Requisitos de NIS2: medidas, notificación de incidentes y lista de verificación

A quién afecta NIS2

NIS2 distingue entre entidades esenciales y entidades importantes en numerosos sectores, entre ellos energía, transporte, sanidad, infraestructura digital, aguas residuales, administración pública, servicios postales, residuos, química, alimentación e industria manufacturera. Por regla general, lo determinante son el tamaño (a partir de 50 empleados o más de 10 millones de euros de volumen de negocio anual y balance) y el sector; para algunas entidades, NIS2 se aplica con independencia del tamaño. En Alemania, las empresas afectadas deben registrarse ante la Oficina Federal de Seguridad de la Información (BSI).

Medidas de gestión de riesgos según el art. 21

El art. 21 de NIS2 exige medidas técnicas, operativas y organizativas adecuadas, entre ellas:

• Políticas de análisis de riesgos y de seguridad de los sistemas de información
• Gestión de incidentes
• Continuidad de las actividades, gestión de copias de seguridad, gestión de crisis
• Seguridad de la cadena de suministro
• Seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión de vulnerabilidades
• Evaluación de la eficacia de las medidas
• Ciberhigiene y formación, criptografía, control de acceso, autenticación multifactor

Notificación: 24 horas, 72 horas, un mes

Los incidentes significativos deben notificarse por fases: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas con una primera evaluación y un informe final en el plazo de un mes. Esto solo es posible si los incidentes se detectan rápido y se documentan bien, la tarea de XMfortress Detect.

Responsabilidad de la dirección

La dirección debe aprobar las medidas, supervisar su aplicación y participar periódicamente en formaciones. Puede responder personalmente en caso de incumplimiento. Las infracciones pueden acarrear multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial (entidades esenciales), o de 7 millones de euros o el 1,4 % (entidades importantes).

Checklist NIS2: los primeros pasos

• Comprobar si le afecta y registrarse ante la autoridad competente (en Alemania, el BSI)
• Designar responsables y formar a la dirección
• Crear un inventario de activos y mantenerlo actualizado
• Realizar un análisis de riesgos y definir un proceso de vulnerabilidades con plazos
• Establecer y ensayar la detección y los canales de notificación de incidentes
• Comprobar y documentar periódicamente la eficacia de las medidas
• Incluir a proveedores y prestadores de servicios en la evaluación

XMfortress apoya la implantación técnica y aporta evidencias. La responsabilidad del cumplimiento sigue siendo de la empresa; la plataforma no sustituye un análisis jurídico.