Las pruebas de tu ciberseguridad, en orden y en una página
Mira si la NIS2 te afecta, reúne la prueba de cada una de sus diez medidas mínimas y saca un pasaporte de seguridad para tus clientes, tu aseguradora o tu banco. Todo se hace en tu navegador: no nos llega nada.
1. ¿Te afecta?
2. Tu empresa
3. Las medidas y sus pruebas
Las diez medidas mínimas del artículo 21.2 de la directiva, con su texto literal, y dos más que la directiva también pide. Marca cómo vas y apunta dónde está la prueba de cada una.
a) Las políticas de seguridad de los sistemas de información y análisis de riesgos
Art. 21.2.a de la Directiva NIS2.
Qué prueba guardar: Una política de seguridad aprobada por la dirección y un análisis de riesgos con fecha (qué puede fallar, qué impacto tendría y qué haces para evitarlo).
b) La gestión de incidentes
Art. 21.2.b de la Directiva NIS2.
Qué prueba guardar: Un procedimiento de qué hacer ante un incidente (quién decide, a quién se avisa y en qué plazos) y un registro de incidentes. Te ayuda: Aviso de brecha.
c) La continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis
Art. 21.2.c de la Directiva NIS2.
Qué prueba guardar: Copias de seguridad automáticas, una copia fuera de la red y la prueba de que se han restaurado con éxito alguna vez; un plan para seguir trabajando si cae un sistema.
d) La seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos
Art. 21.2.d de la Directiva NIS2.
Qué prueba guardar: La lista de proveedores críticos, lo que les pides de seguridad (en el contrato o en un cuestionario) y cómo compruebas los cambios de cuenta bancaria. Te ayuda: ¿Te cambian el IBAN?.
e) La seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de información, incluida la gestión y divulgación de las vulnerabilidades
Art. 21.2.e de la Directiva NIS2.
Qué prueba guardar: Un inventario de equipos y programas, las actualizaciones al día y un correo o página para que te avisen de vulnerabilidades. Te ayuda: Foto de seguridad.
f) Las políticas y los procedimientos para evaluar la eficacia de las medidas para la gestión de riesgos de ciberseguridad
Art. 21.2.f de la Directiva NIS2.
Qué prueba guardar: Una revisión periódica (por ejemplo, cada seis meses) con lo que se comprobó, lo que falló y lo que se corrigió.
g) Las prácticas básicas de ciberhigiene y formación en ciberseguridad
Art. 21.2.g de la Directiva NIS2.
Qué prueba guardar: Quién se ha formado y cuándo, y las prácticas básicas: contraseñas distintas, actualizaciones y desconfiar de las prisas. Te ayuda: Vacuna quincenal.
h) Las políticas y procedimientos relativos a la utilización de criptografía y, en su caso, de cifrado
Art. 21.2.h de la Directiva NIS2.
Qué prueba guardar: Discos de portátiles y móviles cifrados, webs y correo con conexión cifrada y dónde se guardan las claves. Te ayuda: Vigía de tu dominio.
i) La seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos
Art. 21.2.i de la Directiva NIS2.
Qué prueba guardar: Altas y bajas de personas con sus accesos, cada cual con lo que necesita y nada más, y el inventario de equipos.
j) El uso de soluciones de autenticación multifactorial o de autenticación continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicaciones de emergencia en la entidad, cuando proceda
Art. 21.2.j de la Directiva NIS2.
Qué prueba guardar: Verificación en dos pasos en el correo, la banca y los accesos remotos, y un canal de emergencia acordado por si cae el habitual. Te ayuda: Blinda tus cuentas.
La dirección aprueba las medidas, supervisa su aplicación y se forma (art. 20)
Qué prueba guardar: El acta o el documento firmado por la dirección y el certificado o registro de su formación.
Puedes avisar a tiempo de un incidente significativo: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes (art. 23.4)
Qué prueba guardar: A quién se notifica, quién lo hace y una plantilla preparada; el borrador de una brecha de datos lo tienes en Aviso de brecha.
4. Tu expediente y tu pasaporte
Preguntas frecuentes
¿Me afecta la NIS2?
Afecta a las empresas medianas y grandes de los sectores de sus anexos I y II, y a algunas con independencia de su tamaño (por ejemplo, operadoras de telecomunicaciones, prestadores de servicios de confianza y servicios de DNS). La ley de cada país concreta los detalles. Si no te afecta directamente pero vendes a una empresa que sí, te pedirá pruebas de tu seguridad: este expediente y el pasaporte te sirven para eso.
¿El pasaporte es una certificación?
No. Es una declaración de tu empresa, con las pruebas que guardas de cada medida. Ayuda a contestar los cuestionarios de clientes, aseguradoras y bancos, y a preparar una auditoría.
¿Me sirve para la ISO 27001?
Te sirve como punto de partida: muchas de estas pruebas (política, riesgos, incidentes, copias, accesos) también se piden en una certificación. La norma tiene sus propios requisitos, que valorará quien te audite.
¿Se guarda en algún sitio?
En tu navegador, y solo si marcas «Guardar en este navegador». No nos llega nada. Descarga el expediente para tenerlo a salvo y poder seguir en otro equipo.
Texto de las medidas: artículos 2, 20, 21.2 y 23.4 de la Directiva (UE) 2022/2555 (NIS2), DO L 333 de 27.12.2022. La ley de cada país concreta cómo se aplica.