NIS2 exige a entidades esenciales e importantes gestionar riesgo, reportar incidentes significativos, proteger proveedores, mantener continuidad, manejar vulnerabilidades y dar a los órganos directivos responsabilidad real de aprobación y supervisión. Ingeniería convierte esos deberes en controles diarios.
NIS2 cubre 18 sectores críticos y distingue entidades esenciales e importantes. Sector, tipo, tamaño, criticidad, registro, autoridad, supervisión y reporting dependen de la transposición nacional. Mantenga un registro por jurisdicción validado con asesoría legal.
El Artículo 20 exige que los órganos de dirección aprueben medidas, supervisen la implementación y reciban formación; la ley nacional puede responsabilizarlos. Riesgos, excepciones, retrasos, readiness, concentración, ejercicios y efectividad deben llegar a dirección.
| Medida | Requisito backend/plataforma | Evidencia | Señal | Gate |
|---|---|---|---|---|
| Riesgo y políticas | Catálogo, dependencias, threat model, owner, clasificación, controles, residual y revisión. | Riesgo aprobado y excepciones. | Activo sin owner, exposición o review vencido. | Servicio crítico exige owner/riesgo aceptado. |
| Incidentes | Detección, caso, severidad, evidencia, comunicación, escalamiento, reloj y contactos. | Ejercicios, traces y plantillas. | MTTD, demora, logs ausentes, deadline. | Launch exige respuesta probada. |
| Continuidad y crisis | RTO/RPO, backups aislados, restore, failover, comunicación, fallback y roles. | Pruebas y gaps. | Backup, lag, capacidad o dependencia. | Objetivos críticos deben pasar. |
| Supply chain | Registro, criticidad, due diligence, contratos, acceso, SBOM/BOM, procedencia, concentración y salida. | Evaluaciones, contratos e inventario. | Subprocesador, package comprometido, outage o EOL. | Bloquear proveedor no aprobado. |
| Secure development y vulnerabilidades | SDLC, review, SAST/DAST/SCA, secrets, patch SLA, disclosure, triage, firma y emergencia. | Pipeline, tickets, firmas y excepciones. | Exploitability, antigüedad, exposición y explotación activa. | Gate por riesgo con excepción responsable. |
| Efectividad | Tests, purple team, detección, restore, acceso y ejercicios de proveedor. | Resultados, fallas, corrección y retest. | Cobertura o control ineficaz. | Freshness y threshold. |
| Higiene y formación | Formación por rol, defaults y checklists. | Finalización, competencia y ejercicios. | Acciones riesgosas o cobertura faltante. | Privilegios requieren formación vigente. |
| Criptografía | Clasificación, algoritmos, KMS/HSM, claves, rotación, certificados y revocación. | Política, inventario y logs. | Expiración, protocolo débil o clave sin owner. | Rechazar configuración no conforme. |
| RR. HH., acceso y activos | Joiner/mover/leaver, least privilege, PAM, reviews, identities, ownership y lifecycle. | Aprobaciones, reviews y revocaciones. | Cuenta huérfana, exceso o activo desconocido. | Acceso crítico exige owner, MFA y caducidad. |
| MFA y comunicaciones | MFA resistente a phishing, conditional access, admin path, emergencia y break-glass. | Cobertura, políticas y ejercicios. | Bypass, login riesgoso o canal caído. | Bloquear fuera del assurance aprobado. |
El Artículo 23 prevé alerta temprana en 24 horas desde awareness, notificación en 72 horas, actualizaciones y reporte final dentro de un mes. La ley nacional define autoridad, formato y requisitos adicionales. Preserve el timestamp exacto y separe hechos, evaluación, incertidumbre y correcciones.
Cree reglas por jurisdicción/sector usando interrupción, usuarios, duración, geografía, daño, compromiso, impacto transfronterizo y criterios del reglamento. La regla recomienda; incident lead y legal/compliance autorizados deciden.
Use relojes sincronizados, logs inmutables, snapshots, forense, chain of custody, timeline, decisiones, versiones y acceso. Fix, comunicación, reporte y RCA comparten incident ID.
Sepa qué servicio usa package, container, cloud, MSP, CI action, firmware, modelo y proveedor de datos. Registre versión, procedencia, soporte, privilegios, acceso, alcance, sustitución y concentración.
Combine disclosure, scanners, advisories, KEV, exploitability, exposición, criticidad, compensación y patch. Controle descubrimiento, recepción, triage, owner, due date, excepción, rollout, retest y recurrencia.
Pruebe pérdida de IdP, DNS, región cloud, CI/CD comprometido, MSP caído, ransomware, oficina inaccesible y falla simultánea. Mantenga contactos offline, comunicación de emergencia, operación manual, clean-room y artefactos conocidos.
Recoja vía APIs/eventos protección de repos, reviews, firmas, cloud config, MFA/PAM, postura, vulnerabilidades, backup/restore, proveedores, ejercicios y formación. Cada evidencia tiene alcance, fuente, tiempo, collector, owner, resultado, vigencia, excepción y remediación.
El Reglamento 2024/2690 define requisitos y criterios para DNS, TLD, cloud, data centres, CDN, MSP/MSSP, marketplaces, buscadores, redes sociales y servicios de confianza. La guía ENISA 2025 aporta ejemplos y mappings.
Los Estados debían transponer antes del 17 de octubre de 2024, pero el avance fue desigual. Mantenga módulos por país para alcance, registro, autoridad, canales, idioma, formato, sanciones, retención, sector y plazos.
Registro de entidad/jurisdicción; grafo de servicios/dependencias; catálogo riesgo-control; policy gates; inventario de suppliers/software; lifecycle de vulnerabilidades; collectors; pruebas de restore; caso y reloj legal; reglas de significancia; contactos CSIRT; generador versionado; comunicación de crisis; dashboard/aprobaciones; ejercicios y analítica de efectividad.
NIS2 se vuelve accionable cuando cada obligación tiene owner, control, señal, prueba, evidencia, plazo y decisión directiva. Los documentos deben ser outputs de un programa resiliente.
Nota legal: interpretación de ingeniería, no asesoría jurídica. Verifique transposición nacional, autoridad, sector y hechos.
Artículo sobre NIS2, gobernanza, riesgo, incidentes, continuidad, supply chain, vulnerabilidades, acceso, evidencia y responsabilidad directiva.