¿Qué deben aprobar los miembros de la dirección según el artículo 20 de NIS2?

Las medidas de gestión de riesgos de ciberseguridad que la entidad adopta conforme al artículo 21, y además deben supervisar su aplicación. En la práctica, la dirección aprueba un conjunto breve de documentos y decisiones: el análisis de riesgos y las prioridades que de él se derivan, las políticas de seguridad que cubren las diez áreas del artículo 21, apartado 2, el procedimiento de gestión y notificación de incidentes, el plan de continuidad y copias de seguridad, el enfoque de seguridad de proveedores, y el presupuesto y los responsables de cada área. Aprobar no es una firma única: la dirección debe recibir informes periódicos sobre si las medidas funcionan, decidir sobre las carencias y dejar constancia de sus decisiones. Pida pruebas, no solo políticas: pruebas de restauración, cobertura de la monitorización, registro de incidentes. NetSenX aporta pruebas de la detección y la gestión de incidentes en la red; aprobar el resto sigue siendo tarea de la dirección.

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

← Las 40 preguntas sobre NIS2: ámbito y obligacionesTodos los temas