Términos de compliance,
explicados en breve.

Disposición del Código Social alemán, libro V (SGB V), sobre la seguridad de TI en la atención médica y odontológica concertada, antes § 75b. Una directiva establece qué requisitos deben cumplir las consultas según su tamaño.

Medida que elimina la causa de una no conformidad para que no vuelva a producirse. Va más allá de corregir el síntoma.

Medida que evita una posible desviación antes de que se produzca. En las normas ISO actuales, esta idea ha quedado integrada en el pensamiento basado en riesgos.

Decisión consciente de los responsables de asumir un riesgo residual. Debe estar documentada y justificada.

Confirmación formal de que un organismo de certificación o de auditoría trabaja con competencia técnica e independencia. Solo la acreditación hace que un certificado tenga reconocimiento internacional.

Todo lo que tiene valor para la organización y debe protegerse: información, sistemas, aplicaciones, instalaciones y también el conocimiento de las personas. El inventario de activos es la base de toda evaluación de riesgos.

Definición de qué ubicaciones, procesos, sistemas y unidades organizativas abarca un sistema de gestión. Un alcance demasiado reducido resta valor al certificado.

Comparación de la situación actual con los requisitos de un framework. Muestra dónde hay que mejorar y suele ser el primer paso de un proyecto.

Revisión sistemática e independiente de si se cumplen los requisitos. Se distinguen las auditorías internas, las auditorías a proveedores y las auditorías de certificación realizadas por un organismo externo.

Primera parte de la auditoría de certificación. El auditor revisa la documentación, el alcance y la preparación antes de comprobar la implantación propiamente dicha.

Segunda parte de la auditoría de certificación. El auditor comprueba, in situ o en remoto, si el sistema de gestión se aplica eficazmente en el día a día.

Auditoría al final de los tres años de validez de un certificado. Vuelve a revisar todo el sistema de gestión e inicia un nuevo ciclo.

Auditoría anual entre la certificación inicial y la recertificación. Revisa partes del sistema de gestión y si este sigue siendo eficaz.

Revisión del propio sistema de gestión por personas independientes de la empresa o por externos contratados. Para las certificaciones ISO es obligatoria al menos una auditoría interna por ciclo.

Inicio de sesión con al menos dos factores independientes, por ejemplo contraseña y código de un solo uso. NIS2 la menciona expresamente como medida, y muchos catálogos de controles la exigen para los administradores.

Ley alemana sobre la Oficina Federal de Seguridad de la Información (BSI). Con la transposición de NIS2 regula qué entidades tienen qué obligaciones de seguridad, notificación y registro.

Paso del proceso en el sistema APPCC (HACCP) en el que debe controlarse eficazmente un peligro para la seguridad alimentaria, por ejemplo al calentar o enfriar. Para cada CCP hay límites, vigilancia y medidas correctoras.

Documento de un organismo de certificación acreditado que acredita que un sistema de gestión cumple los requisitos de una norma. Por lo general es válido tres años, con auditorías de seguimiento anuales.

Reglas documentadas sobre quién puede acceder a qué sistemas y datos y con qué alcance, incluida la concesión, la revisión y la retirada de permisos. Los auditores casi siempre piden evidencia de la recertificación periódica.

Formaciones y medidas que hacen que los empleados tomen conciencia de los riesgos de seguridad. Casi todos los frameworks las exigen de forma periódica y demostrable.

Requisito o medida de protección concreta de un framework, por ejemplo el control de acceso o la copia de seguridad. Los controles se evalúan, se implantan y se respaldan con evidencias.

Reglas y medios técnicos que garantizan que solo las personas autorizadas accedan a los sistemas y datos. Uno de los controles revisados con más frecuencia.

Copia periódica de datos y sistemas para poder restaurarlos tras una pérdida. Los auditores se fijan sobre todo en que la restauración se haya probado, no solo en que se realicen copias.

Uso de cifrado y firmas para proteger los datos en tránsito y en reposo. Los frameworks exigen un concepto para los procedimientos y la gestión de claves.

Parte opcional del catálogo BSI C5 para clientes con mayores necesidades de protección. Se auditan además de los criterios básicos.

Parte obligatoria del catálogo BSI C5 que todo proveedor de nube con informe de atestación C5 debe cumplir. Se complementan con criterios adicionales para necesidades de protección más elevadas.

Catálogo de criterios del BSI para servicios en la nube seguros. Un auditor independiente revisa su implantación y emite un informe de atestación de tipo 1 (idoneidad) o de tipo 2 (eficacia durante un periodo).

Actitud y comportamientos compartidos en la empresa que sostienen la seguridad alimentaria en el día a día. La normativa de higiene alimentaria de la UE exige que las empresas la fomenten y lo demuestren.

Organismo nacional de acreditación en Alemania. Acredita, entre otros, a los organismos de certificación para ISO 27001 e ISO 9001.

Documento central de un SGSI según ISO 27001. Enumera todas las medidas del anexo A, justifica su inclusión o exclusión e indica su grado de implantación.

Persona que asesora a una empresa en materia de protección de datos y supervisa el cumplimiento del RGPD. Puede designarse internamente o contratarse externamente.

Los tres objetivos de protección clásicos de la seguridad de la información. Toda medida sirve al menos a uno de ellos.

Reglamento de la UE sobre la resiliencia operativa digital del sector financiero, aplicable desde enero de 2025. Regula la gestión del riesgo relacionado con las TIC, la notificación de incidentes, las pruebas de resiliencia y la relación con los proveedores terceros de servicios TIC.

Cuando un proveedor de servicios trata datos personales por cuenta de una empresa, el art. 28 del RGPD exige un contrato con obligaciones definidas. Regula, entre otras cosas, las instrucciones, los subencargados y las medidas técnicas de protección.

Reglamento de la UE sobre inteligencia artificial. Clasifica los sistemas de IA según su riesgo y asocia a ello obligaciones escalonadas para proveedores y responsables del despliegue.

Consulta estructurada con la que se determina el grado de implantación de los requisitos, control por control. El resultado es una imagen clara de lo que se cumple y de lo que falta.

Evaluación previa de un tratamiento que probablemente entrañe un alto riesgo para los interesados. Describe la finalidad, la necesidad, los riesgos y las medidas para afrontarlos.

Identificación, análisis y valoración de los riesgos según su probabilidad e impacto. Determina qué medidas son necesarias.

Prueba de que un control está implantado, por ejemplo un documento, una captura de pantalla, un registro o una exportación. Las buenas evidencias tienen una versión y una fecha de caducidad.

Término genérico para las normas, leyes y catálogos de criterios en los que se basa una empresa, por ejemplo ISO 27001, NIS2 o SOC 2.

Catálogo de requisitos definido por la propia empresa, por ejemplo directrices de grupo o requisitos de clientes, que se gestiona como una norma con controles, evidencias y evaluaciones.

Acceso para auditores externos que muestra todo lo relevante para la auditoría, pero no permite cambios. Así la auditoría sigue siendo independiente y trazable.

Preparación y respuesta ante interrupciones graves, con alerta, comité de crisis y planes de recuperación. Forma parte de la gestión de la continuidad del negocio.

Planificación de cómo los procesos de negocio críticos siguen funcionando o se restablecen rápidamente en caso de interrupción. Incluye planes de emergencia, tiempos de recuperación y ejercicios periódicos.

Proceso continuo para detectar, evaluar y corregir en plazo las vulnerabilidades de los sistemas. Un tema central de NIS2, DORA e ISO 27001.

Marco de estrategias, políticas y herramientas con el que una entidad financiera identifica, protege, supervisa y resuelve los riesgos derivados de las tecnologías de la información y la comunicación. Capítulo central de DORA.

Interacción entre gobierno corporativo, gestión de riesgos y cumplimiento de leyes, normas y reglas internas. El software GRC, a menudo llamado herramienta GRC, reúne estas tareas en un solo lugar: requisitos, riesgos, medidas, evidencias y auditorías. Sightadel es una plataforma GRC para ISO 27001, ISO 9001, NIS2, DORA y otros frameworks.

Sistema de análisis de peligros en la producción y transformación de alimentos (APPCC). Las empresas alimentarias de la UE están obligadas a trabajar conforme a él.

Resultado de una auditoría respecto a un requisito: conformidad, no conformidad, observación u oportunidad de mejora. Los hallazgos se documentan en el informe de auditoría.

Sistemas de IA que el EU AI Act regula con especial rigor por su posible impacto en la salud, la seguridad o los derechos fundamentales, por ejemplo en la selección de personal, la concesión de créditos o las infraestructuras críticas. Se les aplican requisitos de gestión de riesgos, calidad de los datos, documentación y supervisión humana.

Asociación internacional de organismos de acreditación. Gracias a su reconocimiento mutuo, los certificados de organismos acreditados también son válidos en otros Estados miembros.

Suceso que afecta o podría afectar a la confidencialidad, la integridad o la disponibilidad de la información. Los incidentes se registran, se evalúan, se gestionan y se analizan.

Dictamen de un auditor independiente sobre un sistema auditado, por ejemplo según BSI C5. A diferencia de un certificado, no lo emite un organismo de certificación.

Norma internacional para encargos de aseguramiento que no se refieren a información financiera. En ella se basan, por ejemplo, los informes de atestación C5 y las revisiones de controles internos en proveedores de servicios.

Norma internacional para sistemas de gestión de la calidad. Exige procesos controlados y orientados al cliente, así como la mejora continua.

Norma con requisitos para los organismos que auditan y certifican sistemas de gestión. Prohíbe, entre otras cosas, que un organismo de certificación asesore a la misma organización.

Norma internacional para sistemas de gestión de la seguridad de la información. Es certificable y se considera en Europa la evidencia más importante de seguridad de la información.

Norma internacional para sistemas de gestión de la inteligencia artificial. Ayuda a desarrollar y utilizar la IA de forma responsable y es certificable.

Instalaciones cuyo fallo tendría consecuencias graves para la sociedad, por ejemplo en energía, agua, sanidad o finanzas. En Alemania, sus operadores están sujetos a mayores obligaciones de seguridad y de aportación de evidencias.

Principio básico de todas las normas de sistemas de gestión: planificar, hacer, verificar, actuar. Un sistema de gestión nunca se da por terminado.

Valoración del nivel de protección que requieren la confidencialidad, la integridad y la disponibilidad de una información o de un sistema. De ella se derivan las medidas adecuadas.

Directiva de la UE para un elevado nivel común de ciberseguridad. Amplía considerablemente el número de empresas afectadas y exige medidas de gestión de riesgos, notificaciones y responsabilidad de la dirección.

Marco del National Institute of Standards and Technology de EE. UU. En su versión 2.0 organiza la ciberseguridad en seis funciones: Govern, Identify, Protect, Detect, Respond y Recover.

El EU AI Act distingue entre prácticas prohibidas, sistemas de alto riesgo, sistemas con obligaciones de transparencia y sistemas de riesgo mínimo. Cuanto más alto el nivel, más estrictas las obligaciones.

Requisito no cumplido. En la auditoría de certificación se distinguen no conformidades mayores y menores; las mayores deben corregirse antes de emitir el certificado.

Organización acreditada que audita sistemas de gestión y emite certificados. Debe mantenerse independiente de la consultoría.

Lista de medidas concretas con responsables y plazos con la que se cierra una brecha, un riesgo o una desviación.

Borrador preparado para políticas, procesos o respuestas que se adapta a la propia empresa. Una plantilla solo tiene sentido si realmente se adapta y no se adopta sin más.

Los incidentes de seguridad significativos deben notificarse de forma escalonada: una alerta temprana en un plazo de 24 horas, una notificación con una evaluación inicial en un plazo de 72 horas y un informe final a más tardar un mes después.

Norma interna de obligado cumplimiento, por ejemplo sobre el uso de contraseñas o las copias de seguridad. Las políticas las aprueba la dirección, se comunican y se revisan periódicamente.

Situación en la que todos los requisitos están implantados, las evidencias están al día y se han completado la auditoría interna y la revisión por la dirección. Entonces la auditoría externa puede empezar sin sorpresas.

En DORA, todo proveedor que presta servicios digitales o de datos a una entidad financiera, por ejemplo nube, software o centro de datos. Se les aplican requisitos especiales en materia de contratos, supervisión y estrategias de salida.

Intento de ataque dirigido y autorizado contra sistemas para encontrar vulnerabilidades. Muchos frameworks esperan pruebas periódicas y la corrección de los resultados.

Registro completo de quién cambió qué y cuándo en el sistema. Los auditores lo utilizan para comprobar si los procesos se aplican realmente.

Relación de todos los tratamientos de datos personales con su finalidad, categorías, destinatarios, plazos y medidas de protección. El RGPD lo exige a casi todas las empresas.

Registro de todos los acuerdos contractuales de una entidad financiera con proveedores terceros de servicios TIC. Se lleva en un formato predefinido y se remite a la autoridad supervisora.

Con NIS2 y DORA, la dirección responde de que las medidas de gestión de riesgos se implanten y supervisen. Para ello debe recibir formación periódica.

Persona responsable de la creación, el funcionamiento y la evolución del SGSI. Informa a la dirección y coordina riesgos, medidas e incidentes.

Evaluación periódica del sistema de gestión por la alta dirección a partir de indicadores, resultados de auditoría y riesgos. Concluye con decisiones sobre recursos y mejoras.

Reglamento de la UE para la protección de los datos personales. Exige, entre otras cosas, bases jurídicas, transparencia, derechos de los interesados, medidas técnicas y organizativas y responsabilidad proactiva.

Riesgo derivado de proveedores de servicios y suministradores, por ejemplo por interrupciones o fuga de datos. Se gestiona mediante evaluaciones, cuestionarios y contratos.

Indicador que resume el grado de implantación de los controles en todos los frameworks. Muestra de un vistazo dónde se encuentra una empresa y hacia dónde evoluciona.

Conjunto de reglas, procesos, funciones y medidas con los que una empresa planifica, implanta, supervisa y mejora la seguridad de la información. ISO 27001 establece los requisitos.

Sistema de gestión que orienta los procesos hacia una calidad constante y la satisfacción del cliente. La base más conocida es ISO 9001.

Informe de auditoría según una norma estadounidense sobre los controles de un proveedor de servicios, elaborado por una firma de auditoría. El tipo I se refiere a una fecha concreta; el tipo II, a un periodo.

Procedimiento de evaluación e intercambio sobre seguridad de la información en la industria del automóvil. Se basa en un catálogo de preguntas específico del sector.

Prueba de penetración basada en amenazas según DORA, que imita a atacantes reales e incluye sistemas en producción. Determinadas entidades financieras deben realizarla periódicamente.

Medidas de protección según el RGPD, por ejemplo cifrado, control de acceso o formación. Deben ser adecuadas al riesgo y suelen documentarse en un resumen.

Decisión sobre cómo abordar un riesgo evaluado: evitarlo, reducirlo, transferirlo o aceptarlo. De ella se deriva el plan de tratamiento del riesgo con sus medidas.

Página pública o protegida en la que una empresa muestra a sus clientes sus evidencias de seguridad y cumplimiento. Así responde a muchos cuestionarios antes de que se planteen.

Criterios con los que se elaboran los informes SOC 2: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La seguridad es siempre obligatoria; los demás se eligen.

Evidencia de que una medida no solo existe, sino que alcanza su objetivo, por ejemplo mediante indicadores, muestreos o pruebas.

Incidente en el que se pierden, divulgan o alteran datos personales. Por lo general debe notificarse a la autoridad de control en un plazo de 72 horas.