Soluciones a medida para medianas empresas
En una mediana empresa, a menudo una sola persona se ocupa de la seguridad de la información, la protección de datos y la calidad, casi siempre además de su trabajo habitual. A eso se suman NIS2, auditorías de clientes y cuestionarios. Sightadel guía por los frameworks, vincula cada evidencia a todos los requisitos que cumple y muestra a la dirección la situación.
Punto de partida
Las medianas empresas rara vez tienen un departamento propio de seguridad de la información. La tarea recae en la dirección de informática, en la gestión de calidad o en una persona de la dirección. Proveedores externos se ocupan de la red, los servidores o el software. El conocimiento de cómo trabaja realmente la empresa está repartido entre pocas personas.
Los requisitos llegan de varios lados a la vez. Desde diciembre de 2025 rige la nueva ley alemana del BSI (BSIG), y muchas empresas a partir de 50 empleados o más de 10 millones de euros de volumen de negocio y de balance quedan incluidas como entidad importante. Los grandes clientes exigen un certificado ISO 27001 o envían sus propios catálogos. La protección de datos se aplica en cualquier caso.
Quien trata cada requisito por separado hace mucho dos veces. Los derechos de acceso, las copias de seguridad, las formaciones y la gestión de proveedores aparecen en ISO 27001, NIS2 y el RGPD. Con una base común, cada evidencia se crea una vez y cuenta para todos los frameworks que la exigen.
Por qué ahora
La BSIG incluye muchos sectores que antes no tenían obligaciones, como la fabricación de maquinaria, la electrónica, la química, la alimentación, la logística y la gestión de residuos. A partir de un tamaño mediano se aplican el registro, la gestión de riesgos y las obligaciones de notificación.
El contrato o la licitación ponen un certificado como condición. A menudo hay una fecha límite para presentar la evidencia.
Los clientes sujetos a NIS2 o DORA deben evaluar a sus proveedores. Los cuestionarios llegan a usted, y cada uno es un poco distinto.
Según el § 38 de la BSIG, la dirección aprueba las medidas, supervisa su implantación y participa con regularidad en formaciones. Para ello necesita una visión de conjunto fiable.
Si el conocimiento está en un Excel y en la cabeza de una persona, con cada cambio la búsqueda empieza de cero. Un sistema bien mantenido se queda aunque cambien las personas.
Las aseguradoras de ciberriesgos y los bancos preguntan antes de firmar o renovar por medidas como copias de seguridad, autenticación multifactor y plan de emergencia. Las respuestas con evidencia facilitan la conversación.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
Que esté incluida depende del sector y del tamaño. Las entidades importantes empiezan a partir de 50 empleados o más de 10 millones de euros de volumen de negocio y de balance; las esenciales, a partir de 250 empleados o más de 50 millones de euros de volumen de negocio y 43 millones de balance. Incluye el registro ante el BSI, la gestión de riesgos según el § 30 de la BSIG y notificaciones en un plazo de 24 horas.
Ver el framework →La evidencia habitual ante los clientes y la mejor base para NIS2. El certificado de un organismo acreditado tiene una validez de tres años, con auditorías de seguimiento anuales. Muchas medidas del § 30 de la BSIG se encuentran en el anexo A.
Ver el framework →Se aplica a toda empresa que trate datos personales. Incluye el registro de actividades de tratamiento, contratos con encargados del tratamiento, medidas técnicas y organizativas y un procedimiento para violaciones de datos.
Ver el framework →Muchas medianas empresas ya están certificadas según ISO 9001. El control de documentos, la auditoría interna y la revisión por la dirección le sirven también para ISO 27001, en lugar de crear un segundo sistema.
Ver el framework →Orden recomendado
¿Está su empresa incluida en NIS2 y qué exigen sus clientes más importantes? El NIS2-Check gratuito da una primera orientación. La valoración jurídica de cada caso corresponde a su asesoría.
Una persona se hace cargo del tema y tiene tiempo para ello. La dirección aprueba los objetivos. Informática, recursos humanos y compras aportan su parte, y los proveedores externos colaboran en sus tareas.
Análisis de riesgos, políticas, accesos, copias de seguridad, plan de emergencia y proveedores. Con ISO 27001 como estructura cubre a la vez la mayor parte de NIS2 y las medidas técnicas del RGPD.
Lo que falta se convierte en una tarea con plazo y persona responsable. Mucho ya existe y solo necesita una evidencia. Lo nuevo suele ser lo que nadie había puesto por escrito.
Para ISO 27001 sigue la auditoría de un organismo de certificación acreditado. Para NIS2 tiene la documentación preparada para el BSI. Los clientes reciben el certificado y las respuestas a través del Trust Center.
Enfoque
En una mediana empresa decide el tiempo disponible. Cuatro cosas ayudan a que el tema no dependa de una sola persona.
Una evidencia sobre las copias de seguridad sirve para ISO 27001, NIS2 y el RGPD. La guarda una vez y la vincula con todos los requisitos que cumple.
Recursos humanos sube los certificados de formación; el proveedor de informática, los registros de las copias de seguridad. Cada uno ve solo sus tareas y no tiene que aprender una herramienta nueva.
El panel muestra por framework el avance, las tareas abiertas y los plazos vencidos. La dirección lo consulta como Viewer y no tiene que pedir informes.
Para cuestiones difíciles, como el alcance o la evaluación de riesgos, contrata asesoría como paquete. Si tiene requisitos que el estándar no cubre, adaptamos Sightadel previo acuerdo.
Cómo ayuda Sightadel
ISO 27001, NIS2 y el RGPD se trabajan pregunta a pregunta, con explicación y opciones de respuesta. Donde los requisitos coinciden, lo ve enseguida y los responde una vez.
Más información →Las políticas empiezan con una plantilla para su sector. La IA propone formulaciones a partir de sus datos anteriores. Las decisiones que la norma le exige a usted quedan marcadas.
Más información →Cada brecha se convierte en una tarea con plazo y persona responsable. Sightadel avisa antes del vencimiento, y la dirección ve lo que está atrasado.
Más información →Las evidencias llevan fecha, versión y fecha de caducidad y están vinculadas a todos los controles que acreditan. En la auditoría encuentra cada evidencia en el mismo lugar.
Más información →Proveedores de informática, servicios en la nube y socios de mantenimiento figuran en una lista con riesgo, contrato y evidencias. La evaluación sirve a la vez para NIS2, ISO 27001 y el RGPD.
Más información →Sightadel comprueba cómo se ven sus dominios desde fuera y muestra cada problema con instrucciones para resolverlo. Puede pasar el informe a su proveedor de informática.
Más información →Previo acuerdo
Muchas medianas empresas trabajan con directrices de una matriz, de un gran cliente o con procesos propios. Gran parte la configura usted mismo en Sightadel. Lo que va más allá lo implantamos para usted previo acuerdo. El alcance y los costes figuran antes en la oferta.
Empresas con directrices de grupo, grandes catálogos de clientes o procesos propios
Cada adaptación empieza con una conversación. Solo se implanta cuando el alcance y los costes están claros.
Ver adaptaciones a medidaEsfuerzo y duración
Los rangos son valores de experiencia, no un compromiso. Lo que más influye es el número de sedes, el tamaño del alcance y cuánto tiempo dedica la persona responsable además del trabajo diario.
Qué licencia contrata · normalmente Professional
Una mediana empresa típica sujeta a NIS2 gestiona NIS2 y el RGPD junto con ISO 27001 en la edición Professional. Incluye diez usuarios, diez activos y 25 proveedores, suficiente para dirección, informática, recursos humanos y compras. Licencia para ISO 27001: desde 750 € al mes. Como ISO 27001 está incluida, NIS2 y el RGPD cuestan menos de forma permanente. Con varias sociedades o muchos proveedores encaja Enterprise.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
Depende de dos preguntas. ¿Pertenece su actividad a uno de los sectores de los anexos 1 o 2 de la BSIG? ¿Y tiene al menos 50 empleados o más de 10 millones de euros de volumen de negocio y de balance? Si se cumplen ambas, por regla general es una entidad importante. El NIS2-Check da una primera orientación; la valoración jurídica la aclara con su asesoría.
Es una base muy buena, pero no sustituye las obligaciones legales. Se añaden el registro ante el BSI, las obligaciones de notificación y la obligación de formación de la dirección. En Sightadel ve qué requisitos de NIS2 cubre ya su SGSI.
Sí. Su proveedor de informática colabora como Contributor en sus tareas y sube allí las evidencias. La responsabilidad sigue en la empresa; el trabajo se reparte entre quienes pueden hacerlo.
Para la implantación, muchas empresas cuentan con algunas horas a la semana de la persona responsable durante varios meses. Después se trata de mantenerlo: renovar evidencias, completar tareas, revisar cada año. Una cifra exacta depende del alcance.
Sí. El contexto, el liderazgo, el control de documentos, la auditoría interna y la revisión por la dirección los gestiona para ambas normas a la vez. Lo nuevo es sobre todo el análisis de riesgos y las medidas del anexo A.
Lo crea como framework propio, también importándolo desde Excel o Word, y vincula las evidencias existentes. Si el catálogo es muy extenso, lo preparamos para usted previo acuerdo.
Mucho lo configura usted mismo, como responsabilidades, plazos, recordatorios y frameworks propios. Lo que va más allá, como otra conexión o un informe concreto, lo hablamos con usted y lo implantamos según oferta.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
