Las diez medidas de la obligación de diligencia debida, en lenguaje sencillo
Si su organización está sujeta a la Directiva NIS2 como entidad esencial o importante, tiene una obligación de diligencia debida: debe adoptar medidas apropiadas para gestionar los riesgos para sus sistemas de redes e información. La Directiva desarrolla esto en una serie de diez tipos de medidas, enumeradas en el artículo 21. Están formuladas deliberadamente en términos generales, para que se adapten tanto a una empresa instaladora con veinte empleados como a una empresa energética con mil. ¿Cómo sabe si una medida está implementada? No por una casilla de verificación, sino por tres cosas que van juntas: un documento concreto o una configuración técnica que implementa la medida, el nombre de alguien responsable de ello, y una fecha de la última revisión.
Las diez medidas se dividen aproximadamente en cuatro grupos: conocer y documentar los riesgos, afrontar incidentes, gestionar la cadena de suministro, y mantener las personas y la tecnología en orden. A continuación, las pasamos en revista, no como una lista de verificación para marcar, sino como una explicación de lo que cada medida significa en la práctica.
Conocer y documentar los riesgos
La primera medida es una política de análisis de riesgos y seguridad de la información: un documento que describe qué sistemas son importantes, qué puede salir mal y cómo lo evalúa. No tiene que ser un informe voluminoso, pero sí algo que una persona externa —un supervisor, un cliente, un colega nuevo— pueda leer y comprender. Además, la Directiva menciona políticas y procedimientos para evaluar la efectividad de las medidas: no solo documenta qué hace, sino también cómo verifica que funciona. Y hay una medida separada para higiene cibernética y formación: reglas básicas prácticas y la capacidad de los empleados para reconocer un correo electrónico sospechoso.
Afrontar incidentes
Un segundo grupo trata sobre qué sucede si algo sale mal. El tratamiento de incidentes significa que existe un procedimiento para quién hace qué tan pronto se descubre un incidente y cómo se notifica. La continuidad empresarial —que incluye la gestión de copias de seguridad, la recuperación ante desastres y la gestión de crisis— aborda la pregunta de cómo puede continuar después de una interrupción o un ataque: ¿tiene una copia de seguridad actualizada, ¿sabe quién coordina la crisis y se ha probado alguna vez. Esta es la parte en la que las organizaciones a menudo confían sin haberla probado, y precisamente esa prueba es lo que un supervisor o cliente quiere ver.
Gestionar la cadena de suministro
La Directiva dedica una medida separada a la seguridad de la cadena de suministro, incluida la relación con proveedores individuales. Esta es la razón por la que las empresas medianas y pequeñas no obligadas también reciben cuestionarios de sus clientes: ese cliente debe evaluar su propia cadena para cumplir con esta medida. Una medida relacionada trata sobre la seguridad en la adquisición, desarrollo y mantenimiento de sistemas de redes e información, incluida la gestión de vulnerabilidades —es decir, también cómo se adquiere y mantiene el software.
Personas y tecnología en orden
El último grupo es el más técnico, pero no menos concreto. La seguridad del personal, la política de acceso y la gestión de activos empresariales tratan sobre quién puede acceder a qué sistemas y qué sucede cuando alguien se va. El uso de autenticación multifactor o soluciones comparables, y comunicación segura de voz, vídeo y texto y sistemas seguros de comunicación de emergencia, es la medida que está más cerca de la práctica diaria: ¿todavía es posible iniciar sesión en correo electrónico y sistemas empresariales solo con una contraseña, o hay un segundo paso. Y cuando corresponda, se trata de política y procedimientos para el uso de criptografía y, cuando sea relevante, cifrado.
Lo que tienen en común estas diez medidas es que todas requieren tres cosas: una evidencia, un responsable y un momento de control. Así es precisamente como se estructura un registro vivo, en lugar de una instantánea que queda obsoleta después de medio año. La severidad con que debe cumplimentarse una medida en su caso depende del tamaño de su organización y de los riesgos propios de su sector — sobre esto proporciona la verificación gratuita en algunas preguntas una primera indicación.
Para quienes deseen saber cómo estas diez medidas se traducen en la ley nacional y en pasos concretos por tema, existe un resumen por tema, desglosado según la situación. También se explica cuál es la fuente de cada aclaración y en qué fecha se consultó, tal como se describe en la página sobre la procedencia de la información. Para la pregunta sobre qué es exactamente gratuito y qué corresponde a una suscripción, existe un resumen de preguntas frecuentes.
Estas diez medidas constituyen un marco de referencia, no un ejercicio de cumplimentación con una única respuesta correcta. Lo que es adecuado para su organización depende de su sector, tamaño y de los sistemas de los que depende — el texto de la ley en sí y la orientación de la autoridad supervisora proporcionan la respuesta más confiable. Si primero desea saber si y cómo se le aplica esta obligación de diligencia debida, comience con la verificación NIS2 gratuita u hojee la base de conocimientos en secria.eu.