Las 21 medidas, explicadas con claridad.

Políticas de seguridad de la información — aprobadas a nivel de consejo

Una política escrita aprobada por el consejo fija el apetito de riesgo, el alcance y la cadencia de revisión — sin ella, cualquier otro control queda al albur. El Anexo A.5.1 de ISO 27001 es la referencia operativa.

Roles, responsabilidades y rendición de cuentas formalmente documentados

Cada control tiene un propietario nombrado; la segregación de funciones está documentada para operaciones de alto riesgo. Los supervisores preguntarán «quién aprobó» tras un incidente.

Formación de los administradores sobre el riesgo de ciberseguridad

El artículo 20, apartado 2, hace obligatoria y trazable la formación de los administradores. Los módulos de sensibilización genéricos no bastan — la formación debe permitir entender los riesgos específicos de la entidad.

Revisión independiente anual del programa de seguridad

Una auditoría externa o interna independiente que revise la madurez del programa cada año. Las conclusiones se elevan al consejo con plan de remediación y calendario.

Metodología de análisis de riesgos y registro de riesgos actualizado

Una metodología documentada (cualitativa o cuantitativa) y un registro revisado al menos trimestralmente. Los registros estáticos son una alerta típica para los supervisores.

Inventario de activos: sistemas de información y datos

No se puede proteger lo que se ignora operar. El inventario cubre hardware, software, servicios cloud, flujos de datos y dependencias — actualizado automáticamente cuando sea posible.

Planes de continuidad de negocio y de gestión de crisis

Los planes cubren pérdida de sitio, pérdida de proveedor y pérdida de acceso. Definen RTO/RPO por servicio, protocolos de comunicación y la cadena de mando durante una crisis.

Copias de seguridad: procedimientos de restauración probados

Una copia de seguridad nunca restaurada es teórica. NIS2 espera evidencias de pruebas regulares de restauración, idealmente con configuraciones resistentes a ransomware (inmutables, offline o air-gapped).

Autenticación multifactor en todos los accesos críticos

El artículo 21, apartado 2, letra j) exige MFA explícitamente. El acceso crítico incluye cuentas de administrador, acceso remoto, aplicaciones expuestas y acceso a datos sensibles — los factores resistentes al phishing son cada vez más exigidos.

Política de criptografía y cifrado

Una política que especifique algoritmos, ciclo de vida de las claves y dónde se requiere cifrado (datos en reposo, en tránsito, en copias). ENISA apunta a la preparación post-cuántica como criterio prospectivo.

Segmentación de red y principios de zero-trust

Las redes planas convierten un compromiso inicial en un apagón sectorial. La segmentación aísla los sistemas críticos; el zero-trust sustituye la confianza implícita por verificación continua de identidad y postura del dispositivo.

Gestión de vulnerabilidades y cadencia de parcheo

Un SLA documentado de parcheo por severidad (crítico / alto / medio), un proceso de parches de emergencia fuera de banda, y seguimiento de excepciones para sistemas no parcheables con controles compensatorios.

Detección y respuesta en endpoints (EDR)

EDR o XDR en estaciones y servidores — más allá del antivirus tradicional. La telemetría debe conservarse el tiempo suficiente para investigación forense (típicamente 6–12 meses) y alimentar el SOC o MSSP.

Ciclo de desarrollo de software seguro

Modelado de amenazas en el diseño, escaneo de dependencias en CI, detección de secretos, revisión de código y pruebas en tiempo de ejecución. Aplica por igual a equipos internos y a desarrolladores externalizados.

Evaluaciones de seguridad de proveedores

Estratifique a sus proveedores (¿cuáles pueden derribarle?) y exija evaluaciones de seguridad proporcionales al estrato — cuestionarios, certificaciones (ISO 27001, SOC 2) o auditorías in situ para los más críticos.

Cláusulas de seguridad contractuales para proveedores críticos

Derecho de auditoría, plazos de notificación de incidentes (alineados con sus propias obligaciones NIS2), localización de datos cuando sea exigida, divulgación de subprocesadores, asistencia de salida/transición. Las cláusulas deben sobrevivir a renovaciones y a fusiones y adquisiciones.

Monitorización continua de la exposición a terceros

Monitorización de la superficie de ataque externa, cribado de sanciones, inteligencia de brechas y reevaluación ante cambios accionariales en el proveedor. Un cuestionario anual estático no cumple la exigencia «continua» de NIS2.

Playbooks de detección, clasificación y escalado

Runbooks documentados para los escenarios probables (ransomware, exfiltración de datos, DDoS, compromiso de cadena de suministro, amenaza interna). Cada runbook lista pasos de triaje, criterios de clasificación y la cadena de escalado.

Alerta temprana 24 h al CSIRT

En las 24 horas tras tener conocimiento de un incidente significativo, alerta temprana al CSIRT o autoridad competente — incluso con información parcial. El reloj arranca con el conocimiento, no con la comprensión completa.

Notificación de incidente a 72 h con evaluación de gravedad

Notificación formal en 72 horas con la gravedad inicial, indicadores de compromiso y eventual impacto transfronterizo. Las actualizaciones siguen la evolución de la valoración.

Informe final en el plazo de un mes

Informe detallado en el plazo de un mes que cubra causa raíz, impacto real, mitigaciones aplicadas y lecciones aprendidas. Este informe es la base de cualquier seguimiento del supervisor.