← Volver al Blog

Checklist de Cumplimiento NIS2: 10 Pasos para Prepararte Antes de la Fecha Límite

Un checklist práctico de 10 pasos para preparar tu organización para el cumplimiento de NIS2 — desde la definición del alcance y la evaluación de riesgos hasta la notificación de incidentes y la mejora continua.

---

Checklist de Cumplimiento NIS2: 10 Pasos para Prepararte Antes de la Fecha Límite

La Directiva NIS2 está transformando las obligaciones de ciberseguridad en toda Europa, y el tiempo se agota. Con los estados miembros transponiendo la directiva a la legislación nacional y la aplicación en marcha, las organizaciones necesitan una hoja de ruta clara y accionable para lograr el cumplimiento.

Este checklist desglosa la preparación para NIS2 en 10 pasos concretos — cada uno con acciones específicas que puedes tomar hoy. Ya sea que partas desde cero o construyas sobre un programa de seguridad existente, esta guía te ayudará a identificar brechas y priorizar tus esfuerzos.

Paso 1: Determinar si estás dentro del ámbito

Por qué importa: NIS2 amplió drásticamente el número de organizaciones sujetas a obligaciones de ciberseguridad. Si asumes que no estás cubierto, podrías estar equivocado.

Acciones:

• Verifica tu sector: NIS2 cubre 18 sectores en dos anexos. El Anexo I (entidades esenciales) incluye energía, transporte, banca, salud, infraestructura digital y servicios TIC. El Anexo II (entidades importantes) incluye servicios postales, gestión de residuos, químicos, alimentación, fabricación y proveedores digitales
• Verifica tu tamaño: La directiva aplica a organizaciones medianas (50+ empleados O facturación de €10M+) y grandes (250+ empleados O facturación de €50M+) en sectores cubiertos
• Verifica excepciones: Algunos tipos de entidades están cubiertos independientemente del tamaño — proveedores DNS, registros TLD, redes públicas de comunicaciones y proveedores de servicios de confianza
• Evalúa la exposición en la cadena de suministro: Incluso si no estás directamente en el ámbito, tus clientes en sectores cubiertos pueden requerir seguridad alineada con NIS2 de sus proveedores

Cómo ayuda KENSAI: La plataforma de KENSAI está diseñada para organizaciones en el ámbito de NIS2, proporcionando la gestión continua de vulnerabilidades y los informes que la directiva exige. Comenzar con un escaneo gratuito te da visibilidad inmediata de tu postura de seguridad actual.

Paso 2: Clasificar tu tipo de entidad

Por qué importa: Las entidades esenciales enfrentan una supervisión más estricta y sanciones más altas que las entidades importantes. Tu clasificación determina tus obligaciones.

Acciones:

• Entidades esenciales (sectores del Anexo I, grandes organizaciones): Sujetas a supervisión regulatoria proactiva, incluyendo inspecciones in situ y auditorías regulares. Multas máximas de €10 millones o 2% de la facturación global
• Entidades importantes (sectores del Anexo II, organizaciones medianas): Sujetas a supervisión reactiva (tras un incidente o evidencia de incumplimiento). Multas máximas de €7 millones o 1,4% de la facturación global
• Documenta tu clasificación y el razonamiento detrás de ella
• Revisa la transposición nacional — algunos estados miembros pueden aplicar criterios más estrictos. La NIS2UmsuCG de Alemania, por ejemplo, introduce categorías adicionales

Cómo ayuda KENSAI: Los informes de cumplimiento de KENSAI mapean los hallazgos a los requisitos específicos aplicables a tu clasificación de entidad, asegurando que tu evidencia de seguridad coincida con tus obligaciones.

Paso 3: Obtener el apoyo y la responsabilidad de la dirección

Por qué importa: El Artículo 20 de NIS2 hace a los órganos de dirección personalmente responsables de la ciberseguridad. Esto no es una sugerencia — es un requisito legal con implicaciones de responsabilidad personal.

Acciones:

• Informa al consejo y a la alta dirección sobre los requisitos de NIS2 y su responsabilidad personal
• Designa un ejecutivo responsable de la supervisión de ciberseguridad (CISO, CTO o equivalente)
• Establece una estructura de gobernanza donde la dirección apruebe formalmente las políticas de ciberseguridad y revise las evaluaciones de riesgos
• Programa formación obligatoria en ciberseguridad para todos los miembros del órgano de dirección — NIS2 lo requiere explícitamente
• Documenta la participación de la dirección en las decisiones de ciberseguridad para fines de auditoría
• Incluye la ciberseguridad como punto permanente del orden del día en las reuniones del consejo

Cómo ayuda KENSAI: KENSAI proporciona paneles ejecutivos e informes de tendencias que dan a la dirección la visibilidad que necesitan para cumplir sus responsabilidades de supervisión sin requerir conocimientos técnicos profundos.

Paso 4: Realizar una evaluación integral de riesgos

Por qué importa: El Artículo 21 de NIS2 requiere medidas técnicas y organizativas "apropiadas y proporcionadas" basadas en una evaluación de riesgos. Sin una evaluación de riesgos documentada, no puedes demostrar que tus medidas son proporcionadas.

Acciones:

• Identifica activos críticos: Mapea todos los sistemas de redes e información que soportan tus servicios esenciales
• Evalúa amenazas: Documenta el panorama de amenazas relevante para tu sector y geografía (ransomware, ataques patrocinados por estados, compromiso de cadena de suministro, amenazas internas)
• Evalúa vulnerabilidades: Realiza evaluaciones técnicas de vulnerabilidades de tu infraestructura, aplicaciones y procesos
• Determina el impacto: Para cada riesgo identificado, evalúa el impacto potencial en la continuidad del servicio, integridad de datos y partes afectadas
• Calcula niveles de riesgo: Utiliza una metodología consistente (probabilidad × impacto) para priorizar riesgos
• Documenta todo: La evaluación de riesgos debe estar escrita, revisada y actualizada regularmente

Cómo ayuda KENSAI: El escaneo automatizado de vulnerabilidades de KENSAI proporciona los datos técnicos de vulnerabilidades que tu evaluación de riesgos necesita. En lugar de depender de evaluaciones manuales puntuales, KENSAI ofrece inteligencia continua de vulnerabilidades que mantiene tu evaluación de riesgos actualizada.

Paso 5: Mapear tu superficie de ataque

Por qué importa: NIS2 requiere medidas de seguridad para tus redes y sistemas de información. No puedes asegurar lo que no sabes que existe.

Acciones:

• Inventaria todos los activos externos: Aplicaciones web, APIs, servidores de correo, endpoints VPN, servicios cloud, subdominios
• Identifica shadow IT: Descubre servicios cloud no autorizados, entornos de prueba olvidados y sistemas heredados
• Mapea conexiones con terceros: Documenta todas las integraciones externas, conexiones API y flujos de datos con proveedores y socios
• Evalúa la exposición cloud: Revisa configuraciones IaaS, PaaS y SaaS en busca de errores de configuración y permisos excesivos
• Documenta tus hallazgos: Mantén un inventario vivo de tu superficie de ataque

Cómo ayuda KENSAI: El descubrimiento de superficie de ataque de KENSAI identifica automáticamente tus activos externos, incluyendo subdominios olvidados y servicios expuestos que los inventarios internos pasan por alto. Ejecuta un escaneo gratuito para ver tu superficie de ataque desde la perspectiva de un atacante.

Paso 6: Implementar las 10 medidas mínimas de seguridad

Por qué importa: El Artículo 21(2) de NIS2 enumera diez categorías específicas de medidas de seguridad que todas las entidades cubiertas deben implementar. No son opcionales.

Acciones para cada medida:

a) Análisis de riesgos y políticas de seguridad de la información

• Desarrolla y documenta una política de seguridad de la información
• Establece un marco de gestión de riesgos con ciclos de revisión regulares

b) Gestión de incidentes

• Crea un plan de respuesta a incidentes con roles, responsabilidades y procedimientos de escalamiento claros
• Implementa capacidades de detección y monitorización de incidentes
• Realiza simulacros regulares de respuesta a incidentes

c) Continuidad del negocio y gestión de crisis

• Desarrolla planes de continuidad del negocio para servicios críticos
• Implementa y prueba procedimientos de copia de seguridad y recuperación ante desastres
• Asegura que existan copias de seguridad offline/inmutables (crítico para la resiliencia ante ransomware)

d) Seguridad de la cadena de suministro

• Evalúa las prácticas de ciberseguridad de los proveedores críticos
• Incluye requisitos de seguridad en la contratación y los contratos
• Monitoriza la seguridad de los proveedores de forma continua

e) Seguridad en adquisición, desarrollo y mantenimiento

• Implementa prácticas de desarrollo seguro (SDLC)
• Realiza gestión de vulnerabilidades y pruebas de seguridad regulares
• Establece procedimientos de gestión de parches

f) Evaluación de la eficacia

• Programa auditorías y evaluaciones de seguridad regulares
• Implementa métricas y KPIs de seguridad
• Revisa y actualiza las medidas basándote en los resultados de las evaluaciones

g) Ciberhigiene y formación

• Despliega formación de concienciación de seguridad para todos los empleados
• Implementa programas de simulación de phishing
• Establece estándares básicos de ciberhigiene (políticas de contraseñas, escritorio limpio, etc.)

h) Criptografía y cifrado

• Cifra datos en tránsito (TLS 1.2+ para todos los servicios)
• Cifra datos en reposo para información sensible
• Gestiona claves criptográficas según las mejores prácticas

i) Seguridad de recursos humanos y control de acceso

• Implementa autenticación multifactor para todos los sistemas críticos
• Aplica el principio de mínimo privilegio
• Establece procesos de revisión de accesos

j) Comunicaciones seguras

• Despliega canales de comunicación cifrados para discusiones sensibles
• Establece procedimientos de comunicación de emergencia que funcionen cuando los sistemas principales estén comprometidos

Cómo ayuda KENSAI: KENSAI apoya directamente las medidas (e), (f) y los aspectos de gestión de vulnerabilidades de (a) y (d). El escaneo automatizado continuo asegura que cumplas los requisitos de "pruebas regulares" y "gestión de vulnerabilidades" con evidencia verificable.

Paso 7: Establecer capacidades de notificación de incidentes

Por qué importa: NIS2 introduce requisitos estrictos de notificación de incidentes en múltiples etapas. Incumplir el plazo de alerta temprana de 24 horas puede resultar en sanciones independientes del incidente en sí.

Acciones:

• Define criterios de "incidente significativo" para tu organización, alineados con la definición de NIS2 (interrupción operativa grave, pérdida financiera o daño considerable a terceros)
• Implementa monitorización 24/7 capaz de detectar incidentes significativos en tiempo real — no puedes notificar lo que no has detectado
• Identifica tu CSIRT nacional y autoridad competente — conoce exactamente dónde y cómo reportar
• Prepara plantillas de notificación para cada etapa:
• Alerta temprana de 24 horas: Hechos básicos del incidente, si se sospecha que es ilícito o malicioso, potencial impacto transfronterizo
• Notificación de 72 horas: Evaluación inicial, gravedad, impacto, indicadores de compromiso
• Informe final de 1 mes: Descripción detallada, análisis de causa raíz, medidas de mitigación, impacto transfronterizo
• Designa y forma a los notificadores de incidentes — asegúrate de que varios miembros del equipo puedan enviar informes
• Practica el proceso de notificación — realiza ejercicios de simulación que incluyan el cronograma de notificación

Cómo ayuda KENSAI: La monitorización continua de KENSAI significa que las vulnerabilidades se detectan y reportan antes de que se conviertan en incidentes. Cuando se encuentran problemas, los informes técnicos detallados de KENSAI proporcionan los indicadores de compromiso y detalles técnicos necesarios para la notificación rápida de incidentes.

Paso 8: Abordar la seguridad de la cadena de suministro

Por qué importa: NIS2 exige explícitamente a las organizaciones gestionar los riesgos de ciberseguridad en su cadena de suministro. La directiva reconoce que muchas brechas importantes se originan a través de proveedores de confianza.

Acciones:

• Identifica proveedores críticos: Mapea los proveedores con acceso a tus sistemas, datos o red
• Evalúa la postura de seguridad de los proveedores: Solicita certificaciones de seguridad (ISO 27001, SOC 2), realiza cuestionarios o exige evaluaciones de terceros
• Incluye requisitos de seguridad en los contratos: Define estándares mínimos de seguridad, obligaciones de notificación de incidentes, derechos de auditoría y cláusulas de terminación por fallos de seguridad
• Monitoriza la seguridad continua de los proveedores: No evalúes solo en la incorporación — realiza revisiones regulares
• Desarrolla procedimientos de respuesta a incidentes de proveedores: Sabe qué sucede cuando un proveedor se ve comprometido
• Diversifica dependencias críticas: Evita puntos únicos de fallo en tu cadena de suministro

Cómo ayuda KENSAI: KENSAI puede escanear la infraestructura externa de tus proveedores (con su permiso) para proporcionar una visión objetiva de su postura de seguridad. Esto te da datos verificables en lugar de depender únicamente de cuestionarios auto-reportados.

Paso 9: Documentar todo para estar preparado para auditorías

Por qué importa: La supervisión de NIS2 incluye la potestad de realizar auditorías, inspecciones y solicitudes de evidencia. Si no puedes demostrar el cumplimiento mediante documentación, no estás cumpliendo.

Acciones:

• Mantén un repositorio de evidencias de cumplimiento con todas las políticas, procedimientos, evaluaciones de riesgos y resultados de pruebas
• Conserva registros de todos los incidentes de seguridad y tus acciones de respuesta, independientemente de si alcanzaron el umbral de "significativo"
• Documenta las aprobaciones de la dirección — cada aprobación de política, aceptación de riesgo y decisión presupuestaria
• Archiva los resultados de las pruebas de seguridad con marcas de tiempo — el escaneo continuo proporciona evidencia más sólida que los informes anuales
• Haz seguimiento de la finalización de la formación de todo el personal, con especial atención a la formación de la dirección
• Registra las evaluaciones de cadena de suministro y las cláusulas de seguridad contractuales
• Mantén registros de cambios de todas las políticas y procedimientos relacionados con la seguridad

Cómo ayuda KENSAI: KENSAI genera automáticamente informes de escaneo con marca de tiempo, historiales de seguimiento de vulnerabilidades y cronogramas de remediación. Esto crea una pista de auditoría continua que demuestra pruebas de seguridad en curso — mucho más convincente para los reguladores que un único informe anual de pentest.

Paso 10: Implementar la mejora continua

Por qué importa: NIS2 no es un ejercicio de casilla única. La directiva requiere gestión continua de riesgos y evaluación regular de la eficacia de las medidas. Los reguladores buscarán evidencia de mejora continua, no cumplimiento estático.

Acciones:

• Programa revisiones de seguridad trimestrales para evaluar la eficacia de las medidas implementadas
• Haz seguimiento de métricas de seguridad a lo largo del tiempo: Recuento de vulnerabilidades, tiempo medio de remediación, frecuencia de incidentes, tasas de finalización de formación
• Actualiza las evaluaciones de riesgos cuando cambie el panorama de amenazas, después de incidentes significativos o al menos anualmente
• Compara con marcos de referencia: Usa ISO 27001, NIST CSF o CIS Controls como benchmarks de madurez
• Participa en el intercambio de información: Únete a ISACs (Centros de Análisis e Intercambio de Información) sectoriales y colabora con tu CSIRT nacional
• Revisa y actualiza este checklist — revisa tu estado de cumplimiento NIS2 cada trimestre
• Planifica para la evolución regulatoria: NIS2 será revisada y potencialmente actualizada; incorpora flexibilidad en tu programa de seguridad

Cómo ayuda KENSAI: El modelo de escaneo continuo de KENSAI está inherentemente alineado con la mejora continua. Cada escaneo se basa en resultados anteriores, haciendo seguimiento de qué vulnerabilidades se han corregido, cuáles son nuevas y cómo evoluciona tu postura de seguridad general a lo largo del tiempo. La plataforma proporciona las métricas y datos de tendencia que demuestran la mejora ante auditores y reguladores.

Tu cronograma de cumplimiento NIS2

Aquí tienes un cronograma realista para implementar este checklist:

Mes 1-2: Fase de evaluación - Pasos 1-2: Determinación del alcance y clasificación - Paso 3: Presentación a la dirección y obtención de apoyo - Paso 4: Inicio de la evaluación de riesgos - Paso 5: Mapeo de la superficie de ataque (comienza con el escaneo gratuito de KENSAI)

Mes 3-4: Fase de fundamentación - Paso 4: Completar la evaluación de riesgos - Paso 6: Comenzar la implementación de las 10 medidas mínimas (priorizar brechas) - Paso 7: Establecer capacidades de notificación de incidentes

Mes 5-6: Fase de implementación - Paso 6: Continuar la implementación de las medidas mínimas - Paso 8: Abordar la seguridad de la cadena de suministro - Paso 9: Configurar la documentación y gestión de evidencias

Mes 7+: Fase continua - Paso 10: Mejora continua, monitorización y evaluación - Revisiones regulares y actualizaciones en todos los pasos

Errores comunes a evitar

• Tratar NIS2 como un proyecto solo de TI: Requiere la participación de la dirección y colaboración interfuncional
• Esperar a la transposición nacional: Los requisitos son claros; comienza ahora
• Depender excesivamente de certificaciones: ISO 27001 es una base sólida pero no equivale automáticamente al cumplimiento de NIS2
• Descuidar las obligaciones de cadena de suministro: Aquí es donde muchas organizaciones serán pilladas desprevenidas
• Cumplimiento único: NIS2 requiere gestión continua de riesgos, no ejercicios anuales
• Ignorar el requisito de notificación en 24 horas: Esto requiere capacidades de monitorización, no solo un documento de política

---

Comienza con visibilidad

No puedes arreglar lo que no puedes ver. El primer paso hacia el cumplimiento de NIS2 es comprender tu postura de seguridad actual.

👉 Obtén tu escaneo de seguridad gratuito de KENSAI en kensai.app/free-scan — mapea tu superficie de ataque e identifica vulnerabilidades en minutos.