Implementación de NIS2 en 5 pasos: Guía práctica para la mediana empresa

Por Tobias Massow · 8 de octubre de 2024 · 5 min de lectura

NIS2 parece compleja, pero se puede desglosar en cinco pasos estructurados. Esta guía está dirigida a directores de TI y CISOs de la mediana empresa que desean implementarla de forma pragmática y consciente del presupuesto.

En resumen

NIS2 parece compleja, pero se puede desglosar en cinco pasos estructurados: verificar la afectación, realizar un análisis de brechas, priorizar medidas, implementarlas y documentarlas. Esta guía está dirigida a directores de TI y CISOs de la mediana empresa.

Paso 1: Verificar la afectación

Compruebe dos criterios:

Sector: ¿Pertenece su empresa a alguno de los 18 sectores regulados?
Tamaño: ¿Tiene más de 50 empleados O un volumen de facturación anual superior a 10 millones de euros?

Si ambos criterios se cumplen, su empresa está afectada. Consejo: El BSI pone a disposición una herramienta online de verificación de afectación.

Paso 2: Análisis de brechas

Compare su estado actual con los requisitos de NIS2:

¿Existe un marco de gestión de riesgos? (ISO 27001 cubre gran parte de los requisitos)
¿El plan de respuesta a incidentes está actualizado y probado?
¿El management de continuidad del negocio está documentado?
¿Se ha evaluado la seguridad de la cadena de suministro?
¿Se han definido los procesos de notificación para los plazos de 24 h / 72 h?
¿La dirección general participa en formaciones sobre ciberseguridad?

Paso 3: Priorizar las medidas

Ordene sus brechas según tres criterios:

Obligación de cumplimiento: En primer lugar, los procesos de notificación y la gestión de riesgos
Reducción de riesgos: Abordar primero los mayores riesgos
Logros rápidos: Dar preferencia a las medidas de bajo esfuerzo y alto impacto

Paso 4: Implementar

Medidas típicas para la mediana empresa:

Introducir autenticación multifactor (MFA) para todos los accesos
Segmentación de red entre TI y tecnología operativa (OT)
Desplegar una solución EDR en todos los endpoints
Establecer escaneos periódicos de vulnerabilidades
Elaborar y probar un plan de respuesta a incidentes
Impartir formaciones de concienciación en seguridad cada trimestre
Evaluar los riesgos de los proveedores entre los 20 principales suministradores

Paso 5: Documentar y acreditar

NIS2 exige una documentación demostrable. Esto significa:

Documentar por escrito las evaluaciones de riesgos
Hacer rastreable la implementación de las medidas con marcas de tiempo
Registrar la asistencia a formaciones (¡especialmente la de la dirección general!)
Documentar las pruebas del plan de respuesta a incidentes
Archivar las evaluaciones de proveedores

Datos clave

5 pasos: Verificación de afectación, análisis de brechas, priorización, implementación, documentación

ISO 27001 cubre aproximadamente el 70 % de los requisitos de NIS2

MFA y EDR son los logros rápidos más importantes

La formación de la dirección general es obligatoria, no opcional

La herramienta de verificación de afectación del BSI está disponible online

Dato: Según NIS2, los directivos responden personalmente de la implementación de los requisitos de ciberseguridad.

Dato: NIS2 prevé sanciones económicas de hasta 10 millones de euros o el 2 % del volumen de facturación anual mundial.

Preguntas frecuentes

Cada pregunta está bloqueada. Un toque desbloquea la respuesta.

¿Es suficiente ISO 27001 para cumplir con NIS2?

No, pero constituye una base excelente. Adicionalmente, debe incorporar especialmente las obligaciones específicas de notificación (24 h / 72 h), los requisitos relativos a la cadena de suministro y la responsabilidad explícita de la dirección general.

¿Cuál es el coste de la implementación de NIS2 para una empresa de la mediana empresa?

Depende en gran medida del estado actual. Las empresas que ya cuentan con un sistema de gestión de seguridad de la información (SGSI) conforme a ISO 27001 calculan entre 50.000 y 150.000 euros. Sin un marco básico previo, entre 200.000 y 500.000 euros resulta realista para la implementación inicial.