NIS2 para empresas: qué revisar sin convertir el cumplimiento en una lista ciega

La clasificación depende del sector, tipo de servicio, tamaño y posibles reglas especiales. NIS2 diferencia entidades esenciales e importantes y contempla sectores como energía, transporte, salud, infraestructuras digitales y determinados servicios digitales, entre otros.

La comprobación debe hacerse con la norma europea y con la legislación española vigente en la fecha del análisis. La transposición nacional ha seguido su propia tramitación, por lo que debe consultarse el BOE y no presentar un resumen comercial como asesoramiento jurídico definitivo.

El trabajo útil empieza con activos, servicios críticos, dependencias y escenarios de incidente. A partir de ahí se priorizan accesos, copias, actualizaciones, continuidad, proveedores, cifrado, seguridad de comunicaciones y procedimientos de respuesta.

No todas las medidas tienen el mismo impacto. Activar MFA en accesos críticos, comprobar restauraciones de copias y retirar cuentas antiguas suele reducir más riesgo inmediato que acumular documentos sin implantación.

La ciberseguridad no puede quedar aislada en el departamento técnico. La dirección necesita conocer riesgos, aprobar prioridades y verificar que las medidas se aplican. Los contratos con proveedores deben aclarar accesos, notificación de incidentes, continuidad y devolución o eliminación de datos.

Un cuestionario por sí solo no demuestra seguridad. Conviene pedir evidencias proporcionales: configuraciones, informes, pruebas de restauración, revisiones de permisos o resultados de ejercicios.

NIS2 establece un proceso de notificación por fases para incidentes significativos. La aplicación nacional concreta autoridades y procedimientos, pero la organización ya puede definir cómo detecta, escala, documenta y preserva información. Improvisarlo durante un ataque retrasa la respuesta y dificulta valorar el impacto.