciones.

La aceptación de riesgos merece especial atención. Puede documentar una decisión de tratamiento dentro de un proceso de gestión de riesgos, pero no puede eximir de un requisito legal. Cuando una excepción pueda entrar en conflicto con una obligación, obtenga una interpretación jurídica, identifique medidas de protección provisionales y mantenga visible la cuestión pendiente.

Separe el avance de la ejecución de la eficacia de los controles

Un proyecto puede terminar de desplegar una medida sin lograr la protección prevista. Los informes a la dirección deben responder tanto a si el trabajo aprobado está terminado como a si funciona en todo el perímetro del servicio correspondiente.

Establezca una frecuencia de revisión proporcionada al programa. Las revisiones trimestrales por la dirección pueden ser prácticas en una operación estable, con revisiones más frecuentes durante la implantación. Se trata de una recomendación, no de una frecuencia universal prescrita por el artículo 20.

Defina el escalado entre reuniones. Una prueba de recuperación fallida, una cuenta privilegiada comprometida o una dependencia crítica recién identificada no deben esperar a la siguiente presentación programada.

Haga que la formación directiva sirva para tomar decisiones

El artículo 20 exige que los miembros de los órganos de dirección reciban una formación suficiente que les ayude a detectar riesgos, evaluar las prácticas de gestión de riesgos y comprender las consecuencias para los servicios. No fija una duración universal del curso ni un intervalo de renovación.

La formación debe abarcar la significatividad de los incidentes, las disyuntivas de la recuperación, la concentración de proveedores, las limitaciones de las evidencias y la toma de decisiones en condiciones de incertidumbre. Incluya un escenario que obligue a los directivos a autorizar una notificación, restringir operaciones o financiar un tratamiento urgente.

Conserve las fechas, los participantes, los contenidos y las acciones de seguimiento. La formación de los empleados también se aborda en el artículo 21, pero las sesiones de concienciación del personal no sustituyen la formación propia de la dirección. Los directivos deben poder cuestionar las afirmaciones de aseguramiento sin necesidad de convertirse en especialistas técnicos.

Convierta el artículo 21 en medidas a nivel de servicio

El artículo 21 exige una protección técnica, operativa y organizativa proporcionada. Su evaluación de la proporcionalidad tiene en cuenta la exposición, el tamaño de la organización, el coste de aplicación y la probabilidad y gravedad de los incidentes, incluidos sus efectos sociales y económicos más amplios.

El enfoque exigido abarca peligros que van más allá de la actividad cibernética maliciosa. Un corte de suministro eléctrico, una inundación, una intrusión física, la indisponibilidad de personal o la interrupción de las telecomunicaciones pueden amenazar el mismo servicio.

Los siguientes ejemplos de implantación son recomendaciones prácticas. Explican los diez ámbitos temáticos sin prescribir un diseño técnico idéntico para todas las entidades. Determinados servicios digitales también están sujetos a actos de ejecución de la UE más detallados; compruebe su aplicabilidad antes de confiar únicamente en una lista de comprobación de alto nivel.

Análisis de riesgos y políticas de seguridad de los sistemas

Empiece por el servicio: qué debe seguir funcionando, quién depende de él y qué supondría una interrupción. Identifique los sistemas, instalaciones, personas y proveedores externos que lo sustentan antes de asignar valoraciones de riesgo.

Utilice criterios de impacto que distingan las pérdidas económicas de la seguridad de las personas, los daños a los destinatarios del servicio y las perturbaciones más amplias. Registre los escenarios, la protección existente, los tratamientos propuestos, la exposición residual y los desencadenantes de reevaluación. Una lista genérica de ciberamenazas es menos útil que una explicación de cómo una dependencia concreta puede interrumpir el servicio.

El resultado es una evaluación de riesgos que respalda decisiones, con políticas que describen cómo esas decisiones se convierten en requisitos operativos.

Gestión de incidentes

Defina la detección, la clasificación inicial, el escalado, la contención, la investigación, la coordinación de la recuperación y el cierre. Designe un coordinador y sus suplentes, y proporcione a quienes intervienen procedimientos utilizables para los incidentes probables.

La gravedad operativa y la significatividad a efectos legales están relacionadas, pero son distintas. Un incidente técnico urgente puede requerir contención antes de que se resuelva si es legalmente notificable. El proceso debe dar soporte a ambas actividades sin que una bloquee la otra.

Conserve las cronologías de los incidentes, las decisiones, las evidencias pertinentes y las acciones correctivas. Revise si se completaron las mejoras acordadas; un documento de lecciones aprendidas sin seguimiento aporta un aseguramiento débil.

Continuidad, copias de seguridad, recuperación y gestión de crisis

Utilice el análisis de impacto en el negocio para identificar las actividades esenciales y la interrupción aceptable. Acuerde con los responsables de los servicios los objetivos de tiempo de recuperación y de punto de recuperación. Los primeros se refieren al tiempo de restauración; los segundos, a la pérdida de datos tolerable.

Los registros de copias de seguridad completadas son útiles, pero no demuestran que un servicio pueda recuperarse. Pruebe la restauración, las identidades de soporte, las claves, las interfaces y la utilidad de los datos. Compruebe si los sistemas recuperados pueden dar soporte al flujo de trabajo real del negocio.

Los mecanismos de crisis deben abordar las decisiones operativas y la comunicación, además de la recuperación técnica. Registre los resultados de las pruebas, los objetivos no alcanzados, las acciones y las decisiones de la dirección sobre la exposición restante.

Relaciones con proveedores

Identifique a los proveedores directos cuyo fallo o compromiso podría afectar de forma significativa al servicio. Tenga en cuenta el acceso administrativo, la información sensible, las dependencias de software y la disponibilidad.

Evalúe la relevancia para la seguridad de la relación real, incluidas las vulnerabilidades específicas del proveedor y sus prácticas de producto o de desarrollo. Vincule los hallazgos con los controles de acceso, los acuerdos contractuales, los planes de contingencia y los desencadenantes de revisión.

El certificado de un proveedor puede respaldar la evaluación. No cubre automáticamente el servicio que usted ha contratado, su configuración ni sus responsabilidades de integración.

Adquisición, desarrollo, mantenimiento y vulnerabilidades

Establezca criterios de aceptación de seguridad para las compras y los nuevos sistemas. Defina las responsabilidades en materia de desarrollo seguro, configuración, cambios, mantenimiento, actualizaciones y gestión de las notificaciones de vulnerabilidades recibidas.

Haga el seguimiento de las vulnerabilidades significativas a lo largo de la evaluación, el tratamiento, la gestión de excepciones y la verificación. Las prioridades de corrección deben reflejar el potencial de explotación y las consecuencias para el servicio, no solo una puntuación numérica de gravedad.

La tecnología operativa puede requerir la validación del fabricante y paradas planificadas antes de aplicar parches. Documente las salvaguardas provisionales y el calendario de tratamiento. «No se puede parchear» es una restricción que hay que gestionar, no una decisión de riesgo completa.

Evaluación de la eficacia

Para las medidas importantes, defina la pregunta que debe responder la prueba. Una revisión de accesos comprueba la autorización; un ejercicio de restauración comprueba la recuperación; una simulación de incidentes comprueba la coordinación y la toma de decisiones.

Registre el alcance probado, el resultado esperado, el método, el revisor, los hallazgos y la respuesta ante un fallo. Recurra a un aseguramiento independiente cuando aporte valor o lo exijan las normas aplicables.

El artículo 21 exige evaluar la eficacia, pero no impone una única frecuencia de pruebas de penetración a todas las organizaciones cubiertas. Las pruebas deben ajustarse a la necesidad de aseguramiento y a los requisitos detallados que resulten pertinentes.

Ciberhigiene y formación del personal

Dé al personal instrucciones prácticas para notificar actividades sospechosas, proteger las credenciales, tratar la información y trabajar de forma segura. Añada contenidos específicos para desarrolladores, administradores, personal de compras y equipos de respuesta.

La asistencia a la formación demuestra participación, no necesariamente la capacidad de actuar. Los ejercicios y la observación del desempeño pueden revelar instrucciones poco claras o vías de escalado débiles.

Utilice los hallazgos para mejorar los procedimientos. Si los empleados notifican correctamente los mensajes sospechosos pero el equipo receptor responde con lentitud, repetir el mismo curso de concienciación no resolverá el problema de fondo.

Criptografía

Defina qué información y qué flujos de trabajo necesitan protección criptográfica, incluidos los datos pertinentes en tránsito y en reposo. Identifique la responsabilidad sobre las claves y los certificados, su renovación, su revocación, el acceso y la recuperación.

Las evidencias deben incluir las decisiones de configuración y los mecanismos de gestión de claves, no solo la afirmación de que existe cifrado. La protección puede fallar si las copias de seguridad cifradas dependen de claves no disponibles o si el acceso a las claves no está debidamente restringido.

Mantenga excepciones justificadas y revíselas cuando cambien los sistemas o los riesgos. Evite considerar suficiente una afirmación general como «todo está cifrado».

Personas, accesos y activos

Vincule las contrataciones, los cambios de función y las salidas con las decisiones de acceso. Identifique a los responsables de negocio, los administradores, las cuentas externas, las identidades de servicio y los activos pertinentes.

Revise los accesos privilegiados y retire los permisos que ya no estén justificados. Incluya en la evaluación las cuentas compartidas o no humanas, en lugar de limitarla a las listas de usuarios empleados.

Las evidencias pueden incluir solicitudes aprobadas, una muestra de registros de bajas, revisiones de accesos completadas y excepciones resueltas. Un inventario de activos debe explicar la titularidad y la dependencia de los servicios, no limitarse a contar dispositivos.

Autenticación y comunicaciones seguras

El artículo 21 aborda la autenticación reforzada y las comunicaciones protegidas, incluidos los mecanismos de emergencia, con una salvedad de adecuación.

Como prioridad práctica, examine el acceso privilegiado y remoto a los servicios críticos. Identifique las limitaciones de los sistemas heredados y evalúe alternativas de protección en lugar de suponer que todos los sistemas admiten el mismo mecanismo.

Pruebe también la comunicación de crisis cuando el correo electrónico habitual, las herramientas de colaboración o los servicios de identidad no estén disponibles. Un procedimiento de emergencia que dependa por completo de la plataforma caída puede resultar inutilizable precisamente cuando se necesita.

Haga explícitas las decisiones sobre proveedores críticos

La seguridad de la cadena de suministro se convierte a menudo en un asunto de la dirección porque compras no puede eliminar todas las dependencias mediante un cuestionario. Empiece por la consecuencia del fallo: ¿puede este proveedor interrumpir la prestación, introducir cambios no autorizados, exponer información o impedir la recuperación?

Para los proveedores directos críticos, registre el servicio al que dan soporte, el acceso concedido, el responsable de la evaluación, el aseguramiento revisado, los hallazgos pendientes y las decisiones de tratamiento. Compruebe el alcance y el periodo de los documentos de aseguramiento. Un informe que cubre otro servicio o un modelo operativo anterior puede no responder a la pregunta actual.

La negociación contractual debe abordar los riesgos de la relación. Entre los temas prácticos figuran las responsabilidades de seguridad, la comunicación de incidentes, la cooperación en las investigaciones, la gestión de vulnerabilidades, las restricciones de acceso, la disponibilidad de evidencias, la continuidad y el apoyo en la salida. Son temas de negociación recomendados, no cláusulas legales idénticas para todos los contratos.

Los mecanismos de notificación de los proveedores deben ser compatibles con su calendario de notificación. Confirme los contactos operativos y sus suplentes; el buzón de un gestor de cuenta en horario comercial ordinario puede ser insuficiente ante un incidente grave.

El artículo 21 se refiere específicamente a las relaciones directas. Las dependencias anteriores en la cadena pueden seguir siendo relevantes cuando generan riesgo de concentración o comprometen la recuperación. Investigue en mayor profundidad cuando ello cambie la decisión, en lugar de intentar un inventario ilimitado de los proveedores de cada proveedor.

Si el aseguramiento sigue siendo insuficiente, la dirección puede restringir el acceso, añadir monitorización, negociar mejoras, introducir alternativas, rediseñar la dependencia o sustituir al proveedor. Registre la justificación y las medidas provisionales. Externalizar la prestación del servicio no elimina la responsabilidad sobre el propio programa de gestión de riesgos de la entidad.

Ensaye la notificación de incidentes significativos

El artículo 23 establece la notificación de los incidentes significativos. Un incidente es significativo si ha causado o puede causar una perturbación operativa grave de los servicios o pérdidas económicas para la entidad, o perjuicios considerables, materiales o inmateriales, a otras personas físicas o jurídicas. Confirme las reglas nacionales y sectoriales de significatividad aplicables antes de diseñar el proceso de decisión.

El plazo se cuenta desde que se tiene conocimiento de un incidente significativo, no desde que concluye el análisis forense. Registre cuándo se dispuso de la información pertinente, la evaluación de significatividad y quién adoptó la decisión. No fabrique un momento de conocimiento posterior retrasando el escalado interno.

Los prestadores de servicios de confianza tienen una disposición específica de notificación en 24 horas para los incidentes significativos que afecten a sus servicios de confianza. Tanto las entidades esenciales como las importantes tienen obligaciones de notificación por fases; la clasificación como importante no elimina la alerta temprana.

Diseñe la autoridad y el acceso para su uso fuera del horario laboral

Designe a la persona que dirige la evaluación, a quien está autorizado a presentar la notificación, a un suplente, un contacto jurídico y la vía de escalado a la dirección. Acuerde cómo se aprobará la información provisional. La dirección necesita visibilidad sin convertirse en un cuello de botella ineludible para cada notificación.

Prepare plantillas que separen los hechos confirmados, las evaluaciones preliminares, las incógnitas y las actualizaciones previstas. Evite atribuciones sin fundamento o promesas de recuperación. Una notificación temprana debe ser precisa sobre la incertidumbre en lugar de artificialmente completa.

Pruebe el acceso al canal de notificación, las credenciales, la información de contacto y los mecanismos alternativos. Si la persona que presenta la notificación depende de un servicio de identidad corporativo comprometido, el proceso necesita una alternativa.

Ensaye un escenario por la noche o en fin de semana. Mida el tiempo necesario para reconocer la posible significatividad, reunir a las personas necesarias, preparar la alerta, autorizarla y llegar al canal. Mantenga esta actividad conectada con la contención y la recuperación, y asigne suficientes personas para evitar que la notificación absorba a todo el equipo de respuesta.

El artículo 23 también aborda la comunicación a los destinatarios del servicio cuando proceda. Los contratos y otras leyes pueden generar notificaciones adicionales. Una violación de la seguridad de los datos personales requiere su propia evaluación conforme al RGPD; una notificación con arreglo a NIS2 no la satisface automáticamente. Coordine los hechos, pero mantenga separadas las decisiones y los plazos.

Mantenga evidencias que expliquen qué funciona realmente

Las políticas, las certificaciones, los acuerdos con proveedores y los justificantes de registro pueden respaldar la preparación. Aun así, las evidencias deben mostrar qué funciona dentro del ámbito aplicable.

Distinga entre diseño, implantación y funcionamiento. Una política de accesos describe el comportamiento previsto. Las evidencias de configuración muestran el despliegue. Una revisión de accesos completada que muestra permisos retirados y excepciones resueltas demuestra el funcionamiento. Estos registros responden a preguntas distintas y no deben tratarse como intercambiables.

Para cada evidencia, conserve su origen, alcance, fecha o periodo, responsable, revisor, conclusión y limitaciones. Una prueba de restauración satisfactoria de una aplicación no demuestra la recuperación de todo el entorno. Una captura de pantalla puede mostrar una configuración en un momento dado, no un funcionamiento sostenido.

Proteja las evidencias sensibles. Los registros de incidentes, los diagramas de arquitectura y las exportaciones de accesos pueden exponer información operativa o personal. Establezca mecanismos adecuados de acceso, conservación y compartición externa.

Las brechas de evidencia deben convertirse en tareas. «Sin pruebas recientes», «alcance del proveedor poco claro» y «el responsable no ha revisado la exportación» son problemas distintos que requieren acciones distintas. Un recuento de documentos no los pone de manifiesto.

Reutilice el trabajo ya realizado en el SGSI y en KRITIS

Un SGSI conforme a ISO 27001 puede aportar registros de evaluación y tratamiento de riesgos, políticas, auditorías, revisiones por la dirección y funcionamiento. Compare su perímetro certificado con las entidades y los servicios cubiertos por las normas nacionales de NIS2.

La certificación de la TI corporativa puede excluir los sistemas de producción, un servicio gestionado o una empresa adquirida. Reutilice los controles y las evidencias pertinentes y, después, aborde de forma explícita la clasificación, el registro, la notificación legal y la formación de la dirección. Nuestra guía sobre NIS2 e ISO 27001 explica cómo el trabajo existente en el SGSI puede respaldar este proceso.

NIS2 no establece un certificado general de cumplimiento a escala de la UE. La certificación respalda el aseguramiento dentro de su propio alcance; no resuelve todas las obligaciones legales. Aplique las mismas comprobaciones de pertinencia a las evidencias KRITIS existentes en lugar de suponer que una aceptación anterior cubre las obligaciones actuales.

Ejemplo práctico: mantenimiento remoto y recuperación de la producción

Considere, a título ilustrativo, un fabricante alemán con 180 empleados que produce equipos dentro de una actividad de fabricación incluida en el anexo II. Supongamos que un cálculo revisado establece su condición de mediana empresa, que el análisis nacional confirma su clasificación como entidad importante y que una evaluación independiente no identifica ninguna designación como instalación crítica KRITIS. Estos supuestos son propios del ejemplo, no una regla para todos los fabricantes de ese tamaño.

El primer foco de la implantación es la planificación de la producción en una planta. Las dependencias incluyen una aplicación ERP, controladores industriales, servicios de identidad, copias de seguridad y un proveedor de mantenimiento con acceso remoto. La evaluación del ámbito jurídico sigue cubriendo las obligaciones pertinentes de la entidad más allá de este servicio inicial.

La revisión detecta tres debilidades relacionadas. Los técnicos del proveedor comparten una cuenta privilegiada. Las copias de seguridad se completan, pero ninguna prueba de restauración reciente incluye la dependencia de identidad de la aplicación de planificación. El procedimiento de incidentes designa a un responsable de la notificación sin un suplente autorizado para presentarla.

La dirección solicita opciones en lugar de aprobar tres actualizaciones aisladas de políticas. Operaciones propone un acceso nominativo y limitado en el tiempo para el proveedor a través de una vía de acceso remoto controlada. TI propone un ejercicio de restauración del servicio frente a objetivos aprobados por el negocio. Seguridad y el departamento jurídico proponen una autoridad de notificación suplente y un ensayo fuera del horario laboral.

Solo a efectos de planificación, supongamos seis semanas y una ventana de mantenimiento programada. La dirección aprueba la capacidad de personal, las condiciones de la parada y restricciones provisionales al acceso del proveedor. El registro de la decisión explica las consecuencias para el servicio, por qué se seleccionaron los tratamientos y qué evidencias acreditarán su finalización.

El trabajo sobre los accesos genera registros de configuración, la confirmación del proveedor y una revisión que confirma la eliminación de la cuenta compartida. El ejercicio de restauración recupera los datos, pero no alcanza el tiempo de recuperación del servicio acordado porque la autenticación no puede restablecerse con rapidez. Ese hallazgo sigue abierto: unas copias de seguridad completadas no compensan un resultado fallido en el servicio.

A continuación, la dirección decide si mejorar el mecanismo de recuperación de la identidad, cambiar la arquitectura o adoptar otra contingencia operativa. Cualquier objetivo de recuperación revisado necesita una justificación de negocio y debe seguir siendo coherente con las obligaciones aplicables.

El ensayo de notificación revela que el suplente no puede acceder de forma autónoma al canal de notificación. El equipo corrige la dependencia de acceso y vuelve a probarla. La preparación mejora mediante cambios verificados y decisiones revisadas, no mediante una declaración de que los procedimientos revisados están completos.

Comprenda con precisión la supervisión y sus consecuencias

Los artículos 32 y 33 distinguen entre enfoques de supervisión. Las entidades esenciales pueden estar sujetas a facultades de inspección y auditoría proactivas. Las entidades importantes están sujetas a una supervisión a posteriori cuando la información indica un posible incumplimiento. Ninguna de ellas debe interpretar la ausencia de incidentes o de requerimientos de la autoridad como prueba de estar preparada.

Para las infracciones de los artículos 21 o 23, el artículo 34 exige que las sanciones máximas nacionales alcancen al menos los siguientes niveles: para las entidades esenciales, el importe mayor entre 10 millones de euros y el 2 % del volumen de negocios anual total a escala mundial de la empresa correspondiente; para las entidades importantes, el mayor entre 7 millones de euros y el 1,4 %. Son mínimos para los límites máximos nacionales de las sanciones, no importes de multa estándar ni topes fijos universales.

Las autoridades también disponen de facultades correctoras. El artículo 32 prevé mecanismos condicionados para las entidades esenciales que afectan a la certificación o autorización correspondiente y a restricciones temporales de determinadas funciones directivas, una vez agotados los pasos de ejecución previstos. No son consecuencias automáticas de cualquier incidente, y la disposición excluye a las entidades de la administración pública.

La responsabilidad de los directivos y su tratamiento en los seguros requieren asesoramiento específico de cada jurisdicción. La dirección debe centrarse en registros veraces, un tratamiento oportuno y una supervisión informada, en lugar de tratar las posibles sanciones como sustituto de la aplicación de las medidas exigidas.

Fije la siguiente decisión de la dirección

Inicie la ejecución por el servicio de mayor impacto y sus dependencias, manteniendo completa la evaluación jurídica de cada entidad pertinente. Priorice la urgencia legal, las consecuencias para el servicio y las tareas que desbloquean el trabajo posterior. Un perímetro de implantación acotado ayuda a establecer el flujo de trabajo; no reduce las obligaciones legales de la entidad a ese piloto.

La siguiente revisión por la dirección debe aprobar o resolver la decisión sobre el ámbito, confirmar los mecanismos de registro y notificación, financiar los tratamientos prioritarios, asignar responsables y programar ejercicios de recuperación y de notificación. También debe establecer cuándo revisará la dirección las evidencias de funcionamiento y qué hallazgos requieren un escalado anticipado.

En Secani, los equipos pueden modelar el servicio seleccionado, los sistemas que lo sustentan y las dependencias de proveedores externos, y conectar después requisitos, controles, responsables y evidencias revisadas. La falta de pruebas y las conclusiones pendientes pueden convertirse en tareas. Los revisores humanos deben aprobar las correspondencias y las conclusiones sobre las evidencias, conservando los enlaces a las fuentes, los comentarios, las aprobaciones y las marcas de tiempo para que el razonamiento siga siendo verificable.

Lleve a esa reunión un mapa del servicio, un registro de obligaciones y las brechas de mayores consecuencias. Salga de ella con acciones financiadas, una autoridad de notificación operativa y una fecha para examinar los resultados, no solo con el compromiso de producir más documentación.