Implantar NIS2: del análisis de brechas al plan de medidas

Todo empieza con la clasificación. ¿Pertenece su empresa a uno de los 18 sectores y supera los umbrales? Por regla general, la ley se aplica a partir de 50 empleados o de 10 millones de euros de facturación y de balance. A partir de 250 empleados, o de 50 millones de euros de facturación con un balance superior a 43 millones, suele tratarse de una entidad esencial.

Deje el resultado por escrito, con su justificación. Hágalo también si concluye que no le afecta. Si más adelante pregunta un cliente o la autoridad, un análisis documentado vale más que una suposición. Quien esté afectado debe además registrarse ante el BSI.

NIS2 pone a la dirección en primera línea. Según el artículo 38 de la BSIG, la dirección debe aprobar las medidas, supervisar su aplicación y formarse con regularidad. Puede delegar el trabajo, pero la responsabilidad sigue siendo suya.

En la práctica, cada ámbito necesita una persona responsable, y la dirección necesita una fecha fija en la que revisa el avance. En empresas pequeñas, muchos ámbitos recaen en la misma persona. Eso está bien siempre que se haya decidido así de forma consciente y quede por escrito.

Del análisis de brechas sale una lista larga. Abordarlo todo a la vez desborda a cualquier equipo. Ordenamos con dos preguntas: ¿qué riesgo hay si la brecha sigue abierta? ¿Y hay algún plazo que apremie?

De ahí resulta casi siempre el mismo orden. Primero van el registro y la cadena de notificación, porque aquí los plazos y las multas se aplican de inmediato. Después vienen las medidas que más limitan un ataque, como la autenticación multifactor, las copias de seguridad probadas y un plan de contingencia. Les siguen las políticas y la evaluación de proveedores.

Cada medida recibe una persona responsable, una fecha y un criterio que indique cuándo está terminada. Sin ese criterio, una medida se queda en curso para siempre.

Con NIS2 suelen mezclarse tres cosas que conviene separar: lo que exige la ley, lo que tiene sentido y lo que un proveedor de servicios entrega para ello. La siguiente lista las separa.

• Clasificación. Obligación: comprobar si la ley se aplica y, en su caso, registrarse ante el BSI. Recomendación: documentar el resultado con su justificación, aunque sea negativo. Entregable: clasificación por escrito y acompañamiento en el registro.
• Gestión de riesgos. Obligación: medidas en los ámbitos del artículo 30 de la BSIG, proporcionales al riesgo. Recomendación: un registro de riesgos que se revise al menos una vez al año. Entregable: análisis de brechas y plan de medidas priorizado.
• Notificación. Obligación: alerta temprana en 24 horas, notificación en 72 horas, informe final al cabo de un mes. Recomendación: ensayar el proceso una vez al año. Entregable: cadena de notificación con plantillas y un ensayo.
• Dirección. Obligación: aprobación, supervisión, formación periódica. Recomendación: un informe fijo cada trimestre. Entregable: propuestas de acuerdo y formación.
• Cadena de suministro. Obligación: tener en cuenta los riesgos de seguridad de proveedores y prestadores de servicios. Recomendación: evaluar primero a los proveedores más importantes en lugar de a todos a la vez. Entregable: esquema de evaluación y cuestionario para proveedores.
• Eficacia. Obligación: evaluar si las medidas funcionan. Recomendación: pruebas técnicas como un test de penetración con un ritmo fijo. Entregable: plan de pruebas, prueba y nueva prueba.

Nuestra consultoría NIS2 le acompaña desde la clasificación hasta el plan terminado, y más allá. También realizamos pruebas técnicas como un test de penetración. Póngase en contacto con nosotros si quiere saber en qué punto está.