# NIS2, RGPD y AI Act: estado de cumplimiento > Cómo apoya NetSenX los artículos 21 y 23 de NIS2, el RGPD y el Reglamento de IA. SOC 2 Type I e ISO/IEC 42001: en preparación, aún sin acreditar. Source page: https://netsenx.com/es/compliance Estado de cumplimiento El cumplimiento forma parte del producto, no es un extra. NetSenX se prepara para un informe SOC 2 Type I, para ISO/IEC 42001 en gestión de la IA y para ISO/IEC 27001 en seguridad de la información. Ninguno se ha concedido todavía; esta página indica en qué punto está cada uno, junto a las normativas que NetSenX ya respalda hoy: NIS2, RGPD, Cyber Resilience Act y AI Act. Solicitar el paquete de pruebas Reservar una sesión para el CISO ### Tres normas, cada una con su propia auditoría externa Normas en preparación SOC 2 informa de cómo operamos los controles, ISO/IEC 27001 de cómo gestionamos la seguridad de la información e ISO/IEC 42001 de cómo gobernamos la IA. Cada una la auditará un organismo independiente; juntas dan a los equipos jurídico, de seguridad y de IA del comprador pruebas que cada uno puede aceptar con sus propios criterios. Qué le aporta Ver detalles Type I En preparación — aún sin atestación · sin fecha de auditoría Una atestación independiente de que los controles de seguridad, disponibilidad y confidencialidad están diseñados como se describen: el informe que pide la mayoría de los equipos de compras de SaaS. Sistema de gestión de la IA En preparación — aún sin certificado · sin fecha de auditoría Controles de gobierno, riesgo, transparencia y ciclo de vida para cada componente de IA de NetSenX, según la norma internacional de sistemas de gestión de la IA. Gestión de la seguridad de la información Previsto — aún sin certificado · sin fecha de auditoría Un sistema de gestión de la seguridad de la información que abarca activos, accesos, criptografía, proveedores, incidentes, continuidad de negocio y cumplimiento. ### El orden del trabajo Hoja de ruta de certificación Ninguna de estas certificaciones se ha concedido y no hay ninguna auditoría reservada, así que mostramos el orden del trabajo, no fechas. Aquí aparecerá una fecha solo cuando haya una auditoría reservada con un auditor independiente. Los equipos de compras pueden solicitar nuestro paquete de pruebas en cualquier momento. Hitos de certificación #### Auditoría SOC 2 Type I Paso 1 · en preparación Por una firma de auditoría independiente. Trust Services Criteria: seguridad, disponibilidad, confidencialidad. #### Auditoría de certificación ISO/IEC 42001 Paso 2 · en preparación Por un organismo de certificación acreditado. El sistema de gestión de la IA abarca cada componente de IA. #### Auditoría de certificación ISO/IEC 27001:2022 Paso 3 · previsto Por un organismo de certificación acreditado. Alcance previsto: producto, infraestructura y cadena de suministro. #### Informe SOC 2 sobre la eficacia operativa Paso 4 · previsto Solo después de que los controles hayan pasado un periodo de observación. #### Los tres implantados Objetivo SOC 2, ISO/IEC 42001 e ISO/IEC 27001:2022. Hoy no se ha concedido ninguno. ### Qué le aporta cada norma Tres normas, tres regímenes de gobierno, tres organismos de auditoría. Cada una es útil por sí sola; juntas responden a la mayoría de las preguntas que un equipo de compras plantea antes de aprobar un despliegue. Qué aporta a su equipo AICPA Trust Services Criteria En preparación — Type I · sin fecha de auditoría SOC 2 responde a la pregunta habitual en la compra de SaaS: ¿los controles de este proveedor existen de verdad tal como se describen? Un informe Type I cubre el diseño de los controles en un momento dado. Nos estamos preparando para él; todavía no hay fecha de auditoría. Atestación independiente de los controles de seguridad (Trust Services Criteria: seguridad) Un informe de una firma CPA independiente que podrá entregar a compras y a seguridad, una vez emitido Un alcance fijo que puede comparar con los informes de otros proveedores Una descripción del alcance que indica exactamente qué sistemas cubre el informe Sistema de gestión de la IA En preparación — aún sin certificado · sin fecha de auditoría ISO/IEC 42001:2023 es la primera norma internacional para sistemas de gestión de la IA. Da al CISO una respuesta auditable a la pregunta «¿cómo gobiernan la IA de su producto de seguridad?». Con ella como referencia construimos el sistema de gestión de la IA de NetSenX. Gobierno documentado de cada componente de IA de NetSenX Un registro de riesgos de IA con responsables designados, revisado con un calendario fijo Controles del ciclo de vida: introducción, supervisión, retirada Una cadena de pruebas directa hacia las obligaciones de transparencia del artículo 50 del AI Act Sistema de gestión de la seguridad de la información Previsto — aún sin certificado · sin fecha de auditoría ISO/IEC 27001 es un requisito frecuente en las compras europeas. La revisión de 2022 reorganizó los controles del anexo A en cuatro temas: organizativos, de personas, físicos y tecnológicos. El alcance previsto abarca el producto, la infraestructura y la cadena de suministro. Una declaración de aplicabilidad que cubre los controles del anexo A Controles de activos, accesos, criptografía, proveedores, incidentes, continuidad y cumplimiento Pruebas de auditoría interna, revisión por la dirección y mejora continua Una base que piden muchos procesos de compra en la UE ### Hecho para la normativa europea, por personas que la leen. Normativa de la UE El Cyber Resilience Act, NIS2, el RGPD y el AI Act determinan buena parte de lo que un comprador europeo debe comprobar antes de desplegar un producto de seguridad. Tratamos cada uno como parte del producto, con las pruebas que lo respaldan. #### Cyber Resilience Act (CRA) Artículo 13: obligaciones del fabricante · artículo 14: notificación El proceso de publicación genera una lista de materiales de software (SBOM) en formato CycloneDX para cada versión publicada. Hay publicada una política de divulgación coordinada de vulnerabilidades, con una ventana de divulgación coordinada de 90 días. Las versiones y los SBOM se firman con Sigstore cosign; las firmas figuran en el registro público de transparencia Rekor y pueden verificarse de forma independiente. El proceso de notificación de vulnerabilidades e incidentes está diseñado en torno a las obligaciones de notificación del artículo 14 del Reglamento (UE) 2024/2847. Leer la política de divulgación #### Directiva NIS2 Artículo 21: medidas de gestión de riesgos · artículo 23: notificación Las pruebas se organizan según las familias de medidas del artículo 21: análisis de riesgos, gestión de incidentes, continuidad de negocio, cadena de suministro, desarrollo seguro, criptografía, autenticación multifactor, formación y más. Pensado para entidades esenciales e importantes: la obligación normativa sigue siendo suya; NetSenX aporta la detección y el rastro documental. El flujo de incidentes sigue los plazos del artículo 23 — alerta temprana en 24 horas, notificación en 72 horas, informe final en un mes — y prepara cada informe para que usted lo presente. Los auditores ven los mismos registros que su dirección; no hay una versión aparte solo para la auditoría. Monitorización de red NIS2 #### RGPD desde el diseño Minimización de datos, residencia en la UE, un DPD accesible Los campos sensibles, como las credenciales de las integraciones, se cifran con AES-256-GCM en la capa de aplicación antes de almacenarse. La recogida es mínima por defecto: la detección se basa sobre todo en metadatos de flujo y algunos campos de protocolo leídos en el equipo supervisado, y las conexiones cifradas nunca se descifran. Los datos de los clientes se almacenan en la UE: la base de datos en Irlanda (AWS eu-west-1) y la API en Fráncfort y París. Unos pocos encargados del tratamiento identificados (pagos, correo transaccional) operan en EE. UU. con cláusulas contractuales tipo de la UE. El DPD está disponible en dpo@netsenx.com, y hay publicado un contrato de encargo del tratamiento conforme al artículo 28 del RGPD para compras. Leer el contrato de encargo del tratamiento #### AI Act (Reglamento de IA) Artículo 50: transparencia · sistema de gestión de la IA ISO/IEC 42001 en preparación Una declaración pública de transparencia del artículo 50 enumera cada componente de IA y sus controles de gobierno. La clasificación de riesgo está documentada: evaluamos NetSenX como un sistema de riesgo limitado y aplicamos de forma voluntaria varias prácticas previstas para sistemas de alto riesgo. Se está construyendo un sistema de gestión de la IA según ISO/IEC 42001; no se ha concedido ningún certificado ni hay fecha de auditoría. Una explicación en cada alerta y un registro de auditoría de quién hizo qué forman parte del producto, no de una petición a soporte. Leer la declaración de transparencia de IA ### Lo concreto, no los eslóganes. Controles de seguridad La confianza se construye con los controles que resisten las preguntas de un auditor. Estos son los nuestros. #### Cifrado de campos con AES-256-GCM Los campos sensibles se cifran en la capa de aplicación antes de almacenarse. FIPS 197 / NIST SP 800-38D #### Versiones firmadas Los artefactos de cada versión y sus SBOM se firman con Sigstore cosign (sin claves, ligados a una identidad), y cada firma queda en el registro público de transparencia Rekor, donde cualquiera puede verificarla. Sigstore · Rekor #### Registro de auditoría de solo anexión Las acciones de administración, las alertas en las que interviene la IA y los accesos a datos se escriben en un registro de auditoría de solo anexión, disponible en todos los planes, también el Free. Manipulación detectable, encadenado por hash #### Residencia de datos en la UE Los datos de los clientes se almacenan en la UE: la base de datos en Irlanda (AWS eu-west-1) y la API en Fráncfort y París. Cada encargado del tratamiento, con su ubicación y su garantía de transferencia, figura en el contrato de encargo del tratamiento. Base de datos: AWS eu-west-1 #### Divulgación coordinada de vulnerabilidades Los investigadores informan a security@netsenx.com. Confirmamos la recepción en 2 días hábiles, decidimos la clasificación en 5 y coordinamos la divulgación pública en 90 días. Política de divulgación publicada #### security.txt publicado Un security.txt conforme al estándar en /.well-known/security.txt, con los campos de contacto, política, idioma preferido y caducidad. RFC 9116 ### Programa beta abierto Socios de diseño No mostramos logotipos de clientes que no tenemos derecho a mostrar. Cuando los socios de diseño acepten aparecer con su nombre, figurarán aquí, con su consentimiento expreso. Unirse al programa beta Socio beta ### ¿Necesita un paquete de pruebas para su auditor? Para su auditor Antes de que termine cualquier certificación, mantenemos un paquete de pruebas alineado con los controles de SOC 2, ISO/IEC 42001, ISO/IEC 27001, CRA, NIS2, RGPD y AI Act. Solicítelo bajo NDA y se lo enviaremos directamente. Solicitar el paquete de pruebas Reservar una demo Quién desarrolla NetSenX La empresa española de Alicante que desarrolla y opera NetSenX. Lead implementer de ISO/IEC 42001 en nuestro equipo Una acreditación personal para implantar un sistema de gestión de la IA. TriStiX S.L. no tiene certificado ISO/IEC 42001; su sistema de gestión de la IA está en preparación. Investigación de la empresa en arXiv Preprint de investigación de TriStiX S.L. arXiv:2603.28558v1 — lógica multivaluada para aplicaciones de cumplimiento Desarrollado internamente El motor de detección, el agente, el panel y este sitio los escribe y revisa TriStiX S.L.; no hay un motor de terceros con nuestra marca Empresa de la UE TriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016 Los equipos de seguridad de las medianas empresas europeas ven repetirse el mismo patrón: la pila de detección hace más ruido cada trimestre, el presupuesto se estrecha cada año y la cola de alertas crece más deprisa de lo que un equipo pequeño puede atender. Los proveedores lo llaman cobertura. Los equipos que conviven con ello lo llaman una fábrica de alertas. NetSenX existe porque más alertas no compran más seguridad. El límite de falsos positivos procede de la predicción split-conformal, un método estadístico publicado, aplicado al tráfico legítimo que sus propios analistas han etiquetado: se deriva, no se ajusta. Lo estrecho que sea en su red depende de cuánto tráfico etiquetado se haya calibrado; por eso el producto muestra el límite que respaldan sus datos y dice con claridad cuándo todavía no respaldan ninguno. El resto de NetSenX lo hace operativo: un AI Analyst Core que redacta las notas del analista, un registro de auditoría que resiste al auditor y un sistema de gestión de la IA construido según ISO/IEC 42001 para que resista al regulador. Los equipos de seguridad de la mediana empresa europea merecen una detección de red que puedan pagar y explicar. Eso es la empresa. En qué trabajamos a continuación SOC 2, ISO/IEC 42001 e ISO/IEC 27001 — en preparación; las fechas llegarán cuando haya auditorías reservadas. Una solicitud al EIC Accelerator en el 4.º trimestre de 2026 para ampliar la comercialización en la mediana empresa europea. Primeras contrataciones en ingeniería y customer success, en Alicante y en remoto desde toda la UE. Preprint de investigación de TriStiX S.L. en arXiv