¿Cómo aborda NIS2 como PYME, sin convertirlo en un proyecto anual?
La ruta más corta no es escribir un gran plan, sino partir de lo que ya existe. La mayoría de las PYME ya tienen una política de contraseñas, un calendario de copias de seguridad, un registro de quién tiene acceso a qué sistemas y una persona de contacto para TI. Eso no es una política completa de ciberseguridad, pero es el punto de partida de un expediente: documentar por cada medida cuál es su estado, quién es responsable de ella y qué prueba demuestra que realmente se lleva a cabo.
Construir un expediente de esta manera no es un proyecto de meses. Es una lista que abre hoy y que crece mientras trabaja: una medida ya está ahí, otra se añade este mes. No hay un momento en el que esté "terminado", y tampoco es la intención. La obligación de diligencia que se deriva de la Directiva NIS2 y las leyes nacionales al respecto no es un ejercicio único sino una práctica continua. Un registro vivo encaja mejor con esto que un documento voluminoso que desaparece en una carpeta después de su entrega.
Comience con lo que ya tiene, no con una página en blanco
Muchas empresas piensan que empiezan de cero en cuanto aparece la palabra NIS2. Rara vez es así. Una empresa de instalación suele tener ya acuerdos sobre quién tiene acceso a los sistemas de los clientes, un departamento de recursos humanos tiene un proceso para revocar el acceso cuando un empleado se va, y casi todas las empresas tienen algún tipo de copia de seguridad, aunque no esté documentada como "política de copias de seguridad". El primer paso no es, pues, escribir, sino hacer un inventario: qué hacemos ya, dónde está documentado, y quién puede demostrarlo.
A continuación viene la pregunta de qué partes aún faltan. Esto no solo ahorra tiempo, sino que también evita que haga trabajo duplicado o que establezca políticas para algo que ya está bien regulado en la práctica, solo que aún no es visible. Si primero quiere saber si su organización está realmente sujeta a esto, u si se ve afectada a través de un cliente, puede verlo con un par de preguntas donde se encuentra aproximadamente, sin que tenga que comprar nada por ello.
Una medida, un estado, un responsable, una prueba
El núcleo de un expediente funcional es sencillo: cuatro campos fijos por medida. El estado indica si algo está resuelto, parcialmente resuelto o aún debe suceder. El responsable es la persona encargada de ello, no necesariamente el director. La prueba es lo que demuestra que la medida existe: un calendario, una exportación de un sistema, un documento firmado. Sin estos cuatro campos, un expediente sigue siendo una colección de buenas intenciones; con ellos se convierte en algo con lo que también puede responder a un cuestionario de seguridad de un cliente, porque no tiene que improvisar sino puede basarse en lo que ya está documentado.
Esta estructura también funciona bien porque no tiene que abordarlo todo a la vez. Puede empezar con las medidas para las que ya tiene la mayoría de las cosas, que son rápidas de poner en orden, e ir abordando el resto de forma escalonada. Encontrará una descripción de qué medidas exige exactamente la obligación de diligencia, y qué abarca, en los temas desarrollados por situación.
Por qué esto avanza más rápido de lo que parece
La impresión de que NIS2 es un proyecto anual surge a menudo porque la gente piensa en un documento de política completo que debe estar listo de una sola vez. Un registro vivo funciona al revés: comienza pequeño e incompleto, y se actualiza automáticamente con cada cambio en su organización, porque de todos modos ya está trabajando en ese cambio. Un nuevo proveedor, otro sistema de acceso, un nuevo empleado con derechos administrativos — cada momento es un punto de conexión natural para actualizar el expediente, en lugar de hacerlo todo de nuevo una vez al año.
Lo que el expediente proporciona y lo que no
De documentación mantenida en un expediente se derivan los documentos que usted necesita: la política en sí, las respuestas a los cuestionarios de sus clientes y textos preparados para el registro o la notificación ante la autoridad competente. Esa notificación o registro debe presentarla usted mismo en el portal de su autoridad competente; un expediente prepara eso, pero no se hace cargo de la presentación. El expediente tampoco es un sustituto de una auditoría, una prueba de penetración o una certificación — eso sigue siendo trabajo de partes especializadas, al igual que la respuesta ante incidentes si algo sale mal.
Quien quiera saber exactamente cómo se elabora un expediente de este tipo y qué fuentes se utilizan, lo lee en la página sobre de dónde proviene la información en la plataforma. Para la situación específica de su organización, con las implicaciones legales correspondientes, un abogado o la autoridad competente siguen siendo el interlocutor más indicado.
¿Quiere ver dónde se encuentra su organización en este momento? Realice la comprobación gratuita de NIS2 u hojee los temas más cercanos a su situación.