Checklist NIS2 para PYMEs: todo lo que necesitas verificar

¿Por qué un checklist?

La Directiva NIS2 tiene más de 40 páginas de texto legal. Traducirla a obligaciones concretas para una PYME industrial no es trivial. Este checklist extrae las obligaciones específicas del Artículo 21.2 y las adapta a la realidad de una empresa de 10-250 empleados que opera en el sector industrial español.

Úsalo como punto de partida para saber dónde estás. Luego, un diagnóstico formal te confirmará el estado real.

Gobernanza y dirección

Política de seguridad aprobada por la dirección (Art. 21.2.a). La dirección (gerente, consejo) debe haber aprobado un documento formal que defina los objetivos y principios de seguridad de la información. No basta con "lo estamos haciendo": tiene que estar escrito y firmado.
CISO designado (Art. 20). Debe existir una persona con la responsabilidad formal de la ciberseguridad. Puede ser interno o externalizado (CISO como servicio), pero tiene que estar documentado.
Supervisión periódica por la dirección (Art. 20.1). Actas de reuniones donde la dirección revisa el estado de ciberseguridad, los riesgos identificados y las decisiones tomadas.
Responsabilidades claras en la cadena de suministro (Art. 21.2.d). Los contratos con proveedores de servicios críticos (hosting, mantenimiento industrial, acceso remoto) deben incluir cláusulas de seguridad.

Análisis y gestión de riesgos

Análisis de riesgos documentado (Art. 21.2.a). Identificación de activos, amenazas, vulnerabilidades y evaluación del impacto. Actualizado al menos una vez al año.
Plan de tratamiento de riesgos. Para cada riesgo identificado, una decisión: aceptar, mitigar, transferir o eliminar. Con plazos y responsables.
Inventario de activos de información. Todos los sistemas, datos y servicios críticos catalogados con su nivel de criticidad.

Seguridad de la red

Segmentación IT/OT (Art. 21.2.b). La red corporativa y la red industrial deben estar separadas por un firewall industrial. No puede haber ruta directa entre la oficina y los PLCs.
Acceso remoto controlado (Art. 21.2.c). Todo acceso de terceros (proveedores, técnicos) debe pasar por VPN con autenticación multifactor, con sesiones grabadas y auditables.
Wi-Fi segmentada. La red Wi-Fi de visitantes y la red Wi-Fi de la empresa deben estar aisladas de la red de producción.
Gestión de vulnerabilidades (Art. 21.2.d). Proceso documentado para identificar, evaluar y corregir vulnerabilidades. Con parcheos planificados.

Control de acceso

Autenticación multifactor (MFA) para accesos críticos. VPN, panel de administración del SCADA, acceso remoto a PLCs: todos con MFA.
Gestión de credenciales. Contraseñas robustas, rotación periódica, revocación automática al finalizar la relación laboral.
Principio de mínimo privilegio. Cada usuario solo tiene acceso a lo que necesita para su función. No cuentas genéricas compartidas.

Copias de seguridad y recuperación

Backups inmutables (Art. 21.2.g). Copias de seguridad que no pueden ser modificadas ni cifradas por un atacante. En ubicación separada de la red principal.
Verificación periódica de restauración. Al menos una vez al trimestre, restaurar un backup completo para verificar que funciona.
Backups de configuración de PLCs y servidores SCADA. No solo de datos: la lógica de control y la configuración de los sistemas de supervisión.
Plan de recuperación de desastres (DRP) documentado (Art. 21.2.i). Con RTO y RPO definidos para cada proceso crítico.

Gestión de incidentes

Plan de respuesta ante incidentes documentado (Art. 21.2.e). Quién coordina, quién comunica, cómo se contiene, cómo se recupera.
Procedimiento de notificación a las autoridades (Art. 23). Plantillas y canales preparados para notificar al INCIBE-CERT en 24 horas, 72 horas y 30 días.
Registro de incidentes. Base de datos de incidentes sufridos, con lecciones aprendidas y mejoras implementadas.
Simulacro anual. Al menos una vez al año, simular un incidente y verificar que el plan funciona.

Formación y concienciación

Programa de formación en ciberseguridad (Art. 21.2.h). Al menos una formación anual para todo el personal, adaptada a su función.
Formación específica para la dirección. Obligatorio que los miembros del órgano de dirección reciban formación sobre sus responsabilidades legales en ciberseguridad.
Registro de asistencia. Evidencia documentada de que la formación se ha impartido y el personal ha asistido.

Protección de la información

Cifrado de comunicaciones (Art. 21.2.b). HTTPS en todos los servicios web, cifrado en las comunicaciones entre redes IT y OT.
Cifrado de datos en reposo. Datos sensibles (credenciales, configuraciones, datos de clientes) cifrados en almacenamiento.
Clasificación de la información. Los datos etiquetados según su nivel de criticidad (público, interno, confidencial, restringido).

Registro y auditoría

Logs centralizados (Art. 21.2.f). Registros de actividad de todos los sistemas críticos, conservados al menos 12 meses.
Trazabilidad de accesos. Registro de quién accede a qué sistema, cuándo y desde dónde.
Auditoría periódica. Revisión anual del cumplimiento de las medidas de seguridad por un auditor externo o interno independiente.

Continuidad de negocio

Análisis de impacto en el negocio (BIA). Para cada proceso crítico: tiempo máximo de inactividad tolerable (RTO) y datos máximos perdidos tolerables (RPO).
Plan de continuidad (BCP) documentado. Procesos manuales de respaldo, proveedores alternativos, estrategia de comunicación.
Acuerdos de nivel de servicio con proveedores críticos. SLAs que garanticen tiempos de respuesta en caso de incidente.

Resultado esperado

Para una PYME industrial, cumplir con todos estos puntos requiere típicamente entre 2 y 4 meses de trabajo (si se hace con asesoría externa) o entre 6 y 12 meses (si se hace con recursos internos limitados). El coste total oscila entre 10.000 y 25.000 euros, dependiendo del estado inicial y el tamaño de la organización.

¿Cuántos puntos tienes marcados?

Si tienes menos de la mitad marcados, necesitas un diagnóstico urgente. Si tienes más de la mitad pero no todos, la adecuación legal NIS2 te ayuda a cerrar las brechas. Si tienes todos marcados, felicidades — pero recuerda que el cumplimiento es un proceso continuo, no un proyecto puntual.

Consúltanos sin compromiso y evaluamos juntos tu situación.