← Volver al blog

Lista de verificación de cumplimiento de NIS2: 10 pasos para prepararse antes de la fecha límite

Una lista práctica de 10 pasos para preparar a su organización para el cumplimiento de NIS2, desde la definición del alcance y la evaluación de riesgos hasta la notificación de incidentes y la mejora continua.

---

Lista de verificación de cumplimiento de NIS2: 10 pasos para prepararse antes de la fecha límite

La Directiva NIS2 está transformando las obligaciones de ciberseguridad en toda Europa y el tiempo se agota. Mientras los Estados miembros transponen la directiva a sus legislaciones nacionales y se acerca su aplicación, las organizaciones necesitan una hoja de ruta clara y práctica para lograr el cumplimiento.

Esta lista divide la preparación para NIS2 en 10 pasos concretos, cada uno con acciones específicas que puede llevar a cabo hoy mismo. Tanto si empieza desde cero como si parte de un programa de seguridad existente, esta guía le ayudará a identificar carencias y priorizar sus esfuerzos.

Paso 1: Determine si está dentro del ámbito de aplicación

Por qué es importante: NIS2 amplió drásticamente el número de organizaciones sujetas a obligaciones de ciberseguridad. Si da por hecho que no le afecta, podría estar equivocado.

Acciones:

• Compruebe su sector: NIS2 abarca 18 sectores distribuidos en dos anexos. El anexo I (entidades esenciales) incluye energía, transporte, banca, salud, infraestructura digital y servicios de TIC. El anexo II (entidades importantes) incluye servicios postales, gestión de residuos, productos químicos, alimentación, fabricación y proveedores digitales
• Compruebe su tamaño: La directiva se aplica a organizaciones medianas (50 o más empleados O una facturación de 10 millones de euros o más) y grandes (250 o más empleados O una facturación de 50 millones de euros o más) de los sectores incluidos
• Compruebe las excepciones: Algunos tipos de entidades están incluidos independientemente de su tamaño, como proveedores de DNS, registros de TLD, redes públicas de comunicaciones y prestadores de servicios de confianza
• Evalúe la exposición de la cadena de suministro: Aunque no esté directamente dentro del ámbito de aplicación, sus clientes de sectores incluidos pueden exigir a sus proveedores una seguridad alineada con NIS2

Cómo ayuda KENSAI: La plataforma de KENSAI está diseñada para organizaciones dentro del ámbito de NIS2 y proporciona la gestión continua de vulnerabilidades y los informes que exige la directiva. Empezar con un análisis gratuito le ofrece visibilidad inmediata sobre su postura de seguridad actual.

Paso 2: Clasifique su tipo de entidad

Por qué es importante: Las entidades esenciales están sujetas a una supervisión más estricta y sanciones más elevadas que las entidades importantes. Su clasificación determina sus obligaciones.

Acciones:

• Entidades esenciales (sectores del anexo I, organizaciones grandes): Sujetas a supervisión regulatoria proactiva, incluidas inspecciones in situ y auditorías periódicas. Multas máximas de 10 millones de euros o el 2 % de la facturación mundial
• Entidades importantes (sectores del anexo II, organizaciones medianas): Sujetas a supervisión reactiva (después de un incidente o de pruebas de incumplimiento). Multas máximas de 7 millones de euros o el 1,4 % de la facturación mundial
• Documente su clasificación y el razonamiento que la sustenta
• Revise la transposición nacional: Algunos Estados miembros pueden aplicar criterios más estrictos. La NIS2UmsuCG alemana, por ejemplo, introduce categorías adicionales

Cómo ayuda KENSAI: Los informes de cumplimiento de KENSAI relacionan los hallazgos con los requisitos específicos aplicables a la clasificación de su entidad, garantizando que sus evidencias de seguridad se correspondan con sus obligaciones.

Paso 3: Consiga el respaldo de la dirección y establezca responsabilidades

Por qué es importante: El artículo 20 de NIS2 hace que los órganos de dirección sean personalmente responsables de la ciberseguridad. No es una recomendación, sino un requisito legal con implicaciones de responsabilidad personal.

Acciones:

• Informe al consejo de administración y a la alta dirección sobre los requisitos de NIS2 y su responsabilidad personal
• Designe a un directivo responsable de la supervisión de la ciberseguridad (CISO, CTO o equivalente)
• Establezca una estructura de gobernanza en la que la dirección apruebe formalmente las políticas de ciberseguridad y revise las evaluaciones de riesgos
• Programe formación obligatoria en ciberseguridad para todos los miembros del órgano de dirección; NIS2 lo exige expresamente
• Documente la participación de la dirección en las decisiones de ciberseguridad con fines de auditoría
• Incluya la ciberseguridad como punto permanente del orden del día en las reuniones del consejo

Cómo ayuda KENSAI: KENSAI proporciona paneles ejecutivos e informes de tendencias que ofrecen a la dirección la visibilidad necesaria para cumplir sus responsabilidades de supervisión sin requerir conocimientos técnicos profundos.

Paso 4: Realice una evaluación integral de riesgos

Por qué es importante: El artículo 21 de NIS2 exige medidas técnicas y organizativas «adecuadas y proporcionadas» basadas en una evaluación de riesgos. Sin una evaluación de riesgos documentada, no puede demostrar que sus medidas sean proporcionadas.

Acciones:

• Identifique los activos críticos: Catalogue todos los sistemas de redes y de información que sustentan sus servicios esenciales
• Evalúe las amenazas: Documente el panorama de amenazas relevante para su sector y ubicación geográfica (ransomware, ataques patrocinados por Estados, compromisos de la cadena de suministro y amenazas internas)
• Evalúe las vulnerabilidades: Realice evaluaciones técnicas de vulnerabilidades de su infraestructura, aplicaciones y procesos
• Determine el impacto: Para cada riesgo identificado, evalúe el impacto potencial en la continuidad del servicio, la integridad de los datos y las partes afectadas
• Calcule los niveles de riesgo: Utilice una metodología coherente (probabilidad × impacto) para priorizar los riesgos
• Documéntelo todo: La evaluación de riesgos debe realizarse por escrito, revisarse y actualizarse periódicamente

Cómo ayuda KENSAI: El análisis automatizado de vulnerabilidades de KENSAI proporciona los datos técnicos que necesita su evaluación de riesgos. En lugar de depender de evaluaciones manuales puntuales, KENSAI ofrece inteligencia continua sobre vulnerabilidades que mantiene actualizada su evaluación de riesgos.

Paso 5: Cartografíe su superficie de ataque

Por qué es importante: NIS2 exige medidas de seguridad para sus redes y sistemas de información. No puede proteger aquello cuya existencia desconoce.

Acciones:

• Inventaríe todos los activos expuestos externamente: Aplicaciones web, APIs, servidores de correo, puntos de conexión VPN, servicios en la nube y subdominios
• Identifique la TI en la sombra: Descubra servicios en la nube no autorizados, entornos de prueba olvidados y sistemas heredados
• Cartografíe las conexiones con terceros: Documente todas las integraciones externas, conexiones de API y flujos de datos con proveedores y socios
• Evalúe la exposición en la nube: Revise las configuraciones de IaaS, PaaS y SaaS para detectar errores de configuración y permisos excesivos
• Documente sus hallazgos: Mantenga un inventario dinámico de su superficie de ataque

Cómo ayuda KENSAI: La detección de la superficie de ataque de KENSAI identifica automáticamente sus activos expuestos externamente, incluidos subdominios olvidados y servicios expuestos que los inventarios internos no detectan. Ejecute un análisis gratuito para ver su superficie de ataque desde la perspectiva de un atacante.

Paso 6: Implemente las 10 medidas mínimas de seguridad

Por qué es importante: El artículo 21, apartado 2, de NIS2 enumera diez categorías específicas de medidas de seguridad que todas las entidades incluidas deben aplicar. No son opcionales.

Acciones para cada medida:

a) Análisis de riesgos y políticas de seguridad de la información

• Desarrolle y documente una política de seguridad de la información
• Establezca un marco de gestión de riesgos con ciclos periódicos de revisión

b) Gestión de incidentes

• Cree un plan de respuesta a incidentes con funciones, responsabilidades y procedimientos de escalado claros
• Implemente capacidades de detección y supervisión de incidentes
• Realice simulacros periódicos de respuesta a incidentes

c) Continuidad de la actividad y gestión de crisis

• Desarrolle planes de continuidad de la actividad para los servicios críticos
• Implemente y pruebe procedimientos de copia de seguridad y recuperación ante desastres
• Asegúrese de que existan copias de seguridad sin conexión o inmutables (esenciales para la resiliencia frente al ransomware)

d) Seguridad de la cadena de suministro

• Evalúe las prácticas de ciberseguridad de los proveedores críticos
• Incluya requisitos de seguridad en las adquisiciones y los contratos
• Supervise de forma continua la seguridad de los proveedores

e) Seguridad en la adquisición, el desarrollo y el mantenimiento

• Implemente prácticas de desarrollo seguro (SDLC)
• Gestione las vulnerabilidades y realice pruebas de seguridad periódicas
• Establezca procedimientos de gestión de parches

f) Evaluación de la eficacia

• Programe auditorías y evaluaciones periódicas de seguridad
• Implemente métricas de seguridad y KPIs
• Revise y actualice las medidas según los resultados de las evaluaciones

g) Ciberhigiene y formación

• Imparta formación de concienciación en seguridad a todos los empleados
• Implemente programas de simulación de phishing
• Establezca normas básicas de ciberhigiene (políticas de contraseñas, escritorio limpio, etc.)

h) Criptografía y cifrado

• Cifre los datos en tránsito (TLS 1.2 o superior para todos los servicios)
• Cifre los datos sensibles en reposo
• Gestione las claves criptográficas conforme a las mejores prácticas

i) Seguridad de los recursos humanos y control de acceso

• Implemente autenticación multifactor para todos los sistemas críticos
• Aplique el principio de privilegio mínimo
• Establezca procesos de revisión de accesos

j) Comunicaciones seguras

• Implemente canales de comunicación cifrados para conversaciones sensibles
• Establezca procedimientos de comunicación de emergencia que funcionen cuando los sistemas principales estén comprometidos

Cómo ayuda KENSAI: KENSAI respalda directamente las medidas (e) y (f), así como los aspectos de gestión de vulnerabilidades de las medidas (a) y (d). El análisis automatizado continuo garantiza que cumpla los requisitos de «pruebas periódicas» y «gestión de vulnerabilidades» con evidencias verificables.

Paso 7: Establezca capacidades de notificación de incidentes

Por qué es importante: NIS2 introduce estrictos requisitos de notificación de incidentes en varias etapas. Incumplir el plazo de 24 horas para la alerta temprana puede dar lugar a sanciones independientes del propio incidente.

Acciones:

• Defina los criterios de «incidente significativo» para su organización, de acuerdo con la definición de NIS2 (perturbación operativa grave, pérdidas financieras o daños considerables a terceros)
• Implemente supervisión 24/7 capaz de detectar incidentes significativos en tiempo real; no puede informar de lo que no ha detectado
• Identifique su CSIRT nacional y la autoridad competente: Sepa exactamente dónde y cómo informar
• Prepare plantillas de notificación para cada etapa:
• Alerta temprana en 24 horas: Datos básicos del incidente, si se sospecha que es ilícito o malicioso y posible impacto transfronterizo
• Notificación en 72 horas: Evaluación inicial, gravedad, impacto e indicadores de compromiso
• Informe final en un mes: Descripción detallada, análisis de la causa raíz, medidas de mitigación e impacto transfronterizo
• Designe y forme a los responsables de notificar incidentes: Asegúrese de que varios miembros del equipo puedan presentar informes
• Practique el proceso de notificación: Realice ejercicios de simulación que incluyan el calendario de notificación

Cómo ayuda KENSAI: La supervisión continua de KENSAI permite detectar y notificar las vulnerabilidades antes de que se conviertan en incidentes. Cuando se encuentran problemas, los informes técnicos detallados de KENSAI proporcionan los indicadores de compromiso y la información técnica necesarios para notificar incidentes con rapidez.

Paso 8: Aborde la seguridad de la cadena de suministro

Por qué es importante: NIS2 exige expresamente que las organizaciones gestionen los riesgos de ciberseguridad de su cadena de suministro. La directiva reconoce que muchas brechas importantes se originan a través de proveedores de confianza.

Acciones:

• Identifique a los proveedores críticos: Catalogue los proveedores con acceso a sus sistemas, datos o red
• Evalúe la postura de seguridad de los proveedores: Solicite certificaciones de seguridad (ISO 27001, SOC 2), realice cuestionarios o exija evaluaciones de terceros
• Incluya requisitos de seguridad en los contratos: Defina normas mínimas de seguridad, obligaciones de notificación de incidentes, derechos de auditoría y cláusulas de rescisión por fallos de seguridad
• Supervise continuamente la seguridad de los proveedores: No se limite a evaluarla durante la incorporación; realice revisiones periódicas
• Desarrolle procedimientos de respuesta a incidentes de proveedores: Sepa qué ocurrirá cuando un proveedor se vea comprometido
• Diversifique las dependencias críticas: Evite puntos únicos de fallo en su cadena de suministro

Cómo ayuda KENSAI: KENSAI puede analizar la infraestructura externa de sus proveedores (con su permiso) para proporcionar una visión objetiva de su postura de seguridad. Esto le ofrece datos verificables en lugar de depender únicamente de cuestionarios cumplimentados por los propios proveedores.

Paso 9: Documéntelo todo para estar preparado para las auditorías

Por qué es importante: La supervisión de NIS2 incluye la facultad de realizar auditorías, inspecciones y solicitudes de evidencias. Si no puede demostrar el cumplimiento mediante documentación, no cumple la normativa.

Acciones:

• Mantenga un repositorio de evidencias de cumplimiento con todas las políticas, procedimientos, evaluaciones de riesgos y resultados de pruebas
• Conserve registros de todos los incidentes de seguridad y de sus medidas de respuesta, independientemente de que alcanzaran el umbral de «significativo»
• Documente las aprobaciones de la dirección: Cada aprobación de políticas, aceptación de riesgos y decisión presupuestaria
• Archive los resultados de las pruebas de seguridad con marcas de tiempo; el análisis continuo proporciona evidencias más sólidas que los informes anuales
• Registre la finalización de la formación de todo el personal, prestando especial atención a la formación de la dirección
• Registre las evaluaciones de la cadena de suministro y las cláusulas contractuales de seguridad
• Mantenga registros de cambios de todas las políticas y procedimientos relacionados con la seguridad

Cómo ayuda KENSAI: KENSAI genera automáticamente informes de análisis con marcas de tiempo, historiales de seguimiento de vulnerabilidades y cronologías de corrección. Esto crea un registro de auditoría continuo que demuestra la realización constante de pruebas de seguridad, mucho más convincente para los reguladores que un único informe anual de pruebas de penetración.

Paso 10: Implemente la mejora continua

Por qué es importante: NIS2 no es un ejercicio puntual de marcar casillas. La directiva exige una gestión continua de riesgos y una evaluación periódica de la eficacia de las medidas. Los reguladores buscarán evidencias de mejora continua, no de un cumplimiento estático.

Acciones:

• Programe revisiones trimestrales de seguridad para evaluar la eficacia de las medidas implementadas
• Realice un seguimiento de las métricas de seguridad a lo largo del tiempo: Número de vulnerabilidades, tiempo medio de corrección, frecuencia de incidentes y tasas de finalización de la formación
• Actualice las evaluaciones de riesgos cuando cambie el panorama de amenazas, después de incidentes significativos o, como mínimo, una vez al año
• Compare su desempeño con marcos de referencia: Utilice ISO 27001, NIST CSF o CIS Controls como referencias de madurez
• Participe en el intercambio de información: Únase a ISACs (Centros de Intercambio y Análisis de Información) específicos de su sector y colabore con su CSIRT nacional
• Revise y actualice esta lista: Reevalúe trimestralmente su estado de cumplimiento de NIS2
• Prepárese para la evolución normativa: NIS2 se revisará y podría actualizarse; incorpore flexibilidad a su programa de seguridad

Cómo ayuda KENSAI: El modelo de análisis continuo de KENSAI está intrínsecamente alineado con la mejora continua. Cada análisis se basa en los resultados anteriores y realiza un seguimiento de qué vulnerabilidades se han corregido, cuáles son nuevas y cómo evoluciona su postura general de seguridad con el tiempo. La plataforma proporciona las métricas y los datos de tendencias que demuestran la mejora ante auditores y reguladores.

Su cronograma de cumplimiento de NIS2

Este es un cronograma realista para implementar esta lista de verificación:

Meses 1-2: Fase de evaluación - Pasos 1-2: Determinación del alcance y clasificación - Paso 3: Sesión informativa para la dirección y obtención de su apoyo - Paso 4: Inicio de la evaluación de riesgos - Paso 5: Mapeo de la superficie de ataque (comience con el análisis gratuito de KENSAI)

Meses 3-4: Fase de establecimiento de las bases - Paso 4: Completar la evaluación de riesgos - Paso 6: Comenzar a implementar las 10 medidas mínimas (priorizar las deficiencias) - Paso 7: Establecer capacidades de notificación de incidentes

Meses 5-6: Fase de implementación - Paso 6: Continuar con la implementación de las medidas mínimas - Paso 8: Abordar la seguridad de la cadena de suministro - Paso 9: Establecer la gestión de la documentación y las evidencias

Mes 7 en adelante: Fase continua - Paso 10: Mejora, supervisión y evaluación continuas - Revisiones y actualizaciones periódicas en todos los pasos

Errores comunes que debe evitar

• Tratar NIS2 como un proyecto exclusivo de TI: Requiere la participación de la dirección y la colaboración entre distintas áreas
• Esperar a la transposición nacional: Los requisitos están claros; empiece ahora
• Depender excesivamente de las certificaciones: ISO 27001 constituye una base sólida, pero no equivale automáticamente al cumplimiento de NIS2
• Desatender las obligaciones relacionadas con la cadena de suministro: Aquí es donde muchas organizaciones se encontrarán sin preparación
• Considerar el cumplimiento como una actividad puntual: NIS2 exige una gestión continua de los riesgos, no ejercicios anuales
• Ignorar el requisito de notificación en un plazo de 24 horas: Esto requiere capacidades de supervisión, no solo un documento de políticas

---

Empiece por la visibilidad

No puede corregir lo que no puede ver. El primer paso para cumplir con NIS2 es comprender su postura actual de seguridad.

👉 Obtenga su análisis de seguridad gratuito de KENSAI en kensai.app/free-scan — mapee su superficie de ataque e identifique vulnerabilidades en cuestión de minutos.