Pack de preparación para NIS2: un análisis de alcance, un informe de brechas frente a las diez medidas de seguridad del artículo 21 y tus políticas iniciales, redactados a partir de tus respuestas en un plazo de 10 días hábiles

Los proveedores de computación en la nube, de centros de datos, de servicios gestionados y de servicios de seguridad gestionados figuran todos en el anexo I, y la Directiva cita el software como servicio entre los modelos de servicio de computación en la nube. Para estos proveedores, el país que te supervisa es aquel donde se toman principalmente tus decisiones sobre medidas de ciberseguridad. La comprobación de alcance contrasta tus servicios con estas definiciones.

Puede serlo. Según el artículo 21(2)(d), las empresas a las que afecta NIS2 deben gestionar la seguridad de su cadena de suministro, incluidos sus proveedores directos, así que envían requisitos de seguridad a proveedores que la Directiva no cubre. Puede que la comprobación de alcance concluya que no estás incluido. Entonces el pack se convierte en el conjunto de evidencias que esos clientes piden: políticas escritas y un informe de brechas que puedes enseñarles.

Políticas de análisis de riesgos y de seguridad de los sistemas de información; gestión de incidentes; continuidad del negocio, como copias de seguridad y recuperación ante desastres, y gestión de crisis; seguridad de la cadena de suministro; seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluidas la gestión y la divulgación de vulnerabilidades; evaluación de la eficacia de las medidas; ciberhigiene básica y formación; criptografía y, cuando proceda, cifrado; seguridad de los recursos humanos, control de acceso y gestión de activos; y autenticación multifactor y comunicaciones seguras, cuando proceda.

Según el artículo 23, un incidente significativo se notifica a tu CSIRT o autoridad nacional por fases: una alerta temprana en las 24 horas siguientes a conocerlo, una notificación del incidente en 72 horas y un informe final como máximo un mes después de la notificación. El procedimiento del paquete indica quién decide, quién notifica y qué contiene cada notificación. Si quieres un plan completo de respuesta a incidentes, redactado y después probado con tu equipo, el plan de respuesta a incidentes con simulacro de mesa lo ofrece por 690 € en un solo pago.

Según el artículo 20, aprueba las medidas de seguridad, supervisa cómo se implantan y puede ser considerado responsable de las infracciones, y sus miembros deben recibir formación. El resumen de una página le presenta el resultado del alcance y las principales brechas, y la política de formación cubre la suya.

Depende de tu país, y la comprobación de alcance indica los pasos para el tuyo. En Italia, según el Decreto Legislativo 138/2024, las empresas se registran cada año en la plataforma de la Agencia Nacional de Ciberseguridad (ACN) entre el 1 de enero y el 28 de febrero. En Alemania, la Ley del BSI exige registrarse en la Oficina Federal de Seguridad de la Información (BSI) en los tres meses siguientes a cumplir los requisitos por primera vez, a través del portal del BSI.

Los países de la UE debían adoptar sus leyes antes del 17 de octubre de 2024 y aplicarlas desde el 18 de octubre de 2024, y lo hicieron en momentos distintos. El día de la entrega, revisamos la ley vigente en tu país y las páginas de su autoridad, y la comprobación de alcance las cita. Si una ley nacional aún no está en vigor, la comprobación de alcance lo indica y se basa en la Directiva.

Por infracciones del artículo 21 o 23, cada país debe permitir multas a las entidades esenciales de al menos 10 millones de euros o el 2 % del volumen de negocios anual total mundial, aplicándose la cifra más alta, y a las entidades importantes de al menos 7 millones de euros o el 1,4 %, aplicándose la cifra más alta. La ley nacional fija los importes exactos.

No. Preparamos la comprobación de alcance y los documentos a partir de tus respuestas y de los textos publicados. No somos un despacho de abogados, ni probamos tus sistemas ni certificamos nada. Tu propio asesor jurídico o la autoridad nacional tiene la última palabra sobre el alcance, y el pack por sí solo no hace que cumplas la normativa.

Tus respuestas las leen modelos de IA cuyos proveedores están en Estados Unidos, bajo condiciones comerciales en las que el proveedor no entrena con ellas, y AIGROW no entrena modelos de IA con tus datos. Estas transferencias se rigen por las cláusulas contractuales tipo que la Comisión Europea adoptó en 2021, incluidas en nuestro acuerdo de encargo de tratamiento. Eliminamos tus respuestas, los documentos y nuestros archivos de trabajo 30 días después de la entrega, o antes si lo pides.

En un plazo de 10 días laborables desde que recibamos tus respuestas completas. Si una autoridad o un cliente necesita el pack antes, escribe a hello@aigrow.gg antes de pagar y te diremos si podemos cumplir la fecha.