Introducción
Esta guía ofrece una lista de verificación práctica para realizar una evaluación interna rápida sobre si tu organización está sujeta a la directiva NIS2. El objetivo es proporcionar pasos concretos, ejemplos de activos y servicios para mapear y tareas prioritarias para decidir si iniciar un proyecto de cumplimiento más amplio.
Por qué evaluar la aplicabilidad de NIS2
- NIS2 establece requisitos de gestión de riesgos cibernéticos, notificación de incidentes y gobernanza para "entidades esenciales" y "entidades importantes". La designación formal y los umbrales se determinan en las leyes nacionales de transposición.
- Incluso si una organización no está automáticamente sujeta a NIS2, las relaciones contractuales con entidades cubiertas o la prestación de servicios críticos pueden imponer obligaciones contractuales y auditorías.
Paso 0 — preparar la evaluación (10–30 minutos)
- Asigna un responsable interno (por ejemplo, responsable de seguridad, DPO o CTO) que coordine la evaluación.
- Reúne documentación básica de la empresa: organigrama, lista de servicios comerciales y TI, principales clientes y proveedores críticos.
- Crea un registro temporal (hoja de cálculo compartida) para registrar las respuestas de la checklist.
Checklist operativa en 10 puntos (evaluación inicial)
- Sector y servicios
- Comprueba si la organización opera en sectores comúnmente cubiertos por NIS2: energía, transporte, salud, agua, infraestructuras digitales, servicios financieros, servicios públicos, gestión de residuos, etc. (consulta la normativa nacional para la lista definitiva).
- Tipos de servicios
- Identifica los servicios críticos que se prestan: suministro eléctrico, gestión de redes, hosting/data centers, infraestructura cloud, servicios de pago, servicios de emergencia, tratamiento de agua, sistemas de control industrial (ICS/SCADA), servicios centrales de correo electrónico.
- Tamaño y umbrales
- Recoge métricas de tamaño: número de empleados, facturación y balance. Los umbrales exactos se definen en la transposición nacional; muchas transposiciones consideran a las grandes empresas y proveedores de servicios críticos.
- Clientes e impacto geográfico
- Valora si los clientes incluyen autoridades públicas o infraestructuras críticas, o si los servicios tienen impacto transfronterizo o regional.
- Dependencias de terceros
- Mapea proveedores y subcontratistas críticos (cloud, MSP, proveedores OT/ICS). Los proveedores de servicios a entidades sujetas pueden necesitar gestionar requisitos contractuales y de notificación de incidentes.
- Activos técnicos y operativos
- Inventaría activos críticos: centros de datos, redes backbone, sistemas de autenticación central (AD/LDAP), bases de datos de clientes, sistemas de facturación, dispositivos OT, gateways de red, backups.
- Procesos de continuidad y respuesta a incidentes
- Revisa la existencia de planes de continuidad, copias de seguridad y playbooks de respuesta a incidentes. La ausencia de estos puede señalar una brecha relevante respecto a NIS2.
- Obligaciones contractuales y regulatorias
- Revisa cláusulas existentes con clientes o administraciones públicas que requieran estándares de seguridad, auditorías o notificaciones de incidentes.
- Registro y capacidad de reporting
- Verifica si existen sistemas centralizados de logging, monitorización y retención de logs para análisis forense y generación de informes.
- Gobernanza y responsabilidades
- Identifica si existe responsabilidad a nivel directivo por la gestión del riesgo cibernético (por ejemplo, supervisión por parte del consejo). NIS2 pone énfasis en gobernanza y rendición de cuentas.
Ejemplos concretos de activos y procesos a mapear
- Infraestructura TI: servidores de producción, firewalls, VPN, sistemas de gestión de identidades.
- Infraestructura OT: PLC, SCADA, sensores industriales, redes de control.
- Servicios cloud y virtuales: IaaS, PaaS, SaaS ofrecidos a clientes críticos.
- Sistemas de pago; portales de clientes e interfaces públicas.
- Telecomunicaciones: puntos de interconexión, DNS, proveedores de tránsito.
Si la checklist indica aplicabilidad potencial
- Realiza una comprobación legal: consulta la transposición nacional y solicita asesoría legal si procede.
- Contacta con la autoridad nacional competente para aclaraciones prácticas (los detalles de contacto suelen publicarse por las administraciones nacionales).
- Elabora un plan de acción: análisis de brechas técnicas, plan de adaptación organizativa, cronograma y presupuesto.
Acciones prioritarias (primeros 90 días recomendados)
- Documenta los resultados de la evaluación y la motivación de las conclusiones (para auditoría y diligencia debida).
- Implementa o refuerza procedimientos de manejo de incidentes y flujos internos de notificación.
- Introduce cláusulas contractuales mínimas con proveedores críticos: notificación de incidentes, controles de seguridad y derechos de auditoría.
- Comienza endurecimiento básico: gestión de parches, control de accesos privilegiados, segmentación de red para activos críticos.
Documentación mínima a conservar
- Registro de la evaluación con evidencias (quién respondió, fechas, documentos consultados).
- Inventario de activos críticos y mapa de proveedores.
- Planes de respuesta a incidentes e informes de pruebas/ejercicios.
- Contratos actualizados con cláusulas de seguridad y SLA.
Recomendaciones y límites de la guía
Esta guía es una herramienta operativa para un primer screening. La determinación formal de aplicabilidad depende de la transposición nacional y de posibles listas oficiales. Para decisiones vinculantes u obligaciones complejas, consulte a asesoría legal y especialistas en ciberseguridad.
Checklist rápida (resumen)
- Responsable asignado y registro iniciado
- Sectores y servicios catalogados
- Activos críticos inventariados
- Proveedores críticos mapeados
- Procesos de respuesta a incidentes documentados
- Evidencias y documentos archivados
Próximos pasos
Inicie la evaluación hoy: asigne el responsable, complete el registro y programe una reunión de 1–2 horas para completar la checklist con los responsables técnicos y legales.
