Lista de verificación NIS2 con 34 puntos

Órganos de dirección Art. 20 Directiva NIS2

1. ¿Ha aprobado formalmente la dirección las medidas de gestión de riesgos de ciberseguridad (acuerdo con fecha)?
2. ¿Supervisa la dirección la aplicación de las medidas con regularidad, por ejemplo mediante un informe fijo?
3. ¿Reciben los miembros de la dirección formación periódica en ciberseguridad?
   El art. 20.2 de la Directiva NIS2 obliga a los miembros de los órganos de dirección a asistir a formaciones.
4. ¿Hay una persona responsable de la seguridad de la información designada, con un mandato claro y presupuesto?
   Hoy ya obligatorio para los operadores de servicios esenciales (art. 7 RD 43/2021); el anteproyecto también prevé esta figura (art. 16).

Más en la guía

Registro y notificación de incidentes Arts. 3.4 y 23 Directiva NIS2; arts. 19 RDL 12/2018 y 9 RD 43/2021

1. ¿Ha comprobado si su empresa ya está regulada hoy (operador de servicios esenciales, proveedor de servicios digitales o Esquema Nacional de Seguridad) y si lo estará con NIS2?
   La ley española aún no fija el registro. La Directiva prevé que las entidades comuniquen al menos nombre, dirección, datos de contacto, rangos de IP, sector y Estados miembros donde prestan servicios (art. 3.4).
2. ¿Tiene un procedimiento definido para notificar a tiempo los incidentes significativos al CSIRT competente?
   Directiva: alerta temprana en 24 horas, notificación en 72 horas, informe final al mes. Hoy, para operadores de servicios esenciales: notificación inicial inmediata a través del CSIRT de referencia (anexo RD 43/2021).
3. ¿Está definido cuándo un incidente se considera «significativo»?
4. ¿Está regulado cómo informa a los destinatarios de sus servicios sobre incidentes significativos?

Más en la guía

Análisis de riesgos y políticas de seguridad Art. 21.2 a) Directiva NIS2

1. ¿Existe un análisis de riesgos documentado de sus sistemas de información que se actualice con regularidad?
2. ¿Existe una política de seguridad de la información aprobada por la dirección?
3. ¿Tiene un sistema de gestión de la seguridad de la información (SGSI), por ejemplo según ISO 27001 o el Esquema Nacional de Seguridad?

Gestión de incidentes Art. 21.2 b) Directiva NIS2

1. ¿Hay un proceso descrito para detectar, evaluar y gestionar incidentes de seguridad?
2. ¿Se registran y analizan los eventos relevantes para la seguridad (registros, alertas)?
3. ¿Han ensayado un incidente grave en los últimos 12 meses (por ejemplo, un ejercicio de simulación)?

Continuidad de las actividades y gestión de crisis Art. 21.2 c) Directiva NIS2

1. ¿Hace copias de seguridad periódicas, guardadas por separado y con restauración probada?
2. ¿Existe un plan de continuidad que establezca cómo siguen funcionando o se recuperan los procesos críticos ante una caída?
3. ¿Hay un comité de crisis con funciones y contactos definidos?

Seguridad de la cadena de suministro Art. 21.2 d) Directiva NIS2

1. ¿Conoce a sus proveedores y prestadores de servicios relevantes para la seguridad (inventario)?
2. ¿Incluyen los contratos con proveedores importantes requisitos de seguridad (notificación de incidentes, derecho de auditoría)?
3. ¿Evalúa periódicamente la seguridad de sus proveedores importantes (cuestionario, certificado, auditoría)?

Seguridad en la adquisición, el desarrollo y el mantenimiento Art. 21.2 e) Directiva NIS2

1. ¿Se instalan las actualizaciones de seguridad de sistemas y software con rapidez y de forma trazable?
2. ¿Se analizan periódicamente sus sistemas en busca de vulnerabilidades (escaneos, pruebas de penetración)?
3. ¿Existen requisitos de seguridad para la adquisición o el desarrollo de nuevos sistemas?

Eficacia de las medidas Art. 21.2 f) Directiva NIS2

1. ¿Se comprueba periódicamente la eficacia de las medidas de seguridad (auditorías internas, indicadores)?
2. ¿Se hace seguimiento de los hallazgos de las revisiones hasta que se corrigen?

Ciberhigiene y formación Art. 21.2 g) Directiva NIS2

1. ¿Recibe toda la plantilla formación periódica en ciberseguridad (por ejemplo, sobre phishing)?
2. ¿Existen normas básicas obligatorias para el uso seguro de la tecnología (contraseñas, dispositivos, correo)?

Criptografía y cifrado Art. 21.2 h) Directiva NIS2

1. ¿Están cifrados los datos de portátiles, dispositivos móviles y soportes de almacenamiento?
2. ¿Hay reglas para el cifrado y la gestión de claves (por ejemplo, para transmisiones y copias de seguridad)?

Personal, control de acceso y activos Art. 21.2 i) Directiva NIS2

1. ¿Se conceden los permisos de acceso según el principio de mínimo privilegio y se revisan periódicamente?
2. ¿Se conceden y retiran los accesos de forma ordenada en las altas, cambios de puesto y bajas?
3. ¿Tiene un inventario actualizado de sus sistemas y aplicaciones?

Autenticación y comunicaciones seguras Art. 21.2 j) Directiva NIS2

1. ¿Utiliza autenticación multifactor para accesos remotos, servicios en la nube y cuentas de administrador?
2. ¿Dispone de un canal de comunicación seguro para emergencias, por si fallan el correo y la telefonía?