Not sure where your organisation stands on NIS2? Our free assessment can help spot gaps, prioritise next steps and prepare more confidently.
NIS2 checklist: pasos clave para una implementación estructurada
Una NIS2 checklist ofrece a los equipos una forma práctica de organizar el trabajo que tienen por delante. Ayuda a aclarar quién es responsable de qué tareas, qué medidas deben documentarse y dónde pueden ser necesarias pruebas para revisiones o auditorías.
Contenido
NIS2 checklist de un vistazo
La implementación de la NIS2 suele afectar a varias partes de la organización, desde la dirección y el departamento de TI hasta los de asuntos legales, adquisiciones y comunicaciones. La siguiente tabla agrupa las tareas principales en flujos de trabajo para que los equipos puedan ver lo que hay que planificar, asignar y documentar.
| Capítulo | Área | Enfoque del contenido | Puntos detallados incluidos |
| A | Gobernanza y responsabilidades | Roles, ámbito de aplicación, análisis de riesgos, políticas, informes para la dirección | Del 1 al 3 |
| B | Concienciación y gestión del riesgo humano | Formación para los órganos de dirección y los empleados, medición de la eficacia, informes | 4 y 5 |
| C | Medidas técnicas y protección básica | Inventario de activos, necesidades de protección, gestión de identidades y de accesos, MFA, gestión de vulnerabilidades y de parches, criptografía | Del 6 al 10 |
| D | Incidentes y canales de notificación | Respuesta a incidentes, procesos de notificación y plazos de notificación de la NIS2 | 11 y 12 |
| E | Resiliencia y pruebas de eficacia | Copias de seguridad y recuperación, continuidad del negocio, gestión de crisis, pruebas, auditorías, seguimiento | Del 13 al 15 |
| F | Gestión de la cadena de suministro y de los proveedores de servicios | Riesgos de los proveedores, requisitos contractuales, supervisión continua, adquisiciones seguras, desarrollo y mantenimiento | Del 16 al 18 |
Utiliza el resumen general como punto de partida antes de pasar a la checklist detallada. Puede ayudarte a detectar carencias, alinear a las partes interesadas y decidir qué áreas requieren una atención prioritaria.
Antes de asignar responsables y plazos, conviene comprobar qué temas de la NIS2 ya están cubiertos y en qué puntos todavía tiene carencias tu organización.
NIS2 check in 3 minutes
Go to the NIS2 assessment
Preparación para la NIS2
Los nuevos requisitos exigen algo más que una actualización de las políticas. Las organizaciones necesitan una visión realista de su situación, de lo que aún falta y de dónde no se puede esperar para actuar.
NIS2 checklist en detalle
La siguiente NIS2 checklist traduce los requisitos legales de la Directiva en elementos de trabajo concretos. El objetivo es sencillo: que la implementación resulte manejable y que se creen pruebas desde el principio en lugar de a posteriori.
A. Gobernanza y responsabilidades
1. Definir el ámbito de aplicación y las responsabilidades
En qué consiste:
Unas responsabilidades claras son la capa base de cualquier NIS2 checklist. Si los roles, el ámbito de aplicación y las vías de decisión son vagos, los requisitos se aplican de forma desigual y son difíciles de defender en una auditoría.
Qué debes hacer:
- Nombra los roles clave: dirección, TI y seguridad, cumplimiento normativo y legal, adquisiciones, comunicaciones.
- Define y documenta el ámbito de aplicación: servicios, ubicaciones, procesos críticos, proveedores de servicios esenciales.
- Establece ciclos de presentación de informes y vías de notificación de progreso que funcionen en la práctica.
2. Realizar y documentar un análisis de riesgos
En qué consiste:
El análisis de riesgos es uno de los elementos centrales de una NIS2 checklist. Vincula la amplia redacción de la Directiva con medidas concretas, prioridades y, en algunos casos, excepciones justificadas.
Qué debes hacer:
- Establece el método y los criterios que utilizas para evaluar los riesgos.
- Identifica, evalúa y prioriza los riesgos y, a continuación, elabora las medidas adecuadas.
- Registra la aceptación de riesgos y las excepciones, incluida la justificación y las aprobaciones.
3. Establecer políticas de seguridad y normas mínimas
En qué consiste:
Las políticas y las normas mínimas convierten los requisitos de la NIS2 checklist en normas vinculantes para el trabajo diario. Explican cómo se gestiona la seguridad y proporcionan pruebas importantes durante la supervisión o las auditorías.
Qué debes hacer:
- Define las políticas pertinentes, por ejemplo, sobre control de acceso, gestión de parches, copias de seguridad, registro y gestión de proveedores.
- Establece procesos de revisión y aprobación para que los documentos se mantengan actualizados.
- Documenta las versiones, los propietarios responsables y los cambios importantes a lo largo del tiempo.
B. Concienciación y gestión del riesgo humano
4. Establecer programas de formación para los órganos de dirección y los empleados
De qué se trata:
Según la NIS2 checklist, la concienciación no es opcional. La formación de los órganos de dirección y de los empleados se considera parte de la gobernanza y de la gestión de riesgos, no un proyecto secundario.
Qué debes hacer:
- Define los grupos destinatarios, incluidos la dirección, los equipos de alto riesgo y los empleados en general.
- Planifica formatos de formación y objetivos de aprendizaje que reflejen los riesgos identificados anteriormente en la NIS2 checklist.
- Garantiza la trazabilidad de la participación y los resultados para que puedan utilizarse como prueba de auditoría.
5. Medir las actividades de concienciación y mejorarlas con el tiempo
De qué se trata:
Una NIS2 checklist que solo enumere las fechas de formación no sirve de mucho. La eficacia depende de la medición, el análisis y los ajustes basados en el comportamiento real.
Qué debes hacer:
- Prepara informes para la dirección y las auditorías que muestren cómo evolucionan los indicadores de concienciación y de riesgo humano a lo largo del tiempo.
- Planifica campañas y simulaciones que revelen un riesgo humano concreto, por ejemplo, en torno al phishing o al uso de contraseñas.
- Utiliza los resultados para actualizar el contenido, la frecuencia y el enfoque de tus medidas de concienciación.
C. Medidas técnicas y protección básica
6. Mantener un inventario de activos y definir las necesidades de protección
De qué se trata:
Las partes técnicas de una NIS2 checklist se basan en una pregunta muy sencilla: ¿qué sistemas, servicios y datos estás protegiendo realmente? Sin una visión actualizada de los activos, las necesidades de protección y las prioridades siguen siendo una conjetura.
Qué debes hacer:
- Mantén un inventario de sistemas, servicios, identidades y flujos de datos pertinentes.
- Clasifica los activos por necesidades de protección y criticidad.
- Asigna propietarios de activos que sean responsables de mantener la información actualizada.
7. Implementar el control de acceso y la gestión de identidades
De qué se trata:
El acceso controlado es uno de los componentes básicos de toda NIS2 checklist. Reduce el impacto de las brechas de seguridad y limita quién puede acceder a los sistemas y datos críticos.
Qué debes hacer:
- Define roles y conceptos de permisos, incluida la separación de funciones.
- Establece procesos para las personas que se incorporan, cambian de departamento y dejan la organización, de modo que el acceso se ajuste a los roles de las personas.
- Regula y registra el acceso de los administradores por separado y conserva los registros de forma que puedan utilizarse como prueba.
8. Introducir una autenticación sólida y una comunicación segura
De qué se trata:
La autenticación sólida protege los sistemas críticos y las cuentas privilegiadas, un tema recurrente en las NIS2 checklists y en las directrices de supervisión.
Qué debes hacer:
- Implementa la autenticación multifactor para los sistemas críticos y el acceso administrativo.
- Define canales de comunicación seguros para incidentes y situaciones de crisis.
- Documenta el estado y las configuraciones de la implementación para que los cambios y las carencias permanezcan visibles.
9. Establecer la gestión de vulnerabilidades, parches y cambios
De qué se trata:
Desde la perspectiva de la NIS2 checklist, la seguridad técnica no es un proyecto puntual, sino un proceso continuo. Las vulnerabilidades, los parches y los cambios necesitan una rutina clara.
Qué debes hacer:
- Define un proceso de gestión de vulnerabilidades que incluya la detección, la evaluación, la corrección y las excepciones documentadas.
- Establece ciclos de aplicación de parches, prioridades y plazos para los distintos sistemas.
- Registra los cambios significativos, incluidas las aprobaciones y las opciones de reversión.
10. Aplicar la criptografía y el cifrado de forma estructurada
De qué se trata:
El cifrado protege los datos y la comunicación, pero solo si las claves, los algoritmos y los casos de uso se gestionan de forma controlada. Por lo tanto, una NIS2 checklist debe ir más allá del "cifrado activado/desactivado".
Qué debes hacer:
- Define una política de criptografía que vincule las clases de datos y los casos de uso con los niveles de protección necesarios.
- Establece reglas para la gestión de claves, incluidos los roles, el almacenamiento y la rotación.
- Documenta cómo se implementan las medidas criptográficas para que puedan revisarse y probarse.
D. Incidentes y canales de notificación
11. Establecer un proceso de respuesta a incidentes
En qué consiste:
Los incidentes graves son uno de los momentos clave en los que se pone a prueba una NIS2 checklist. Si el proceso no está claro, la gente improvisa, la información se pierde y las posibles obligaciones de notificación se pasan por alto.
Qué debes hacer:
- Decide qué tratas como un incidente y qué tipos podrían estar sujetos a la obligación de notificación de la NIS2.
- Anota los pasos básicos: detectar el problema, analizarlo, limitar el impacto, solucionar la causa y revisar las lecciones aprendidas.
- Asigna roles claros para la coordinación, la gestión técnica, la comunicación y la documentación.
- Guarda los manuales de procedimientos, las listas de contactos y los planes de acción en un lugar que siga siendo accesible durante una interrupción, no solo en la red principal.
12. Definir los canales de notificación y prepararse para las notificaciones de la NIS2
En qué consiste:
La NIS2 añade la notificación formal para determinados incidentes. Por lo tanto, una NIS2 checklist práctica necesita vías de notificación fijas, no conjeturas caso por caso cuando la presión ya es alta.
Qué debes hacer:
- Enumera los canales de notificación internos y externos que tienes que usar, incluidas las autoridades, los organismos del sector y, si procede, los clientes o socios clave.
- Establece criterios sencillos para determinar cuándo un incidente se trata como un posible caso de la NIS2 y quién toma esa decisión.
- Crea plantillas de informes que recojan los datos habituales para los informes iniciales y de seguimiento, sin vincularlos de forma rígida a la legislación de un país concreto.
- Comprueba que los registros, las notas sobre incidentes y las pruebas técnicas importantes se puedan encontrar y exportar con la suficiente rapidez para que la notificación se haga de forma oportuna.
E. Resiliencia y pruebas de eficacia
13. Demuestra la capacidad de copia de seguridad, restauración y recuperación
En qué consiste:
Desde el punto de vista de una NIS2 checklist, la resiliencia solo cuenta si funciona en la práctica y se puede demostrar. Por lo tanto, los conceptos de copia de seguridad y restauración necesitan algo más que un producto de almacenamiento; requieren planificación, pruebas y documentación.
Qué debes hacer:
- Define los conceptos de copia de seguridad y restauración para los sistemas y datos clave, incluido el tiempo de recuperación y el orden de restauración como objetivos internos, no como promesas legales.
- Documenta las pruebas de restauración periódicas y anota qué sistemas, intervalos de tiempo y escenarios se cubrieron.
- Considera las dependencias, por ejemplo, los servicios de identidades, los componentes de red o las plataformas en la nube que deben estar disponibles para que la restauración sea posible.
14. Hacer operativas la continuidad del negocio y la gestión de crisis
En qué consiste:
Los planes de continuidad del negocio y de crisis son una extensión natural de los elementos de resiliencia técnica en una NIS2 checklist. Los planes en papel no son suficientes; tienen que conocerse, practicarse y ajustarse.
Qué debes hacer:
- Crea planes de continuidad del negocio y de gestión de crisis, incluidas las responsabilidades y las estructuras de decisión.
- Realiza ejercicios para situaciones realistas y registra lo que funcionó, lo que falló y dónde necesitaste soluciones improvisadas.
- Haz un seguimiento de las acciones derivadas de los ejercicios y de incidentes reales hasta que se completen.
15. Probar y demostrar la eficacia de las medidas
En qué consiste:
La NIS2 espera que las medidas de tu NIS2 checklist no solo se apliquen, sino que también se compruebe su eficacia. Las autoridades y los auditores buscarán pruebas de que los controles funcionan realmente en la práctica.
Qué debes hacer:
- Define un plan anual de pruebas y auditorías que abarque los controles técnicos, organizativos y los relacionados con la concienciación.
- Prioriza los resultados, decide las medidas de corrección y supervisa el progreso.
- Prepara informes para la dirección que resuman los resultados, los principales riesgos y las tendencias importantes a lo largo del tiempo.
F. Gestión de la cadena de suministro y de los proveedores de servicios
16. Gestionar los riesgos de los proveedores y de los prestadores de servicios de forma estructurada
En qué consiste:
Los prestadores de servicios externos y los proveedores forman parte del panorama de riesgos general en cualquier NIS2 checklist. Si fallan, tus servicios esenciales pueden fallar con ellos. El objetivo no es prohibir la externalización, sino comprender y dirigir las dependencias.
Qué debes hacer:
- Identifica qué servicios y proveedores son críticos para la prestación de tus servicios esenciales o importantes.
- Clasifica a los proveedores por su criticidad y nivel de riesgo y vincúlalos a los activos y procesos a los que dan soporte.
- Registra quién es el responsable de cada relación clave y cómo se supervisa el rendimiento, la seguridad y la disponibilidad.
17. Consolidar los requisitos de seguridad en los contratos y las operaciones
En qué consiste:
Para una NIS2 checklist, las obligaciones de seguridad con respecto a los proveedores de servicios no deben basarse únicamente en la confianza. Tienen que ser visibles en los contratos y en la interacción diaria.
Qué debes hacer:
- Revisa los contratos clave en busca de cláusulas relevantes para la seguridad, por ejemplo, en torno al aviso de incidentes, el control de acceso, la protección de datos y los subcontratistas.
- Define las expectativas mínimas de seguridad para los proveedores críticos y compruébalas durante la contratación inicial y en las revisiones periódicas.
- Asegúrate de que los procesos operativos respalden los contratos, por ejemplo, integrando a los proveedores en la respuesta a incidentes, la gestión de cambios y los intervalos de mantenimiento.
18. Supervisar la seguridad de la cadena de suministro de forma continua
En qué consiste:
El riesgo de la cadena de suministro en una NIS2 checklist no es una evaluación única. Las condiciones, los proveedores y los patrones de ataque cambian. La supervisión tiene que reflejarlo.
Qué debes hacer:
- Establece un calendario sencillo para revisar a los proveedores críticos, utilizando la información de las auditorías, los incidentes, los resultados de las pruebas y la información del mercado.
- Haz un seguimiento de los problemas y de las medidas de mejora acordadas por proveedor y síguelos hasta que se cierren o se acepten conscientemente.
- Ajusta tu cartera de proveedores, contratos o protecciones técnicas donde aparezcan problemas repetidos o nuevos riesgos.
Más recursos sobre la NIS2 para tu organización
La NIS2 es más que una checklist. Los siguientes artículos tratan algunas cuestiones clave que suelen surgir una vez que se ha establecido la primera estructura.
- Un resumen de la Directiva NIS2 y lo que cambia en comparación con la NIS1.
- Un análisis más detallado de a quién afecta la NIS2 y cómo comprobar si tu organización está dentro de su ámbito de aplicación.
- Orientación para la planificación de proyectos de implementación de la NIS2 y la armonización de los esfuerzos de cumplimiento de la NIS2 con el trabajo de seguridad y cumplimiento que ya tienes.
Para tener una visión más completa de la NIS2, utiliza esta checklist junto con nuestros artículos y la evaluación. En conjunto, te darán una idea más clara de tu situación actual y de los siguientes pasos más lógicos.
Nota: Este artículo no constituye un asesoramiento jurídico. Su finalidad es meramente informativa y no sustituye a una revisión de tu situación específica. Para obtener una orientación vinculante sobre tus obligaciones en virtud de la Directiva NIS2, consulta a un asesor jurídico cualificado o a las autoridades competentes.
Fortalece tu cultura de la ciberseguridad sin esfuerzo
Informes 
Guías 
Blog 
Glosario 
Casos de éxito 
Suscripción a la newsletter 
Todos los eventos 
Signal Security Summit 
Danger Lab 
Por qué SoSafe 
Trabaja en SoSafe 
Contacto 