¿Cómo lograr el cumplimiento NIS2 con software?
Por HodeitekPublicado
Para responsables de seguridad y cumplimiento de entidades esenciales o importantes que se preguntan qué parte de NIS2 se puede automatizar y qué parte sigue siendo trabajo de personas.
El software ayuda a ordenar el trabajo de NIS2: registra medidas y evidencia, vigila a los proveedores y cuenta los plazos de notificación de incidentes. No sustituye las decisiones. El análisis de riesgos, la aprobación de las medidas por la dirección y la presentación ante la autoridad siguen siendo tuyos.
Qué exige NIS2 y a quién
La Directiva (UE) 2022/2555 se aplica, según su artículo 2, a las entidades de los sectores de sus anexos que alcanzan al menos el tamaño de mediana empresa, y a algunas con independencia del tamaño. El artículo 3 las divide en esenciales e importantes. Cada Estado miembro la transpone a su derecho nacional: comprueba la ley y la autoridad que te corresponden.
Las sanciones máximas del artículo 34 son, como mínimo, 10 millones de euros o el 2 % de la facturación mundial anual para las entidades esenciales, y 7 millones o el 1,4 % para las importantes, aplicando el importe que sea mayor.
Artículo 21: medidas de gestión de riesgos
El artículo 21 pide medidas técnicas, operativas y organizativas adecuadas y proporcionadas, con un enfoque que cubra todos los riesgos. El apartado 2 enumera diez ámbitos, entre ellos el análisis de riesgos, la gestión de incidentes, la continuidad, la seguridad de la cadena de suministro, la criptografía y el control de acceso.
Lo que el software puede hacer
- Guardar cada medida con su responsable, su estado y su evidencia, y avisar cuando la evidencia caduca.
- Mantener un registro de riesgos y una biblioteca de políticas con versiones.
- Reutilizar una misma evidencia en varios marcos cuando existe una correspondencia entre controles.
- Producir informes para la dirección y para una auditoría.
Lo que el software no puede hacer
Las medidas deben ser proporcionadas a tu riesgo, y esa proporcionalidad la decides tú. Una herramienta no configura tu red, no forma a tu plantilla y no convierte una medida en eficaz por el hecho de registrarla.
Lo que sigue siendo trabajo de personas
- Decidir qué riesgos aceptas y qué medida es proporcionada.
- Implantar los controles técnicos y organizativos.
- Formar a la plantilla y a la dirección.
- Probar que las medidas funcionan, no solo que están documentadas.
Artículo 21(2)(d): seguridad de la cadena de suministro
El artículo 21(2)(d) incluye los aspectos de seguridad de la relación con cada proveedor o prestador directo, y el 21(3) pide tener en cuenta las vulnerabilidades propias de cada uno y la calidad global de sus productos y prácticas de ciberseguridad. También por esta vía una empresa fuera del ámbito directo puede acabar con requisitos NIS2 en sus contratos.
El software sirve para el inventario, la evidencia y el seguimiento por proveedor. No sustituye la decisión de contratar, mantener o dejar a un proveedor.
Qué debería hacer la herramienta
- Inventario de proveedores con criticidad, responsable y contrato.
- Evidencia por proveedor con fecha de validez, y varias vías para obtenerla.
- Seguimiento de vulnerabilidades y brechas conocidas de cada proveedor.
- Seguimiento de las cláusulas de notificación de incidentes hacia ti.
Fuente: Directiva (UE) 2022/2555 (NIS2), artículos 2, 3, 20, 21, 23 y 34, en EUR-Lex (se abre en una pestaña nueva); Reglamento de Ejecución (UE) 2024/2690, requisitos técnicos y metodológicos, en EUR-Lex (se abre en una pestaña nueva)
Artículo 23: notificación de incidentes
Ante un incidente significativo, el artículo 23(4) fija tres hitos. Una alerta temprana sin demora indebida y, en todo caso, en 24 horas desde que tienes conocimiento. Una notificación del incidente en 72 horas. Un informe final como máximo un mes después de la notificación. Si la autoridad lo pide, además, un informe intermedio.
Para los tipos de entidad que cubre, el Reglamento de Ejecución (UE) 2024/2690 detalla qué se considera un incidente significativo.
Lo que el software puede hacer
- Registrar el incidente una vez y contar los plazos desde el momento de conocimiento.
- Proponer una clasificación con sus criterios y preparar borradores para cada notificación.
- Dejar constancia de quién decidió qué y cuándo.
Fuente: Directiva (UE) 2022/2555 (NIS2), artículos 2, 3, 20, 21, 23 y 34, en EUR-Lex (se abre en una pestaña nueva); Reglamento de Ejecución (UE) 2024/2690, requisitos técnicos y metodológicos, en EUR-Lex (se abre en una pestaña nueva)
Artículo 20: la responsabilidad de la dirección
El artículo 20 obliga al órgano de dirección a aprobar las medidas de riesgo, supervisar su aplicación y responder por las infracciones, además de seguir formación. Ningún software asume esa responsabilidad. Puede dar a la dirección datos claros y un registro de lo que aprobó.
Cómo evaluar una herramienta
Hay herramientas de varios tipos: suites GRC, plataformas de gestión de incidentes, plataformas de riesgo de terceros y plataformas integradas. HodeiShield es una de las integradas y una opción entre otras. Según su documentación, clasifica un incidente frente a NIS2, DORA y RGPD con sus criterios, cuenta atrás de plazos en pantalla y un borrador descargable por autoridad, y la presentación la haces tú. Tiene un mapeo multimarco, en el que una respuesta se propaga a los controles equivalentes de otros marcos, y un portal para que el proveedor responda con un enlace de un solo uso, sin cuenta. Mide NIS2 como cobertura sobre sus controles, no como certificación.
Para cualquier herramienta, estas son las pruebas que conviene hacer.
Qué comprobar en una demo
- Que cada medida del artículo 21 tenga responsable, estado y evidencia con fecha de validez.
- Que el módulo de proveedores cubra inventario, evidencia y seguimiento, no solo un cuestionario.
- Que los plazos de 24 horas, 72 horas y un mes se cuenten solos y que el borrador sea editable.
- Que la presentación ante la autoridad siga en tus manos y la herramienta lo diga con claridad.
- Que haya registro de cambios y exportación de tus datos.
- Que explique dónde se alojan los datos y qué no cubre.
Preguntas frecuentes
- ¿Puede un software hacerme cumplir NIS2?
- No por sí solo. Puede ordenar medidas, evidencia y plazos. La aprobación de la dirección, el análisis de riesgos y la implantación de los controles son de la entidad.
- ¿Qué plazos fija NIS2 para notificar un incidente?
- Una alerta temprana en 24 horas, una notificación en 72 horas y un informe final como máximo un mes después de la notificación (artículo 23(4)). Si la autoridad lo solicita, también un informe intermedio.
- ¿Me afecta NIS2 si no soy entidad esencial ni importante?
- Directamente no, pero si eres proveedor de una entidad que sí lo es, puede exigírtelo por contrato para cumplir su obligación sobre la cadena de suministro del artículo 21.
- ¿Basta con un certificado ISO/IEC 27001?
- La Directiva no dice que un certificado demuestre por sí solo el cumplimiento del artículo 21. Sirve como evidencia de algunas medidas, junto con el resto.
- ¿Quién presenta la notificación a la autoridad?
- La entidad. Una herramienta puede preparar el borrador y contar los plazos, pero la presentación por el canal que fije tu autoridad nacional es tuya.
Guía relacionada
¿Cómo evalúo las plataformas TPRM para mi sector?Para comparar plataformas de riesgo de terceros según DORA, NIS2, ENS, HIPAA, CMMC 2.0 y SAMA o ECC, lee la guía de evaluación por sector.
Fuentes
Mira cómo se vería con tus datos
En una demo recorremos la clasificación de incidentes, los plazos y el seguimiento de proveedores con datos de muestra, y te decimos qué parte no cubre. Te responde una persona de Hodeitek.