Servicios ofensivos
Servicios ofensivos a medida de neonotu. Hacking ético, pruebas de penetración y operaciones Red Team para la máxima pr…
VerServicios defensivos
Consultoría NIS2 para empresas
Desde el 6 de diciembre de 2025 está en vigor en Alemania la ley de transposición de NIS2. Según el Gobierno federal, afecta a unas 29.500 empresas, la mayoría por primera vez. Aclaramos con usted si le afecta y cómo, en qué punto está hoy y qué medidas van primero. Después las implantamos juntos.
01
Ámbito
¿Afecta NIS2 a su empresa?
La ley abarca 18 sectores. Además de energía, sanidad y transporte, incluye la fabricación de maquinaria, la producción de alimentos, la química, la gestión de residuos y los servicios postales y de mensajería. Por regla general, una empresa queda incluida a partir de 50 empleados o de 10 millones de euros de facturación anual y de balance. A partir de 250 empleados, o de 50 millones de euros de facturación con un balance superior a 43 millones, suele considerarse entidad esencial, con una supervisión más estricta y multas más altas.
La clasificación depende de detalles. Lo decisivo es la actividad que su empresa realiza de verdad, y en un grupo pueden contar también las cifras de las sociedades vinculadas. Algunas empresas quedan incluidas por una actividad secundaria en la que nadie había pensado. Otras quedan fuera pese a su tamaño.
Quien no está sujeto a la ley también suele notar NIS2. Los clientes afectados deben proteger su cadena de suministro y trasladan requisitos a proveedores y prestadores de servicios, casi siempre en forma de cuestionario o de cláusula contractual.
- 24 horas
- para la alerta temprana al BSI
- 72 horas
- para la notificación del incidente
- 1 mes
- para el informe final
- 50 empleados
- a partir de aquí la ley puede aplicarse
Destinatarios
A quién va dirigida la consultoría
01
Dirección y consejo
la ley les obliga a aprobar las medidas y a supervisar su aplicación. Responden en caso de incumplimiento y deben formarse con regularidad.
02
Dirección de TI y seguridad de la información: necesitan un plan que pueda llevarse a cabo con el personal disponible, y argumentos para el presupuesto.
03
Cumplimiento y asesoría jurídica
deben poder demostrar ante el BSI y ante sus clientes qué se ha implantado.
04
Proveedores de empresas afectadas
reciben requisitos y quieren saber cuáles son realmente necesarios.
Proceso
Cómo trabajamos
El orden sigue los plazos. Lo que la ley exige antes va primero.
Para formar a la dirección encaja nuestro taller Gobernanza de la ciberseguridad para la alta dirección. Las pruebas técnicas, como un test de penetración, muestran si las medidas funcionan, y para la plantilla está nuestra formación de concienciación en seguridad.
- 01
Comprobar el ámbito. Asignamos su empresa a un sector, revisamos los umbrales y dejamos la clasificación por escrito. Si hace falta, le acompañamos en el registro ante el BSI.
- 02
Análisis de brechas. Comparamos su situación actual con las medidas de gestión de riesgos del artículo 30 de la BSIG. Para ello hablamos con TI, las áreas de negocio y la dirección, y revisamos la documentación y los sistemas existentes.
- 03
Plan de medidas. Cada brecha recibe una prioridad según el riesgo, una persona responsable y una fecha. Así la dirección ve qué debe estar hecho y para cuándo.
- 04
Cadena de notificación. Un incidente de seguridad significativo debe notificarse al BSI en un plazo de 24 horas. Definimos quién lo detecta, quién decide y quién notifica, y ensayamos el proceso una vez.
- 05
Implicar a la dirección. Preparamos los acuerdos para su aprobación y formamos a la dirección, como exige la ley.
- 06
Implantar y comprobar. Acompañamos la implantación y comprobamos si las medidas funcionan.
Resultados
Lo que tendrá al final
La documentación es suya. La redactamos para que su equipo pueda seguir trabajando con ella sin nosotros.
- 01
una clasificación por escrito de si le afecta la ley, con su justificación
- 02
el informe del análisis de brechas, ordenado según los requisitos del artículo 30 de la BSIG
- 03
un plan de medidas priorizado, con responsables y fechas
- 04
borradores de las políticas que exige NIS2, por ejemplo sobre gestión de riesgos, gestión de incidentes, planes de contingencia y cadena de suministro
- 05
la cadena de notificación con plantillas para la alerta temprana, la notificación y el informe final
- 06
propuestas de acuerdo para la dirección
02
Delimitación
Consultoría y software: quién hace qué
La consultoría aclara lo que hay que hacer y pone en marcha la implantación. Después se generan evidencias de forma continua: asistencia a formaciones, informes de auditoría, acuerdos, cuestionarios de clientes. Para que esas evidencias no vuelvan a quedar dispersas en carpetas y buzones existe Sightadel.
Sightadel es nuestra plataforma de seguridad de la información y cumplimiento. NIS2, ISO 27001 y DORA están cargados como catálogos, y una evidencia se guarda una sola vez y se asigna a varios requisitos. No necesita ningún software para trabajar con nosotros. Pero si usa Sightadel, los resultados de la consultoría quedan directamente en el lugar adecuado.
03
Normas
NIS2 e ISO 27001
Si ya tiene un SGSI según ISO 27001, buena parte del trabajo está hecha, porque las medidas coinciden en gran medida. Quedan puntos que la norma no contempla: el registro ante el BSI, los plazos legales de notificación y las obligaciones de la dirección. Cerramos esas brechas de forma específica, sin rehacer su SGSI.
Si todavía no tiene un SGSI, NIS2 es un buen motivo para crearlo. Lleva más tiempo, pero crea una base que también reconocen clientes y aseguradoras. Más información en la página de implantación de un SGSI.
Por cierto, no existe un certificado oficial de NIS2. Ante el BSI demuestra la implantación con su propia documentación cuando la autoridad la solicita.
04
Continuidad
Después del proyecto
NIS2 exige comprobar con regularidad la eficacia de las medidas. Muchas empresas no tienen a nadie en plantilla para ello. Nuestro CISO virtual asume ese papel por suscripción, con una permanencia mínima de seis meses. Si prefiere una persona de contacto fija con un número de horas acordado, la opción adecuada es el CISO externo.
Indíquenos su sector y cuántas personas emplea. En una primera conversación le diremos si NIS2 le afecta y por dónde empezar.
FAQ
Preguntas frecuentes
¿Tenemos que registrarnos ante el BSI?
Sí, si la ley le afecta. El registro se hace a través del portal del BSI. Para las empresas afectadas desde la entrada en vigor, el plazo terminó a principios de marzo de 2026. Si no se registró, hágalo ahora. Quien quede sujeto más tarde dispone de tres meses desde ese momento.
¿Responde personalmente la dirección?
Sí. Según el artículo 38 de la BSIG, la dirección debe aprobar las medidas y supervisar su aplicación. Si incumple estas obligaciones, responde frente a la empresa. Además, debe formarse con regularidad.
¿A cuánto ascienden las multas?
Para las entidades esenciales, hasta 10 millones de euros o el 2 % de la facturación anual mundial, la cifra que sea mayor. Para las entidades importantes, hasta 7 millones de euros o el 1,4 %.
¿Basta con nuestro certificado ISO 27001?
Cubre mucho, pero no todo. Se añaden el registro, los plazos de notificación y las obligaciones de la dirección. El análisis de brechas muestra qué le falta en concreto.
No estamos afectados, pero nuestro cliente nos pide evidencias. ¿Qué hacemos?
Ocurre a menudo. Revisamos con usted qué requisitos del cliente se derivan de NIS2 y cuáles van más allá, y le ayudamos a responder el cuestionario de forma sólida.
Servicios defensivos
Más servicios de esta área
Servicios defensivos
Refuerce su defensa digital con servicios defensivos a medida. Detección de amenazas con IA, criptografía cuántica y se…
VerInformática forense
Hacer visibles los rastros invisibles. Análisis altamente especializados, forense de comportamiento con IA y visualizac…
VerTalleres
Refuerce su seguridad informática con talleres interactivos de ciberseguridad y defensa. Formación práctica para defend…
VerPaquetes y suscripciones
Suscripciones de ciberseguridad a medida: desde pruebas de penetración periódicas hasta el vCISO. Soluciones flexibles …
VerContacto
La reputación tarda años. Destruirla, segundos.
Hable con nosotros antes de que lo haga otro. La primera conversación es gratuita y respondemos el mismo día laborable.