Cumplimiento NIS2: obligaciones de seguridad para tu empresa

¿Tienes razón?

Para saber si NIS2 aplica a su empresa hay tres cuestionamientos prácticos. Primero, ¿presta servicios esenciales o infraestructura digital que conectan a terceros (plataformas críticas, servicios de TI para sectores regulados, operadores de redes)? Segundo, ¿ofrece servicios digitales a una escala que impacta a usuarios o a la continuidad de otras empresas? Tercero, ¿opera en un sector que las autoridades han identificado como crítico o expuesto a riesgo sistémico? Si la respuesta es afirmativa a cualquiera de estas preguntas, es probable que existan obligaciones de gestión de riesgos, notificación de incidentes y medidas de seguridad.

NIS2 no es solo un checklist técnico: exige gobernanza, roles claros, políticas internas por escrito y capacidad de respuesta ante incidentes. No basta con tecnologías aisladas; la norma pide integrar a la dirección de la empresa en la toma de decisiones de seguridad y documentarlo.

Cómo se soluciona

1. Identifique el alcance y los activos críticos:

• Haga un inventario de servicios, redes y sistemas que afecten a terceros. Incluya proveedores en la cadena de suministro cuya falla pueda impactar su servicio.
• Clasifique los activos por criticidad y por la información que manejan (datos personales, datos financieros, sistemas de control industrial).

1. Defina responsabilidades y gobernanza:

• Asigne un responsable de seguridad con autoridad y recursos. Documente roles, políticas de acceso, y procedimientos de gestión de incidentes.
• Involucre a la dirección en aprobaciones y revisiones periódicas.

1. Implemente controles técnicos y organizativos:

• Aplique controles básicos: gestión de accesos, cifrado cuando proceda, respaldo y planes de recuperación, parcheo regular, segmentación de redes y monitorización de eventos.
• Documente la política de gestión de vulnerabilidades y registros de pruebas y parches realizados.

1. Prepare planes de respuesta a incidentes y continuidad:

• Documente procedimientos para detección, contención, mitigación y comunicación. Incluya comunicación a clientes, reguladores y la prensa cuando proceda.
• Realice ejercicios de simulación para validar tiempos de recuperación y roles.

1. Gestión de la cadena de suministro:

• Evalúe a proveedores críticos y exija cláusulas de seguridad en contratos. Mantenga evidencia de diligencia debida.

1. Registro y auditoría:

• Mantenga registros de eventos de seguridad, decisiones de gobernanza y acciones correctivas. Estos registros son prueba tanto ante auditorías internas como ante autoridades.

1. Formación y cultura:

• Capacite a empleados en prácticas seguras y en detección de incidentes. La parte humana es frecuentemente la más débil.

1. Revisión legal:

• Revise contratos, cláusulas de responsabilidad y seguros. Un abogado especializado ayuda a traducir requisitos técnicos a obligaciones contractuales.

Qué puede pasar

1) Se arregla internamente. Muchas incidencias se gestionan con medidas operativas: parcheo, aislamiento del servicio afectado y comunicación al cliente. Si su empresa ya tiene procesos y los aplica, puede evitar sanciones y recuperar la confianza sin intervención externa.

2) Acuerdo con clientes o proveedores. En caso de impacto a terceros, lo más frecuente es negociar compensaciones y revisiones contractuales. Un acuerdo puede incluir mejoras técnicas y supervisión externa; ese arreglo evita la judicialización.

3) Investigación o sanción por la autoridad competente. Si hay incumplimiento grave, una autoridad puede abrir expediente; además, reclamaciones civiles de clientes afectados pueden derivar en litigio. Si pierde en un procedimiento, puede haber consecuencias económicas y reputacionales. Debe valorar la existencia de seguros cibernéticos y su cobertura.

Si obtiene una resolución favorable, la ejecución depende de la solvencia de las partes afectadas; ganar en lo técnico no siempre evita perjuicios comerciales.

Errores que arruinan el caso

• No documentar decisiones: la falta de registros de gobernanza es la falla más frecuente en auditorías.
• Depender de un único proveedor sin cláusulas contractuales que obliguen a medidas de seguridad.
• No segmentar redes críticas: un fallo en un sistema puede propagarse si no hay contención.
• Subestimar la formación: incidentes iniciados por phishing siguen siendo muy comunes.
• Ignorar la gestión de incidentes: no tener un plan escrito y probado reduce la posibilidad de una defensa creíble ante una autoridad.