Después de leerlo, podrá recorrer las medidas de la directiva línea a línea y anotar la carencia, el responsable y la evidencia.
Definición
El artículo 21.2 enumera diez medidas en las letras a) a j): análisis de riesgos y políticas de seguridad; gestión de incidentes; continuidad de las actividades con copias de seguridad y gestión de crisis; seguridad de la cadena de suministro; seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión de vulnerabilidades; evaluación de la eficacia; ciberhigiene y formación; criptografía; seguridad de los recursos humanos, control de acceso y gestión de activos; y autenticación multifactor con comunicaciones seguras.
Por qué importa
Un texto jurídico largo se convierte en puntos que se pueden asignar, comprobar y mostrar a una autoridad.
Aun así, cada punto exige criterio. El artículo 21.1 vincula las medidas a la exposición de la empresa, a su tamaño y a la gravedad de los posibles incidentes, así que la misma línea puede suponer un trabajo distinto para dos empresas.
Cómo funciona
Confirme la condición de la entidad según la ley nacional. Haga aprobar las medidas por el órgano de dirección y programe su formación.
Recorra las diez medidas. Para cada una, anote lo que existe, lo que lo demuestra, lo que falta, quién es responsable y para cuándo.
Prepare la notificación al final: criterios de incidente significativo, una persona de guardia, el contacto del CSIRT o de la autoridad y mensajes redactados para los pasos de 24 horas, 72 horas y un mes.
Un caso práctico
Letra d), cadena de suministro. La empresa cuenta con 12 proveedores críticos. Siete contratos incluyen cláusulas de seguridad, y tres proveedores fueron evaluados en los últimos 12 meses.
Quedan cinco contratos y nueve evaluaciones por hacer. El responsable de compras se encarga, para finales del tercer trimestre. La lista de proveedores y las cláusulas firmadas servirán de evidencia, y por ahora la línea indica «implantado en parte».
Buenas prácticas
- Mantenga el texto de la directiva junto a su propia explicación, para que un revisor pueda comprobar la interpretación.
- Añada los requisitos de su ley nacional como líneas adicionales.
- Pida una evidencia por línea.
- Haga un ejercicio de notificación y cronométrelo desde la primera alerta.
Errores frecuentes
- Marcar una línea porque existe una política. La autoridad preguntará qué ocurre en la práctica.
- Olvidar el artículo 20, porque una lista elaborada por informática suele quedarse en las medidas técnicas.
- Omitir el registro ante la autoridad, que está fuera del artículo 21 y pasa fácilmente desapercibido.
- Empezar a contar las 24 horas al terminar la investigación. El plazo corre desde que se tiene conocimiento del incidente.
Preguntas
- ¿Cuántas medidas enumera el artículo 21?
- Diez, en las letras a) a j) de su segundo apartado.
- ¿Es obligatoria la autenticación multifactor con NIS2?
- El artículo 21.2.j) menciona las soluciones de autenticación multifactor o de autenticación continua, cuando proceda.
- ¿Cuáles son los tres plazos de notificación de NIS2?
- Una alerta temprana en las 24 horas siguientes a tener conocimiento, una notificación en 72 horas y un informe final en el mes siguiente a la notificación.
- ¿Deben los directivos recibir formación NIS2?
- Sí. El artículo 20.2 exige que los miembros de los órganos de dirección reciban formación y anima a las entidades a ofrecerla a su personal.
- ¿Hay normas más detalladas para los proveedores digitales?
- Sí. El Reglamento de Ejecución (UE) 2024/2690 fija requisitos técnicos para ciertos proveedores digitales, como los de servicios en la nube y de servicios gestionados.