NIS2: ámbito y obligaciones

NIS2 no menciona NDR, pero exige detectar y gestionar incidentes y notificar los significativos en plazos fijos. El artículo 21 incluye la gestión de incidentes entre las medidas obligatorias de gestión de riesgos; el artículo 23 exige una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes. Monitorizar la red es una forma práctica de detectar incidentes a tiempo y conservar las pruebas que esos informes requieren; NetSenX controla los plazos del artículo 23 para cada incidente. Las obligaciones recaen en su organización: ninguna herramienta las cumple por sí sola.

NIS2 no menciona la monitorización de red ni el NDR, pero el artículo 21 incluye la gestión de incidentes entre las medidas obligatorias de gestión de riesgos y el artículo 23 exige notificar los incidentes significativos en plazos fijos. No se puede notificar un incidente que no se ha detectado, por lo que la monitorización continua de la red es una forma práctica de cumplir ambas exigencias.

Según el artículo 23, apartado 4: una alerta temprana en las 24 horas siguientes a tener conocimiento de un incidente significativo, una notificación del incidente en 72 horas, un informe intermedio si la autoridad lo solicita y un informe final, a más tardar, un mes después de la notificación. Las leyes nacionales pueden concretar estas normas; compruebe las de su país.

Por regla general, NIS2 se aplica a las entidades de los sectores de sus anexos I y II que son al menos medianas empresas según la Recomendación 2003/361/CE (50 o más empleados, o un volumen de negocios anual y un balance general superiores ambos a 10 millones de euros) y a algunas entidades con independencia de su tamaño. Su autoridad nacional o su asesor jurídico pueden confirmar si su organización está incluida.

No. NetSenX sigue los plazos del artículo 23 para cada incidente, conserva las alertas y el registro de auditoría en los que se basa la notificación y prepara para su DPD la notificación de la brecha conforme al artículo 33 del RGPD; las notificaciones al CSIRT o a la autoridad competente las presenta su organización.

Según el artículo 34 de la Directiva (UE) 2022/2555, los Estados miembros deben prever multas máximas de al menos 10 millones de euros o el 2 % del volumen de negocios anual total a escala mundial, si esta cifra es superior, para las entidades esenciales, y de al menos 7 millones de euros o el 1,4 % para las importantes. Son mínimos del máximo, no la multa que alguien vaya a pagar de verdad: las leyes nacionales fijan los importes exactos, qué incumplimientos se sancionan y el procedimiento, y las autoridades valoran factores como la gravedad y la duración del incumplimiento y la cooperación de la empresa. Alemania, por ejemplo, fija en el artículo 65 de la BSIG hasta 10 o 7 millones de euros, y hasta el 2 % o el 1,4 % del volumen de negocios mundial para entidades con una facturación total superior a 500 millones de euros. Compruebe los importes aplicables en la ley de su país.

El órgano de dirección. El artículo 20 de NIS2 exige que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas de gestión de riesgos de ciberseguridad, supervisen su aplicación y respondan de los incumplimientos, y que sus miembros sigan formación. En la práctica, los administradores o el consejo no pueden descargar esa responsabilidad en informática ni en un proveedor, aunque otros hagan el trabajo: aprueban las medidas, reciben informes periódicos y deben poder demostrar que la supervisión existió. Las leyes nacionales añaden el detalle. En Alemania, por ejemplo, el artículo 38 de la BSIG obliga a la dirección a aplicar y supervisar las medidas, la hace responsable ante la entidad según el derecho de sociedades y exige formación periódica. Nombre a una persona para llevar el programa en el día a día y levante acta de cada revisión.

Normalmente no de forma directa, pero hay excepciones, y puede llegarle a través de sus clientes. NIS2 se aplica en general a las entidades de los sectores enumerados que son al menos medianas empresas según la definición de la UE, es decir, en resumen, 50 o más empleados, o un volumen de negocios anual y un balance general superiores ambos a 10 millones de euros. El artículo 2, apartado 2, incluye algunas entidades con independencia de su tamaño, como los proveedores de comunicaciones electrónicas públicas, los prestadores de servicios de confianza, los registros de dominios de primer nivel y los proveedores de servicios DNS, además de las que un Estado miembro identifique como críticas. Compruebe también si su grupo cuenta como una sola empresa, porque las cifras de empresas asociadas y vinculadas pueden sumarse. Incluso fuera del ámbito, espere cuestionarios: los clientes incluidos deben gestionar el riesgo de proveedores según el artículo 21. La última palabra la tienen su ley nacional y su autoridad.

Sí, puede. NIS2 mide el tamaño con la definición europea de pequeñas y medianas empresas (Recomendación 2003/361/CE de la Comisión), según la cual los efectivos, el volumen de negocios y el balance de las empresas asociadas y vinculadas se suman en principio a las cifras propias. Una filial de 30 personas en un gran grupo puede contar, por tanto, como gran empresa y quedar incluida si su actividad pertenece a un sector enumerado. Las leyes nacionales pueden suavizarlo: en Alemania, el artículo 28, apartado 4, de la BSIG no suma las cifras del grupo si la empresa es independiente de sus empresas asociadas o vinculadas en el diseño y el funcionamiento de sus sistemas informáticos. Haga un mapa de cada sociedad del grupo, su sector y sus cifras de grupo, compruebe las normas nacionales de cada país donde opera y deje constancia del resultado.

No con la ley directamente, salvo que usted también esté incluido, pero en la práctica tendrá que cumplir los requisitos de su cliente. El artículo 21, apartado 2, letra d), obliga a las entidades incluidas a ocuparse de la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de sus relaciones con proveedores y prestadores directos, y el artículo 21, apartado 3, les pide tener en cuenta las vulnerabilidades y prácticas de ciberseguridad de cada proveedor directo. Su cliente le enviará, por tanto, cuestionarios, le pedirá pruebas e incluirá en el contrato cláusulas de seguridad y de aviso de incidentes. Responda con la verdad, documente lo que tiene y negocie obligaciones acordes a su tamaño. El contrato le obliga aunque la directiva no lo haga. NetSenX ayuda con una pregunta recurrente, la detección de intrusiones: detección de red en todos los planes, incluido Free, historial de alertas y registro de auditoría que puede mostrar, con datos de clientes almacenados en la UE.

En líneas generales, cuatro cosas. Primero, gobierno: el órgano de dirección aprueba las medidas de ciberseguridad, las supervisa y sigue formación (artículo 20). Segundo, gestión de riesgos: medidas técnicas, operativas y organizativas adecuadas y proporcionadas, basadas en un enfoque que abarque todos los peligros, que cubran al menos las diez áreas del artículo 21, apartado 2, desde el análisis de riesgos y la gestión de incidentes hasta las copias de seguridad, la cadena de suministro, la criptografía, el control de acceso y la autenticación multifactor. Tercero, notificación: los incidentes significativos se comunican al CSIRT o a la autoridad competente por etapas, una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes (artículo 23). Cuarto, registro y supervisión según la ley nacional. Proporcionado significa ajustado a su tamaño y exposición. NetSenX ayuda con la detección, las pruebas del incidente y el seguimiento de plazos; el resto es su programa.

El artículo 21, apartado 2, enumera las áreas mínimas que debe cubrir toda entidad incluida. En palabras sencillas: políticas de análisis de riesgos y de seguridad de los sistemas de información; gestión de incidentes; continuidad de las actividades, como la gestión de copias de seguridad, la recuperación en caso de catástrofe y la gestión de crisis; seguridad de la cadena de suministro; seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades; políticas para evaluar la eficacia de las medidas; ciberhigiene básica y formación; políticas sobre criptografía y, en su caso, cifrado; seguridad de los recursos humanos, control de acceso y gestión de activos; y autenticación multifactor o continua, comunicaciones de voz, vídeo y texto seguras y, en su caso, comunicaciones de emergencia seguras. Cada medida debe ser adecuada y proporcionada a los riesgos. Las leyes nacionales reproducen la lista. NetSenX apoya la gestión de incidentes y las pruebas de eficacia, no toda la lista.

Sobre todo la forma de supervisión y las multas máximas, no las obligaciones en sí. Ambas deben aplicar las medidas de gestión de riesgos del artículo 21 y notificar los incidentes significativos según el artículo 23. Según el artículo 3, las entidades esenciales son, en líneas generales, las grandes empresas de los sectores del anexo I, además de algunas entidades con independencia de su tamaño, como los prestadores cualificados de servicios de confianza, los registros de dominios de primer nivel y los proveedores de servicios DNS, y las que designe un Estado miembro; las importantes son las demás entidades incluidas de los anexos I y II. Las esenciales tienen una supervisión previa, con inspecciones y auditorías posibles en cualquier momento (artículo 32), y las importantes una supervisión a posteriori, cuando hay indicios de incumplimiento (artículo 33). Las multas máximas difieren según el artículo 34. Las leyes nacionales usan sus propios términos; consulte la de su país.

Dieciocho sectores en dos anexos. El anexo I, sectores de alta criticidad, cubre energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC para clientes empresariales (proveedores de servicios gestionados y de servicios de seguridad gestionados), administración pública y espacio. El anexo II, otros sectores críticos, cubre servicios postales y de mensajería, gestión de residuos, productos químicos, producción y distribución de alimentos, fabricación (productos sanitarios; productos informáticos, electrónicos y ópticos; material eléctrico; maquinaria; vehículos de motor; otro material de transporte), proveedores digitales (mercados en línea, motores de búsqueda y redes sociales) e investigación. Cada sector se divide en tipos de entidad, así que lea la redacción exacta para su actividad, no solo el nombre del sector. Después, los umbrales de tamaño y las decisiones nacionales determinan si una empresa concreta está incluida.

Pueden responder, en la forma que fije la ley nacional. El artículo 20, apartado 1, obliga a los Estados miembros a garantizar que los órganos de dirección de las entidades esenciales e importantes puedan ser considerados responsables de los incumplimientos de su deber de aprobar y supervisar las medidas de ciberseguridad. Para las entidades esenciales, el artículo 32 permite además a las autoridades, como último recurso, solicitar la prohibición temporal de que una persona ejerza funciones de dirección si no se adoptan las medidas ordenadas. Cómo funciona la responsabilidad varía según el país: Alemania, por ejemplo, hace responsable a la dirección frente a la sociedad por los daños causados con culpa según el derecho de sociedades (artículo 38, apartado 2, de la BSIG) y permite prohibir temporalmente la actividad a directivos poco fiables de entidades especialmente importantes (artículo 61, apartado 9). Revise su ley nacional y su seguro de responsabilidad de administradores, y levante actas que muestren que aprobaron y revisaron las medidas.

Sí para los miembros de los órganos de dirección de las entidades incluidas; la frecuencia se deja a la ley nacional. El artículo 20, apartado 2, exige que esos miembros sigan formación para adquirir conocimientos y competencias suficientes que les permitan detectar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su repercusión en los servicios que presta la entidad, y anima a ofrecer periódicamente una formación similar a los empleados. NIS2 no fija horas ni certificados. Las leyes nacionales añaden detalle: en Alemania, el artículo 38, apartado 3, de la BSIG exige por ejemplo que la dirección participe periódicamente en formaciones. Un programa sensato cubre amenazas, el panorama de riesgos de la empresa, las obligaciones de la dirección y los plazos de notificación, e incluye un ejercicio de simulación. Guarde registros de asistencia y materiales como prueba. NetSenX no imparte formación; sus alertas en lenguaje claro pueden servir de ejemplos realistas.

Las medidas de gestión de riesgos de ciberseguridad que la entidad adopta conforme al artículo 21, y además deben supervisar su aplicación. En la práctica, la dirección aprueba un conjunto breve de documentos y decisiones: el análisis de riesgos y las prioridades que de él se derivan, las políticas de seguridad que cubren las diez áreas del artículo 21, apartado 2, el procedimiento de gestión y notificación de incidentes, el plan de continuidad y copias de seguridad, el enfoque de seguridad de proveedores, y el presupuesto y los responsables de cada área. Aprobar no es una firma única: la dirección debe recibir informes periódicos sobre si las medidas funcionan, decidir sobre las carencias y dejar constancia de sus decisiones. Pida pruebas, no solo políticas: pruebas de restauración, cobertura de la monitorización, registro de incidentes. NetSenX aporta pruebas de la detección y la gestión de incidentes en la red; aprobar el resto sigue siendo tarea de la dirección.

Pidiendo pruebas y resultados en lugar de descripciones. La propia NIS2 incluye entre las áreas obligatorias las políticas y procedimientos para evaluar la eficacia de las medidas (artículo 21, apartado 2, letra f). Comprobaciones útiles que no requieren conocimientos técnicos: pida a informática que restaure un sistema real desde una copia y diga cuánto tardó; pregunte qué porcentaje de cuentas tiene autenticación multifactor y cuáles son las excepciones; pregunte la fecha de la última prueba de penetración externa y qué hallazgos siguen abiertos; pregunte qué segmentos de red se vigilan y pida ver una alerta reciente y qué se hizo con ella; y haga un breve ejercicio de simulación una vez al año. Compare las respuestas trimestre a trimestre. NetSenX le da la parte de detección en lenguaje claro: historial de alertas, lista de segmentos vigilados y registro de auditoría de las decisiones.

No. NetSenX apoya algunas y es claro sobre las demás. Donde más ayuda es en la gestión de incidentes (artículo 21, apartado 2, letra b): detección de red del beaconing C2, los escaneos, el movimiento lateral y el volumen inusual de datos salientes en todos los planes, incluido Free, con seguimiento por incidente de los plazos del artículo 23. Aporta pruebas para evaluar la eficacia (letra f): historial de alertas, segmentos vigilados y registro de auditoría de decisiones, con informes PDF desde el plan Starter. Ofrece visibilidad parcial de la cadena de suministro (letra d), al mostrar lo que hacen en su red las sesiones remotas de proveedores, y de la gestión de activos (letra i), mediante el mapa de red. No redacta sus políticas, no hace copias de seguridad, no gestiona accesos, no impone la autenticación multifactor, no forma al personal ni gestiona la divulgación de vulnerabilidades. Ninguna herramienta garantiza por sí sola el cumplimiento: NIS2 es un programa organizativo.

No. Cumplir significa que su organización ha adoptado las medidas de gestión de riesgos del artículo 21, bajo la supervisión de su órgano de dirección, y notifica los incidentes significativos como exige el artículo 23; una herramienta puede apoyar parte de ese trabajo, pero no hacerlo por usted. El registro es un paso jurídico aparte: si está incluido, comunica sus datos a la autoridad nacional por el procedimiento que fije su ley, como el registro ante el BSI en Alemania según el artículo 33 de la BSIG, y ningún proveedor puede hacerlo en su nombre vendiéndole software. Desconfíe de los productos que se venden como garantía de cumplimiento. NetSenX apoya la detección, las pruebas del incidente y el seguimiento de plazos NIS2, y dice lo que no hace; saber si está incluido, y registrarse, le corresponde a usted.

El software ayuda en las tareas que producen o analizan datos; no puede tomar decisiones, asumir la responsabilidad jurídica ni cambiar por sí solo el comportamiento. Las herramientas pueden ayudar a detectar incidentes (detección de red y en los equipos), conservar pruebas y seguir los plazos de notificación, gestionar vulnerabilidades y parches, imponer la autenticación multifactor, ejecutar y probar copias de seguridad, llevar el inventario de activos y reunir pruebas para auditoría. No pueden decidir si usted está incluido, registrarle, aprobar medidas en lugar del órgano de dirección, valorar si un incidente es significativo, presentar las notificaciones, negociar contratos con proveedores ni hacer que la plantilla se forme. Planifique las dos columnas: las herramientas y, junto a cada una, la persona que decide. NetSenX cubre la detección de red, las pruebas del incidente y el seguimiento de plazos NIS2; nunca presenta notificaciones por usted.

No. NIS2 es neutral respecto a la tecnología: el artículo 21 exige medidas adecuadas y proporcionadas que tengan en cuenta el estado de la técnica, las normas pertinentes y el coste de aplicación, pero no nombra ninguna categoría de producto. En la práctica no se pueden gestionar incidentes (artículo 21, apartado 2, letra b) ni notificarlos a tiempo (artículo 23) sin alguna forma de detectarlos, así que la mayoría de las entidades combinan protección de equipos, recogida de registros y detección de red, según su riesgo. La ley nacional puede ser más concreta para algunas entidades: en Alemania, el artículo 31, apartado 2, de la BSIG obliga a los operadores de instalaciones críticas a usar sistemas de detección de ataques, mientras que las demás entidades quedan bajo las medidas generales del artículo 30. Elija las herramientas según los riesgos de su análisis y documente el porqué.

Entra en el ámbito desde el momento en que cumple los criterios de su ley nacional, y empiezan a correr los plazos de registro y de adopción de medidas. El crecimiento de la plantilla o la facturación, o una adquisición que le integra en un grupo mayor, puede cambiar si cuenta como mediana o gran empresa y en qué categoría queda. Compruebe las cifras en cada cierre anual y antes de cerrar cualquier adquisición, con el método europeo de cálculo de efectivos, volumen de negocios y balance, incluidas las empresas asociadas y vinculadas. Las leyes nacionales fijan cuándo empiezan las obligaciones: en Alemania, el artículo 33, apartado 1, de la BSIG exige registrarse a más tardar tres meses después de que una entidad pase a considerarse, por primera vez o de nuevo, especialmente importante o importante. Construya las medidas de gestión de riesgos antes de cruzar el umbral, no después, e incluya la seguridad de la empresa adquirida en la due diligence.

En la mayoría de los países lo evalúa usted primero, según los criterios de su ley nacional, y la autoridad puede confirmar o corregir el resultado. NIS2 fija el marco: sector y tipo de entidad del anexo I o II, tamaño según la definición de la UE y las excepciones que se aplican con independencia del tamaño (artículo 2). Los Estados miembros deben elaborar una lista de entidades esenciales e importantes (artículo 3, apartado 4) y en la práctica suelen confiar en que las empresas se registren por sí mismas; algunos también escriben a las empresas que consideran incluidas. En Alemania, el BSI puede registrar por sí mismo a una entidad que no lo haya hecho (artículo 33, apartado 3, de la BSIG). Documente, por tanto, su evaluación: actividades, encaje sectorial, cifras del grupo, conclusión y quién la aprobó. Si el resultado no está claro, pregunte a la autoridad nacional o a un abogado. Un proveedor no puede tomar esta decisión por usted.

Normalmente sí, si está incluido, ante la autoridad que designe su ley nacional. El artículo 3, apartado 4, de NIS2 obliga a los Estados miembros a elaborar una lista de entidades esenciales e importantes y a exigir a las entidades al menos su nombre, dirección y datos de contacto actualizados, incluidos correos electrónicos, rangos de IP y teléfonos, su Estado miembro y su sector y subsector. Algunos proveedores digitales, como los de DNS y nube, los centros de datos y los proveedores de servicios gestionados y de seguridad gestionados, se registran según el artículo 27 en el país de su establecimiento principal. El procedimiento y el plazo son nacionales: en Alemania, el artículo 33 de la BSIG exige registrarse ante el BSI en los tres meses siguientes a adquirir la condición de entidad y comunicar los cambios en dos semanas. En España, compruebe el estado de la ley de transposición. Guarde la confirmación del registro.

Porque NIS2 los hace responsables de la seguridad de su cadena de suministro. El artículo 21, apartado 2, letra d), exige a las entidades incluidas ocuparse de la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de sus relaciones con proveedores y prestadores directos, y el artículo 21, apartado 3, les pide tener en cuenta las vulnerabilidades, la calidad de los productos y las prácticas de ciberseguridad de cada proveedor. Sus auditores y autoridades les preguntarán cómo lo hicieron, y un cuestionario es el primer paso habitual, seguido a menudo de cláusulas contractuales sobre medidas de seguridad, aviso de incidentes y derecho de auditoría. Véalo como una pregunta comercial: una respuesta rápida, honesta y documentada ayuda a conservar al cliente. Tenga listo un paquete de respuestas estándar: políticas, certificaciones si las hay, gestión de incidentes, ubicación de los datos y monitorización. NetSenX aporta en todos los planes pruebas para la parte de monitorización.

Con precisión: qué tiene, dónde y quién responde. Una buena respuesta indica el tipo de detección (de red, en equipos o ambas), qué sedes y segmentos cubre, cómo llegan las alertas a una persona y con qué rapidez, y qué pruebas puede aportar. Por ejemplo: la detección de red funciona en los segmentos de la oficina central y del almacén mediante un sensor en un puerto espejo; las alertas llegan por correo al responsable de informática y a nuestro proveedor; guardamos historial de alertas y registro de auditoría de decisiones; la protección de equipos funciona en todos los portátiles y servidores. Si falta algo, como cobertura nocturna, dígalo y explique qué hace en su lugar. Con NetSenX puede responder que hay detección de red en todos los planes, con historial de alertas, registro de auditoría, informes PDF desde el plan Starter y datos de clientes almacenados en la UE.

Por averiguar si está incluida y cómo, y después por cerrar las carencias que más dolerían en un incidente real. Un orden práctico: confirmar el ámbito y la categoría según la ley nacional y registrarse si hace falta; nombrar un responsable en la dirección e informar a esta de sus obligaciones; enumerar los sistemas, datos y proveedores críticos; asegurarse de que un incidente se notaría, mediante detección en los equipos y en la red, y de que alguien recibe las alertas; escribir un procedimiento breve de respuesta y notificación que cumpla las etapas de 24 horas, 72 horas y un mes del artículo 23; probar una restauración desde las copias; activar la autenticación multifactor en el correo, el acceso remoto y las cuentas de administración; y después abordar el resto de medidas del artículo 21 en un plan basado en riesgos y aprobado por la dirección. NetSenX puede cubrir los pasos de detección y seguimiento de plazos en todos los planes, incluido Free.

De forma sencilla, concreta y periódica, en lugar de extensa y teórica. NIS2 pide políticas de análisis de riesgos (artículo 21, apartado 2, letra a) y un enfoque que abarque todos los peligros, así que incluya incendio, corte de luz y error humano además de los ataques. Un método que funciona: enumerar los servicios que sostienen el negocio y los sistemas, datos y proveedores de los que depende cada uno; para cada uno, describir qué puede fallar, con qué probabilidad y cuánto costaría; anotar los controles existentes y las carencias; ordenar las carencias por impacto; y acordar con la dirección responsables y fechas para las principales. Para empezar basta una página por servicio crítico. Revíselo cada año y tras cada incidente o cambio importante. NetSenX no hace el análisis, pero sus alertas y su mapa de red muestran qué riesgos se están produciendo realmente en su red.

Consulte la web de su gobierno o de su autoridad nacional de ciberseguridad, porque la respuesta varía de un país a otro y cambia con el tiempo. NIS2 es una directiva, así que se aplica a las empresas a través de leyes nacionales; el artículo 41 fijó la fecha en que los Estados miembros debían adoptarlas, y varios se retrasaron. En Alemania, la NIS2UmsuCG reescribió la ley del BSI (BSIG); otros países han aprobado o siguen tramitando sus propias leyes, a menudo con nombres, autoridades, portales de registro y detalles distintos. En España, compruebe en qué punto está la ley de coordinación y gobernanza de la ciberseguridad. Mientras su ley nacional no esté en vigor, sus obligaciones, plazos y multas no le obligan del mismo modo, pero clientes y aseguradoras pueden pedir ya medidas de nivel NIS2, y normas nacionales anteriores pueden seguir aplicándose. Planifique con la directiva como base y ajuste cuando su ley sea definitiva.

La incluye como área obligatoria, cuando proceda. El artículo 21, apartado 2, letra j), comprende el uso de soluciones de autenticación multifactorial o de autenticación continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicaciones de emergencia en la entidad, cuando proceda. «Cuando proceda» deja margen para una decisión basada en el riesgo, pero en las cuentas que más atacan los delincuentes es difícil justificar no usarla: correo, acceso remoto y VPN, cuentas de administrador, consolas en la nube, sistemas de copias y aplicaciones financieras. Empiece por ahí, use aplicaciones de autenticación o llaves físicas en lugar de SMS cuando pueda, cubra también las cuentas de los proveedores de servicios y lleve una lista de excepciones documentadas con su motivo. Las aseguradoras suelen preguntar por las mismas cuentas. NetSenX ofrece autenticación en dos pasos en todos los planes; no gestiona la MFA de sus otros sistemas.

Exige políticas y procedimientos sobre el uso de la criptografía y, en su caso, del cifrado (artículo 21, apartado 2, letra h). Eso significa decidir por escrito dónde y cómo cifra su empresa: los datos en tránsito (TLS para webs, correo y acceso remoto), los datos almacenados (cifrado de disco en portátiles, copias y bases de datos cifradas) y la gestión de claves y certificados, incluido quién accede a ellos y cómo se renuevan. Base las decisiones en las recomendaciones vigentes de su autoridad nacional, como el CCN en España, o de ENISA, y lleve un inventario de dónde se usa criptografía, para poder sustituir algoritmos débiles cuando cambien las recomendaciones. NetSenX analiza metadatos del tráfico y nunca lo descifra; donde el agente captura paquetes, en Linux o como sensor SPAN o TAP, lee las negociaciones TLS, lo que ayuda a mostrar qué conexiones usan cifrado débil o anticuado.

Sí. El artículo 21, apartado 2, letra c), incluye entre las medidas mínimas la continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis. En la práctica, una entidad incluida debería poder mostrar: qué servicios y sistemas son críticos y cuánto tiempo pueden estar caídos; copias de esos sistemas guardadas de forma que un atacante que controle la red no pueda borrarlas ni cifrarlas, por ejemplo fuera de línea o inmutables; pruebas de restauración con resultados y tiempos registrados; un orden de recuperación; y un plan de crisis con funciones, listas de contactos en papel y una forma de comunicarse sin el correo de la empresa. Ensáyelo al menos una vez al año. Supervisores y aseguradoras piden pruebas de las restauraciones. NetSenX no hace copias ni restaura nada; puede lanzar una alerta cuando un equipo empieza a tocar muchas carpetas compartidas o a sacar datos, algo que a menudo precede al bloqueo por ransomware.

Que las entidades incluidas deben gestionar los riesgos de seguridad que vienen de sus proveedores y prestadores de servicios. El artículo 21, apartado 2, letra d), abarca la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de las relaciones entre cada entidad y sus proveedores o prestadores directos, y el artículo 21, apartado 3, exige tener en cuenta las vulnerabilidades propias de cada proveedor directo, la calidad general de los productos y las prácticas de ciberseguridad de los proveedores, incluidos sus procedimientos de desarrollo seguro. El artículo 22 añade evaluaciones coordinadas de riesgos de cadenas de suministro críticas a escala de la UE. En la práctica: llevar una lista de proveedores con acceso a sus sistemas o datos, ordenarlos por riesgo, pedir pruebas a los de mayor riesgo, incluir cláusulas de seguridad y aviso de incidentes en los contratos, limitar y vigilar su acceso y revisarlo cada año. NetSenX muestra lo que hacen en su red las sesiones remotas de proveedores y alerta si se extienden a otros equipos.

Sí, como parte de un área obligatoria. El artículo 21, apartado 2, letra i), abarca la seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos, y es difícil proteger, parchear o recuperar sistemas cuya existencia se desconoce. Un inventario útil indica para cada equipo, sistema y servicio en la nube: qué es, dónde funciona, quién es su responsable, lo crítico que es, qué datos guarda y si tiene soporte y está actualizado. Manténgalo al día combinando fuentes: gestión de dispositivos, registros de compra, cuentas en la nube y lo que realmente se ve en la red. Los equipos desconocidos son un hallazgo frecuente, desde servidores viejos hasta pequeños ordenadores enchufados a la pared. En todos los planes, el mapa de red de NetSenX enumera los equipos vistos en los segmentos vigilados con el nombre que anuncian y cuándo se vieron por primera y última vez, lo que ayuda a encontrar lo que el inventario en papel pasó por alto.

La autoridad competente que designe su ley nacional, a menudo la agencia nacional de ciberseguridad o un regulador sectorial. Los artículos 32 y 33 dan a las autoridades poderes de supervisión y ejecución: inspecciones in situ y supervisión a distancia, auditorías periódicas, específicas y puntuales, escaneos de seguridad, solicitudes de información y de pruebas de las medidas, instrucciones vinculantes y órdenes de subsanar deficiencias, órdenes de informar a los clientes sobre amenazas, y multas. Las entidades esenciales pueden supervisarse de forma previa en cualquier momento; las importantes, normalmente a posteriori, cuando hay indicios de incumplimiento. En Alemania, el BSI ejerce estos poderes según los artículos 61 y 62 de la BSIG, incluida la orden de auditorías por organismos independientes. Prepárese manteniendo la documentación al día, para responder a una petición en días y no en meses.

Puede aplicarse, si prestan servicios en la UE. NIS2 se aplica a las entidades que prestan sus servicios o desarrollan sus actividades en la Unión (artículo 2), y el artículo 26 fija qué Estado miembro tiene jurisdicción: por regla general aquel en que la entidad está establecida, con normas especiales para los proveedores de comunicaciones electrónicas públicas, la administración pública y ciertos proveedores digitales, como los de DNS y nube, centros de datos, proveedores de servicios gestionados y de seguridad gestionados, mercados en línea, motores de búsqueda y redes sociales, que dependen del país de su establecimiento principal en la UE. Un proveedor de esos servicios digitales que no esté establecido en la UE pero ofrezca servicios en ella debe designar un representante en un Estado miembro. Las empresas de fuera de la UE que no entran en estas categorías suelen encontrarse con NIS2 a través de los requisitos que sus clientes europeos imponen a los proveedores.

Pruebas de que las medidas existen, las ha aprobado la dirección y funcionan de verdad. Espere peticiones sobre: el análisis del ámbito y el registro; el análisis de riesgos y las políticas de seguridad que cubren las áreas del artículo 21, apartado 2; actas que muestren que el órgano de dirección las aprobó y revisó, y registros de la formación de la dirección; el procedimiento de gestión de incidentes y el registro de incidentes, con las notificaciones presentadas y sus plazos; resultados de copias de seguridad y pruebas de restauración; la lista de proveedores con contratos y evaluaciones; el estado del control de acceso y de la autenticación multifactor; y resultados de auditorías y pruebas de penetración con las correcciones posteriores. La ley alemana, por ejemplo, exige documentar el cumplimiento de las obligaciones de gestión de riesgos. NetSenX aporta pruebas del incidente: alertas con hora, equipos y destinos, plazos NIS2 por incidente, registro de auditoría de decisiones y, desde el plan Starter, informes PDF.

Es el acto de la Comisión que fija requisitos técnicos y metodológicos detallados de las medidas del artículo 21 para ciertas entidades digitales, y define cuándo un incidente en ellas es significativo. Se aplica a proveedores de servicios DNS, registros de dominios de primer nivel, proveedores de servicios de computación en la nube, de centros de datos y de redes de distribución de contenidos, proveedores de servicios gestionados y de servicios de seguridad gestionados, mercados en línea, motores de búsqueda, plataformas de redes sociales y prestadores de servicios de confianza. Para ellos, el reglamento, de aplicación directa sin transposición, describe qué debe contener cada medida, desde la gestión de riesgos e incidentes hasta el control de acceso y la criptografía. La ley alemana le da prioridad para estos tipos de entidad. Si usted no es uno de ellos, sigue siendo una lista de control útil y concreta para estructurar sus propias medidas, y los clientes de proveedores de servicios gestionados suelen esperar que los proveedores la sigan.

En nombres, autoridades, procedimientos y algunos detalles, con un núcleo común. Toda ley nacional debe recoger lo esencial de la directiva: los sectores y reglas de tamaño, las medidas del artículo 21, las obligaciones de los órganos de dirección, la notificación por etapas del artículo 23 y multas al menos del nivel del artículo 34. Diferencias que encontrará: quién es la autoridad competente y el CSIRT y cómo contactar con ellos; el portal de registro y sus plazos; si se incluyen más entidades, como algunos organismos públicos o empresas más pequeñas; requisitos nacionales adicionales, como los sistemas de detección de ataques para instalaciones críticas en Alemania (artículo 31, apartado 2, de la BSIG) o un responsable de seguridad de la información designado; y el procedimiento y el importe real de las multas. Si opera en varios países, asigne cada filial a su ley y autoridad nacionales y compruebe la ley de cada país, porque deciden los términos y plazos locales.