Noticias y cambios
Cambios en la norma, nuevas fuentes de derecho y lo que los clientes y bancos han comenzado a preguntar en la práctica — y qué debe hacer al respecto.
¿Autenticación multifactor en la industria de metales y manufactura: dónde es obligatoria y dónde no?
El deber de diligencia no menciona tecnologías específicas, pero sí describe dónde se espera una protección de acceso sólida — y por qué los sistemas de producción antiguos suelen requerir un enfoque diferente.
Leer más →Copias de seguridad y recuperación en la industria metalúrgica y de fabricación: ¿cuándo las probó por última vez?
Una copia de seguridad que existe no dice nada si nadie ha intentado restaurarla. Este artículo explica por qué en la industria metalúrgica y de fabricación la prueba de recuperación es el punto central, no la copia de seguridad en sí.
Leer más →Registro de incidentes en la industria metalúrgica y de fabricación: ¿qué documenta usted?
¿Qué debe documentar cuando un incidente de ciberseguridad afecta su entorno de producción y por qué las máquinas conectadas a la red requieren un enfoque diferente al de una computadora portátil en la oficina?
Leer más →Control de acceso en la industria metalmecánica: ¿quién puede acceder a qué sistemas de producción?
Una explicación práctica del control de acceso para empresas de producción: quién puede acceder a qué sistemas, cómo configurarlo para máquinas y PLC conectadas a la red, y qué preguntan exactamente los clientes sobre esto.
Leer más →¿Qué requisitos impone un cliente a la industria metalmecánica y de manufactura tras NIS2?
Los clientes que están sujetos a NIS2 traducen su deber de diligencia en requisitos contractuales para sus proveedores en la industria metalmecánica y de manufactura — prestando especial atención a máquinas y sistemas de producción conectados a la red.
Leer más →¿La industria metalúrgica y manufacturera está cubierta por la NIS2?
Para las empresas metalúrgicas y de fabricación de maquinaria, una obligación según la NIS2 depende de tres cosas simultáneamente: el sector exacto, el tamaño de la empresa y el papel en la cadena de suministro de un cliente principal más grande.
Leer más →Lista de verificación de seguridad en la industria metalúrgica y manufacturera: ¿cuáles son las preguntas recurrentes?
Los proveedores en la industria metalúrgica y manufacturera suelen recibir las mismas preguntas sobre su entorno de producción. Este artículo presenta las categorías recurrentes, con los sistemas de producción conectados a la red como eje central.
Leer más →Conciencia y formación en el sector de las instalaciones: ¿qué exige el deber de diligencia de NIS2?
El deber de diligencia exige que los empleados de una empresa de instalaciones sean concienciados regularmente sobre los riesgos cibernéticos; para los administradores existe una obligación de formación específica y personal. Este artículo explica la diferencia.
Leer más →¿Qué debe incluir la política de seguridad de la información de una empresa de instalación?
Una descripción de qué debe contener una política de seguridad de la información para el sector de instalación, precisamente porque los técnicos trabajan en las instalaciones de los clientes y tienen acceso a edificios y sistemas.
Leer más →Política de proveedores para empresas instaladoras: ¿cómo evalúa quién entra en casa de su cliente?
Una empresa instaladora trabaja también con subcontratistas, autónomos y proveedores que obtienen acceso a edificios y sistemas de su cliente. Este artículo muestra cómo mapea y evalúa su propia cadena de suministro.
Leer más →Autenticación multifactor en el sector de instalación: ¿dónde es obligatoria y dónde no?
Un resumen de dónde se espera la verificación de dos pasos en el sector de instalación, y por qué el acceso a edificios y sistemas en las ubicaciones de los clientes a menudo requiere una consideración especial.
Leer más →Copias de seguridad y recuperación en el sector de instalaciones: ¿cuándo las probó por última vez?
Una copia de seguridad que nunca se ha restaurado no es una garantía sino una suposición. Este artículo explica qué significa 'probar' en concreto para una empresa de instalaciones con acceso a edificios y sistemas de clientes.
Leer más →Registro de incidentes en el sector de instalaciones: ¿qué documenta cuando algo sale mal?
Una avería, una llave robada o una cuenta incorrecta en un cliente: lo que una empresa de instalaciones documenta cuando algo sale mal, y por qué es más que un informe de error en un sistema de tickets.
Leer más →Control de acceso en la industria de instalación: ¿quién puede acceder a qué sistemas y llaves?
El control de acceso es la medida sobre la que los cuestionarios de seguridad más preguntan. Para empresas de instalación, esto no se limita a contraseñas, sino que también incluye llaves, tarjetas de acceso y entrada en las instalaciones del cliente.
Leer más →¿Qué requisitos impone un cliente a las empresas instaladoras tras NIS2?
Los clientes que están sujetos a la obligación de diligencia debida de NIS2 traducen ese requisito legal en condiciones contractuales para instaladores, especialmente en torno al acceso a edificios, llaves y sistemas de edificios. Este artículo explica qué puede esperar y por qué.
Leer más →¿Está el sector de instalación sujeto a la Directiva (EU) 2022/2555?
Para las empresas instaladoras, la respuesta depende del sector, el tamaño y el acceso que tengan a edificios y sistemas de clientes que a su vez están sujetos a la Directiva (EU) 2022/2555.
Leer más →Cuestionario de seguridad en el sector de instalaciones: ¿qué preguntas se repiten?
Una empresa de instalaciones que trabaja in situ en clientes y gestiona sistemas de forma remota recibe frecuentemente un cuestionario de seguridad con preguntas específicas sobre el acceso a edificios y sistemas. Este artículo enumera las preguntas recurrentes.
Leer más →Formación en conciencia de seguridad en el desarrollo de software: ¿qué exige el deber de diligencia?
El deber de diligencia de NIS2 exige a los desarrolladores de software que capaciten a los empleados en conciencia de seguridad y, además, establece una obligación de capacitación separada y personal para los órganos de administración. Este artículo explica la diferencia.
Leer más →¿Qué debe incluir la política de seguridad de la información para el desarrollo de software?
Una política de seguridad de la información para el desarrollo de software describe tanto cómo protege el producto que construye como cómo protege su propia cadena de desarrollo — este artículo expone qué componentes deben estar presentes en ella.
Leer más →Política de proveedores para desarrollo de software: ¿cómo evalúa a sus propios proveedores?
Las empresas de software reciben cuestionarios de seguridad, pero también deben evaluar a sus propios proveedores. Este artículo muestra cómo construirlo, con la cadena de desarrollo y el código en su producto como dos puntos de atención separados.
Leer más →Autenticación multifactor en el desarrollo de software: ¿dónde tiene sentido y dónde no?
Una descripción de los lugares donde la verificación en dos pasos en el desarrollo de software es apropiada, y las situaciones en las que es menos evidente.
Leer más →Copias de seguridad y recuperación en el desarrollo de software: ¿cuándo las probó por última vez?
Una copia de seguridad que nunca ha restaurado es una suposición, no una medida — especialmente no para el código fuente, la cadena de desarrollo y los secretos que hay detrás.
Leer más →Registro de incidentes en desarrollo de software: ¿qué documenta cuando algo sale mal?
Un resumen de lo que una empresa de software documenta en caso de incidente: la distinción entre una vulnerabilidad en el código que entrega y un problema en su propia línea de desarrollo, y qué quiere ver un cliente al respecto.
Leer más →Control de acceso en el desarrollo de software: ¿quién puede acceder al código fuente y a la cadena de desarrollo?
Una explicación de lo que el control de acceso significa para un equipo de desarrollo: quién puede acceder al código fuente, la canalización de compilación y el entorno de producción, y qué documentará al respecto en su expediente de ciberseguridad.
Leer más →¿Qué requisitos se incluyen en el contrato de desarrollo de software después de NIS2?
Un cliente que está sujeto a las obligaciones de diligencia debida de la Directiva (EU) 2022/2555 traduce esa obligación en requisitos contractuales para el software que usted desarrolla y en la forma en que lo desarrolla. Este artículo detalla cuáles suelen ser esos requisitos.
Leer más →¿El desarrollo de software cae bajo NIS2?
El desarrollo de software no figura como sector separado en los anexos de NIS2, pero a través de la prestación de servicios en la nube o de servicios TIC, el tamaño de su empresa y su posición como proveedor pueden hacer que se vea afectado por la directiva.
Leer más →¿Qué preguntas recibe una empresa de software en una lista de verificación de NIS2?
Un resumen de las preguntas que reaparecen específicamente para los desarrolladores de software en listas de verificación de seguridad: sobre el código que construye y sobre la línea de desarrollo en la que lo hace.
Leer más →¿Es la formación obligatoria sobre sensibilización en seguridad para los proveedores de servicios TIC según la NIS2?
La NIS2 menciona la sensibilización y la formación como una de las diez medidas de diligencia debida, aparte de la obligación de formación específica para el órgano de administración. Este artículo explica la diferencia y qué significa para un proveedor de servicios TIC.
Leer más →¿Qué debe incluir la política de ciberseguridad de un proveedor de servicios TIC?
Una política de ciberseguridad para un proveedor de servicios TIC describe cómo gestiona el acceso remoto, el acceso a sistemas de clientes y los subcontratistas — este artículo muestra qué componentes deben incluirse en ella.
Leer más →Establecer una política de proveedores para la prestación de servicios de TIC: ¿por dónde empieza?
Los proveedores de servicios de TIC reciben cuestionarios de sus clientes, pero también deben evaluar a sus propios proveedores: subcontratistas, herramientas de gestión remota y cualquier persona con acceso a los sistemas de los clientes.
Leer más →¿Autenticación multifactor en la prestación de servicios TIC: dónde es obligatoria y dónde no?
La autenticación multifactor aparece en casi todas las medidas de diligencia debida de la NIS2 y en todos los cuestionarios de seguridad, pero el requisito varía según la vía de acceso. Este artículo muestra dónde se espera la autenticación multifactor de manera estructural y dónde el debate sigue abierto.
Leer más →Copias de seguridad y recuperación en la prestación de servicios TIC: ¿cuándo las probó por última vez?
Una copia de seguridad que existe pero nunca se ha restaurado no se cuenta en la evaluación de medidas de diligencia debida. Lo que esto significa en concreto para la gestión remota, el acceso a los sistemas de los clientes y los subcontratistas.
Leer más →Registro de incidentes en la prestación de servicios TIC: ¿qué documenta usted?
Como proveedor de servicios TIC, a menudo trabaja de forma remota en sistemas de clientes, a veces con un subcontratista. Este artículo describe qué documenta usted cuando algo sale mal, para que pueda demostrarlo posteriormente.
Leer más →Control de acceso en la prestación de servicios TIC: ¿quién puede acceder dónde?
Una explicación de lo que implica el control de acceso dentro de la obligación de diligencia debida de la NIS2, y por qué los cuestionarios son especialmente rigurosos aquí en materia de gestión remota, acceso de clientes y subcontratistas.
Leer más →Lo que un contratante de servicios TIC exige después de NIS2
Los contratantes que están sujetos a la obligación de diligencia de NIS2 traducen esa obligación en requisitos contractuales para su proveedor de TIC — sobre acceso a sistemas, gestión remota y subcontratistas.
Leer más →¿Está la prestación de servicios TIC sujeta a NIS2?
Para los proveedores de servicios TIC, la respuesta es doble: una parte está directamente sujeta a la lista de sectores de NIS2, mientras que una parte mucho mayor se ve afectada porque los clientes deben evaluarlos como proveedores con acceso a sistemas.
Leer más →Lista de verificación de seguridad en servicios TIC: ¿qué preguntas se repiten constantemente?
Los proveedores de servicios TIC reciben con frecuencia las listas de verificación de seguridad más detalladas debido al acceso que tienen a los sistemas de sus clientes. Este artículo enumera los temas recurrentes: gestión remota, acceso a sistemas de clientes y subcontratistas.
Leer más →Reutilizar cuestionario de seguridad: por qué la segunda vez toma minutos
El primer cuestionario de seguridad de un cliente cuesta horas de búsqueda y formulación. Quien registra las respuestas en un expediente, advierte que el segundo y tercer cuestionario requieren solo una verificación y algunos ajustes.
Leer más →Abordar NIS2 como PYME: ¿cómo construir un expediente sin convertirlo en un proyecto de un año?
Un expediente NIS2 no tiene que ser un proyecto de larga duración: comience con lo que su empresa ya tiene y complete cada medida con estado, responsable y prueba.
Leer más →¿Directiva NIS2 u DORA: qué normativa se aplica a mi organización?
Las entidades financieras están sujetas a DORA y no a la Directiva NIS2. Este artículo le explica cómo identificar, en función de su sector, qué normativa se aplica a su organización.
Leer más →¿Cuál es la multa por NIS2 y quién puede recibirla exactamente?
La Directiva menciona montos máximos elevados, pero esos se aplican solo a las organizaciones que por sí mismas están sujetas a la Directiva (EU) 2022/2555. Para el grupo mucho mayor de proveedores, el riesgo no es la multa, sino el contrato que desaparece antes.
Leer más →¿Es un director personalmente responsable bajo NIS2?
La Directiva NIS2 impone parte de la obligación de diligencia directamente en la junta directiva: aprobar, supervisar y capacitar. Este artículo explica qué significa esto en la práctica y por qué no se puede delegar en un proveedor.
Leer más →¿Existe un certificado NIS2?
No — no existe un certificado oficial de NIS2 ni una autoridad que lo expida. Este artículo explica qué exige la Directiva y cómo demostrar el cumplimiento de forma creíble.
Leer más →NIS2 e ISO 27001: ¿cuál es la diferencia?
Un certificado ISO 27001 cubre gran parte de lo que exige la obligación de debida diligencia de la Directiva NIS2, pero no cubre la obligación de registro ni la obligación de notificación ante una autoridad de control.
Leer más →Registro NIS2 ante la autoridad supervisora: ¿cómo funciona?
Las entidades críticas e importantes deben notificarse a sí mismas a la autoridad supervisora nacional — este artículo explica qué datos son necesarios para ello y por qué nadie se lo recordará.
Leer más →Obligación de notificación NIS2: ¿qué significan exactamente 24 horas, 72 horas y un mes?
La Directiva NIS2 establece tres momentos de notificación tras un incidente significativo. Lo que se espera en cada momento difiere de lo que generalmente se afirma.
Leer más →¿Cuáles son las diez medidas que la obligación de diligencia debida de la Directiva NIS2 espera de su organización?
La obligación de diligencia debida de la Directiva NIS2 menciona diez tipos de medidas de seguridad. Este artículo explica en lenguaje sencillo qué implica cada medida y cómo saber si está implementada.
Leer más →Lista de preguntas de seguridad de un cliente: ¿qué debe hacer con ella?
Un cliente envía una larga lista de preguntas sobre su seguridad y hace referencia a NIS2. Qué significa esa lista, por qué llega y cómo puede llegar a una respuesta útil.
Leer más →¿Cae mi empresa bajo NIS2?
Dos preguntas determinan si su empresa está sujeta directamente a la directiva NIS2: el sector en el que opera y el tamaño de su organización. Si no está sujeta, aun así puede verse afectado a través de un cliente o proveedor.
Leer más →