Lista de verificación de requisitos de cumplimiento de NIS2: todas las obligaciones que su organización debe abordar

Referencia: artículos 2 y 3 y anexos I y II de la Directiva NIS2

• Determine si su organización se considera una entidad «esencial» o «importante» en función del sector, el tamaño y los umbrales de criticidad
• Mapee todas las filiales y empresas vinculadas en los Estados miembros de la UE y evalúe la aplicabilidad de NIS2 a cada entidad de forma independiente
• Identifique la autoridad nacional competente y el punto de contacto único (SPOC) en cada Estado miembro pertinente
• Regístrese ante el CSIRT o la autoridad competente correspondiente según exija la transposición nacional

Referencia: artículo 20 de la Directiva NIS2

• Asegúrese de que los órganos de dirección aprueben formalmente las medidas de gestión del riesgo de ciberseguridad y supervisen su implementación
• Establezca formación obligatoria en ciberseguridad para todos los miembros del órgano de dirección
• Documente el marco de responsabilidad personal de los miembros del órgano de dirección en relación con los incumplimientos
• Cree una cadencia de información a nivel de consejo sobre la postura de riesgo de ciberseguridad (se recomienda trimestral como mínimo)

Referencia: artículo 21, apartado 1, de la Directiva NIS2

• Adopte una política integral de análisis de riesgos y seguridad de los sistemas de información que cubra todas las redes y sistemas de información
• Implemente una metodología de evaluación de riesgos que aborde los riesgos técnicos, operativos y organizativos de forma proporcionada al panorama de amenazas
• Programe evaluaciones de riesgos recurrentes, como mínimo anuales y tras cualquier cambio o incidente significativo
• Documente los criterios de aceptación del riesgo y los procedimientos de escalado para los riesgos residuales por encima del umbral

Referencia: artículos 23 y 30 de la Directiva NIS2

• Establezca procedimientos documentados de detección, clasificación y escalado de incidentes
• Configure sistemas y procesos para enviar un aviso temprano al CSIRT competente en un plazo de 24 horas desde la detección de un incidente significativo
• Prepare plantillas y flujos de trabajo para la notificación completa del incidente en un plazo de 72 horas desde el aviso temprano
• Defina el proceso para presentar un informe final detallado (o informe de progreso) en el plazo de un mes desde la notificación del incidente
• Pruebe los procedimientos de respuesta a incidentes mediante ejercicios de simulación al menos una vez al año

Referencia: artículo 21, apartado 2, letra c), de la Directiva NIS2

• Desarrolle y mantenga planes de continuidad del negocio que cubran las redes y los sistemas de información críticos
• Implemente procedimientos de gestión de copias de seguridad, incluidas estrategias de copia externa e inmutable
• Defina objetivos de recuperación ante desastres (RTO y RPO) para todos los sistemas críticos y valídelos mediante pruebas
• Establezca la gobernanza de la gestión de crisis, incluidas las cadenas de escalado, los planes de comunicación y la autoridad de decisión

Referencia: artículo 21, apartado 2, letra d), de la Directiva NIS2

• Realice evaluaciones del riesgo de seguridad de todos los proveedores directos y prestadores de servicios con acceso a su red, sistemas o datos
• Incluya requisitos de ciberseguridad en los contratos de compras, como obligaciones de notificación de incidentes, derechos de auditoría y estándares de seguridad
• Evalúe y documente las vulnerabilidades específicas de cada proveedor directo y la calidad general de sus prácticas de ciberseguridad
• Supervise el riesgo de la cadena de suministro de forma continua, no solo en la incorporación, y establezca una cadencia de recertificación

Referencia: artículo 21, apartado 2, letras a) y e), de la Directiva NIS2

• Implemente medidas de seguridad para la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información, incluidos el tratamiento y la divulgación de vulnerabilidades
• Despliegue políticas y procedimientos para evaluar la eficacia de las medidas de gestión del riesgo de ciberseguridad (p. ej., pruebas de penetración, auditorías de seguridad)
• Implemente la segmentación de la red, la detección de intrusiones y la protección de los endpoints de forma proporcionada al riesgo

Referencia: artículo 21, apartado 2, letra h), de la Directiva NIS2

• Defina e implemente políticas sobre el uso de la criptografía, incluido el cifrado en reposo y en tránsito de los datos sensibles
• Establezca procedimientos de gestión de claves, incluidas la generación, distribución, almacenamiento, rotación y revocación
• Cuando proceda, implemente el cifrado de extremo a extremo u otras medidas para proteger la confidencialidad de las comunicaciones

Referencia: artículo 21, apartado 2, letras i) y j), de la Directiva NIS2

• Implemente políticas de seguridad de los recursos humanos, incluidas las verificaciones de antecedentes, el acceso basado en roles y los procedimientos de baja
• Despliegue soluciones de autenticación multifactor (MFA) o autenticación continua para todos los accesos privilegiados y remotos
• Establezca y mantenga políticas de gestión de activos y control de acceso que garanticen los principios de privilegio mínimo
• Implemente sistemas de comunicación de emergencia seguros (voz, mensajería, vídeo) con autenticación

Referencia: artículo 21, apartado 2, letra g), de la Directiva NIS2

• Implemente prácticas básicas de ciberhigiene en todo el personal, incluidas las políticas de contraseñas, la concienciación sobre el phishing y el uso seguro de los dispositivos
• Imparta formación en ciberseguridad adecuada a cada rol en la incorporación y de forma recurrente (mínimo anual)
• Haga seguimiento de las tasas de finalización de la formación y de las puntuaciones de las evaluaciones como evidencia auditable
• Asegúrese de que los miembros del órgano de dirección completen la formación en ciberseguridad exigida por el artículo 20, apartado 2

Referencia: artículos 32 y 33 de la Directiva NIS2 (supervisión y ejecución)

• Mantenga documentación completa de todas las medidas de gestión de riesgos, políticas y procedimientos en un formato listo para auditoría
• Prepare paquetes de evidencias para las inspecciones de la autoridad de control, incluidos evaluaciones de riesgos, registros de incidentes, registros de formación y evaluaciones de proveedores
• Establezca mecanismos de auditoría o revisión internos para verificar la eficacia de las medidas implementadas
• Para los grupos con múltiples entidades: implemente paneles de cumplimiento centralizados que proporcionen visibilidad de todo el grupo a la vez que mantienen la documentación por entidad
• Haga seguimiento de la evolución de la transposición nacional en cada Estado miembro en el que opere y ajuste las medidas de cumplimiento en consecuencia