¿Qué exige NIS2 a una empresa mediana incluida?

En líneas generales, cuatro cosas. Primero, gobierno: el órgano de dirección aprueba las medidas de ciberseguridad, las supervisa y sigue formación (artículo 20). Segundo, gestión de riesgos: medidas técnicas, operativas y organizativas adecuadas y proporcionadas, basadas en un enfoque que abarque todos los peligros, que cubran al menos las diez áreas del artículo 21, apartado 2, desde el análisis de riesgos y la gestión de incidentes hasta las copias de seguridad, la cadena de suministro, la criptografía, el control de acceso y la autenticación multifactor. Tercero, notificación: los incidentes significativos se comunican al CSIRTCSIRT: equipo de respuesta a incidentes de seguridad informática. El equipo nacional al que se notifican los incidentes significativos. o a la autoridad competente por etapas, una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes (artículo 23). Cuarto, registro y supervisión según la ley nacional. Proporcionado significa ajustado a su tamaño y exposición. NetSenX ayuda con la detección, las pruebas del incidente y el seguimiento de plazos; el resto es su programa.

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

Esta respuesta aparece también, con más contexto, aquí: NIS2: ámbito y obligaciones

← Las 40 preguntas sobre NIS2: ámbito y obligacionesTodos los temas