Software · NIS2
Un software NIS2 debe acreditar que su entidad cumple las obligaciones de la ley alemana del BSI (BSIG): las diez medidas de gestión de riesgos del § 30 de la BSIG, las obligaciones de notificación del § 32, el registro según el § 33 y la responsabilidad de la dirección según el § 38. Esta página muestra qué debe ofrecer un software para ello, en qué debe fijarse al elegirlo y cómo lo resuelve Sightadel.
Punto de partida
En Alemania, NIS2 se aplica a través de la ley del BSI a las entidades importantes y esenciales. No existe un certificado NIS2. Lo que se pide es un estado de evidencias sólido ante la Oficina Federal de Seguridad de la Información (BSI), los clientes y los auditores. Los diez ámbitos de medidas del § 30, apartado 2, de la BSIG van desde el análisis de riesgos y la gestión de incidentes, pasando por las copias de seguridad y la planificación de emergencias, la cadena de suministro, las vulnerabilidades, la formación y la criptografía, hasta el control de acceso y la autenticación multifactor.
Frente a un SGSI clásico, las novedades son sobre todo tres. Los incidentes de seguridad significativos deben notificarse al BSI por etapas: alerta temprana en 24 horas, notificación en 72 horas e informe final a más tardar un mes después de la notificación; los dos primeros plazos corren desde que se tiene conocimiento del incidente. Las entidades afectadas deben registrarse ante el BSI. Y la dirección aplica las medidas, supervisa su aplicación y participa regularmente en formaciones.
Por eso, un software NIS2 debe hacer algo más que marcar medidas como cumplidas. Los canales de notificación deben estar listos antes de que ocurra algo. Los acuerdos de la dirección deben archivarse con fecha. Las evidencias, como las pruebas de restauración o las evaluaciones de proveedores, deben mantenerse al día. Quien decide sigue siendo la dirección: sobre la aceptación del riesgo, los recursos y las responsabilidades.
Por qué ahora
El sector, el número de empleados y la facturación indican que entra en el ámbito de la ley del BSI. El registro, las medidas y las obligaciones de la dirección deben abordarse ahora de forma ordenada.
Según el § 38 de la BSIG, la responsabilidad sigue siendo de la dirección, aunque otros hagan el trabajo. La dirección quiere ver qué está implantado, qué falta y para cuándo.
Los requisitos llegan a través de los clientes incluso a quien no está afectado directamente. Estos deben evaluar a sus proveedores de servicios y piden justificantes.
Tiene ISO 27001 y quiere reutilizar las evidencias. Se añaden la cadena de notificación, el registro y el acuerdo de la dirección, sin documentación duplicada.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
Para entidades importantes y esenciales según la ley del BSI. En Sightadel, desglosado en 40 controles sobre las diez medidas del § 30, más la cadena de notificación, el registro y el acuerdo de la dirección. Hasta alcanzar un estado de evidencias sólido suelen pasar de tres a nueve meses.
Ver el framework →No es obligatorio para NIS2, pero las medidas del § 30 de la BSIG coinciden en gran parte con el anexo A. Quien gestiona un SGSI se sitúa más bien en el extremo inferior del esfuerzo.
Ver el framework →Un incidente de seguridad puede ser a la vez una violación de datos personales y activar ambas obligaciones de notificación. Las medidas técnicas del art. 32 utilizan las mismas evidencias.
Ver el framework →Para las entidades financieras, DORA tiene prioridad. Muchas medidas coinciden; los plazos de notificación difieren en el punto de partida: DORA se basa en la clasificación, NIS2 en el momento en que se tiene conocimiento.
Ver el framework →Orden recomendado
Dejar constancia de la clasificación como entidad importante o esencial con su justificación, realizar el registro ante el BSI y archivarlo como evidencia.
Definir responsables, suplentes y datos de contacto, y archivar plantillas de notificación. Esto va antes que todo lo demás, porque un incidente no espera.
Recorrer de forma guiada los 40 controles y asignar los documentos existentes. Al final queda claro qué está acreditado y qué falta.
Planes de acción con responsables y plazos. Los bloques típicos son las pruebas de restauración, la evaluación de proveedores y la cobertura de la autenticación multifactor.
La dirección recibe formación, acuerda con fecha la aplicación de las medidas y define cómo supervisa su aplicación.
Revisión interna, revisión por la dirección y un ejercicio del proceso de incidentes. Después, estos pasos se repiten como ciclo.
Elección
Muchas herramientas ofrecen una lista de comprobación con las diez medidas. Compruebe si el software cubre también las partes que distinguen NIS2 de un SGSI clásico.
Los requisitos deberían remitir a los §§ 30, 32, 33 y 38 de la BSIG, no solo a la directiva de la UE. La revisión se hace conforme al derecho alemán.
Responsables, suplentes y plantillas deberían estar registrados de antemano. Asegúrese de que los tres plazos se calculan a partir del momento en que se tiene conocimiento.
El software debería archivar con fecha el acuerdo de la dirección y las evidencias de formación de la dirección. Sin ese justificante falta la parte de la que la dirección es personalmente responsable.
Los proveedores de servicios críticos, los cuestionarios, los requisitos contractuales y los certificados con fecha de caducidad deben estar en una lista con recordatorio de la próxima evaluación.
Quien tiene un SGSI no debería tener que copiar evidencias. Un justificante debería contar a la vez para el anexo A y el § 30 de la BSIG.
No existe un certificado NIS2. Desconfíe de los proveedores que prometen uno. El objetivo es un estado de evidencias sólido.
Cómo ayuda Sightadel
Las diez medidas del § 30 de la BSIG en 40 controles, cada uno como pregunta con explicación. Además, controles sobre la cadena de notificación, el registro y la responsabilidad de la dirección.
Más información →Actas de pruebas, listas de formación y políticas con versión y fecha de validez. Sightadel avisa antes del vencimiento. Una evidencia cuenta a la vez para NIS2, ISO 27001 y el RGPD.
Más información →Proveedores de servicios con criticidad, cuestionarios y evidencias con fecha de validez. Los certificados caducados saltan a la vista y las nuevas evaluaciones llegan como recordatorio.
Más información →Las carencias se convierten en medidas con responsable y plazo. Con el rol Viewer, la dirección ve lo que está pendiente y vencido, y puede cumplir así su obligación de supervisión.
Más información →El Security Score evalúa la superficie de ataque visible desde el exterior de sus dominios con una nota de 0 a 100 y enumera problemas concretos. Eso respalda la gestión de vulnerabilidades según el § 30, apartado 2, número 5.
Más información →Las plantillas sectoriales aportan borradores, por ejemplo de la política, el concepto criptográfico y las plantillas de notificación. La IA hace propuestas a partir de los datos que usted ya ha registrado. Qué procedimientos son admisibles y qué riesgo residual es asumible lo decide usted.
Más información →Esfuerzo y duración
Los plazos son valores basados en la experiencia, no un compromiso. Lo que más influye es el número de ubicaciones y proveedores de servicios, el punto de partida y el tiempo que aporta la dirección.
Qué licencia contrata · normalmente Professional
Una entidad con varios implicados y una serie de proveedores de servicios críticos elige normalmente NIS2 en la edición Professional, a menudo junto con ISO 27001. Si ISO 27001 está incluida, NIS2 cuesta de forma permanente menos. Con muchos proveedores o sociedades encaja Enterprise.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
La ley no prescribe ningún software. Exige medidas implantadas y acreditables, canales de notificación que funcionen y una dirección que supervise la aplicación. Un software compensa en cuanto intervienen varias personas, las evidencias deben renovarse con regularidad y la dirección necesita un estado actualizado.
Excel puede enumerar las diez medidas. Los plazos de las evidencias, los recordatorios de las evaluaciones de proveedores y los vínculos con los justificantes debe mantenerlos entonces a mano. Las tablas existentes pueden importarse en Sightadel.
Sightadel se licencia por framework y edición, anualmente. Los importes actuales figuran en la página de precios. Si ya tiene licencia de ISO 27001, NIS2 cuesta de forma permanente menos. Puede probarlo gratis 14 días, sin datos de pago.
No. NIS2 no contempla ningún certificado. El objetivo es un estado de evidencias sólido ante el BSI, los clientes y los auditores. Un certificado ISO 27001 puede ayudar, pero no sustituye la cadena de notificación, el registro ni el acuerdo de la dirección. Más información en la página sobre NIS2.
No. Sightadel le guía por los requisitos y deja constancia del estado. Al consultor lo elige en la red de socios de la aplicación o trae el suyo. Las auditorías las realizan auditores independientes, también de la red de socios o los suyos propios. Ninguna intermediación genera comisiones.
Aplica las medidas, supervisa su aplicación y participa regularmente en formaciones. La responsabilidad sigue siendo suya, aunque otros hagan el trabajo. Decide sobre la aceptación del riesgo, los recursos y las responsabilidades. Sightadel archiva con fecha el acuerdo y las evidencias de formación.
No. La notificación la presenta usted. Sightadel tiene preparados los canales de notificación, los responsables, los suplentes y las plantillas, y calcula los tres plazos a partir del momento en que se tiene conocimiento.
Sightadel se desarrolla y se opera en Alemania.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
