¿Debe figurar el riesgo cibernético en el registro de riesgos de la empresa?

Sí, redactado como riesgos de negocio y no como una sola línea técnica. Describa cada riesgo en términos que la dirección reconozca: producción parada por ransomware, robo de datos de clientes, fraude en pagos, un proveedor clave hackeado, una multa por un plazo de notificación incumplido. Para cada uno, anote el impacto probable, los controles existentes, el responsable y lo que aún falta. Así el riesgo cibernético se puede comparar con los demás al fijar presupuestos, y auditores y aseguradoras tienen un rastro claro. Revise el registro al menos una vez al año y después de cada incidente grave. NIS2NIS2: segunda directiva europea sobre seguridad de las redes y de la información. La ley europea de ciberseguridad (Directiva (UE) 2022/2555), que impone obligaciones de seguridad y de notificación de incidentes a muchas empresas. espera que las entidades incluidas basen sus medidas en un análisis de riesgos, y la ISO/IEC 27001 está construida en torno a uno. NetSenX no lleva un registro de riesgos; aporta pruebas para los controles de detección que figuran en él.

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

← Las 40 preguntas sobre Para la dirección y las finanzasTodos los temas