La mayoría de las organizaciones ya lleva retraso con NIS2. No porque NIS2 sea complicado, sino porque subestiman el alcance del cambio.
NIS2 no es una mejora de ciberseguridad. Es una reforma de la gobernanza que afecta al Consejo de Administración, a los proveedores, a la respuesta ante incidentes, a los planes de continuidad, al registro de eventos, al programa de riesgos y a las evidencias.
La pregunta no es «¿Cumplimos?» Sino «¿Podemos demostrar madurez cuando llame el regulador?»
Aquí está la hoja de ruta clara.
Prepararse para NIS2 no consiste en comprar una herramienta o redactar unas cuantas políticas. Exige demostrar a los reguladores que vuestra ciberseguridad está:
- documentada
- implementada
- medida
- probada
- evidenciada
- gobernada
- bajo responsabilidad de la dirección
Esta es la parte que la mayoría de las empresas omite; y la primera que los reguladores van a inspeccionar.
Entremos en los pasos prácticos.
1. Empieza con un análisis de brechas NIS2 (simple, no académico)
El primer paso no es desplegar controles; es saber dónde estás.
Céntrate en 5 áreas:
- gobernanza y políticas
- gestión de riesgos
- respuesta ante incidentes
- continuidad de negocio y recuperación ante desastres
- riesgo de proveedores y nube
No hace falta un documento de 100 páginas. Una evaluación ejecutiva clara de 10 a 15 páginas con referencias a evidencias es suficiente para comenzar.
Consejo: Usa un modelo de madurez al estilo ISO 27001 (1-5). Los reguladores esperan una puntuación estructurada, no opiniones.
Advertencia: Si omites el análisis de brechas, perderás 10 veces más tiempo después.
2. Construye un modelo real de gobernanza y rendición de cuentas (obligatorio bajo NIS2)
NIS2 obliga al Consejo de Administración a asumir responsabilidad personal. Esto significa que debes formalizar la gobernanza.
Lo que necesitas:
- estrategia de ciberseguridad aprobada por la dirección
- roles y responsabilidades definidos
- registros de decisiones documentados
- estructura de reporte al Consejo
- cadencia periódica de revisión del CISO ante el Consejo
- formación de ejecutivos (obligatoria)
Con dos reuniones bien planificadas se puede tener esto en marcha.
Consejo: Presenta NIS2 como una obligación regulatoria, no como una «iniciativa de seguridad». Los ejecutivos solo lo toman en serio cuando la responsabilidad es explícita.
3. Implementa un marco de gestión de riesgos adecuado
La gestión de riesgos no puede ser una lista de valoraciones «alto/medio/bajo». Los reguladores esperan un enfoque similar al de ISO 27005/31000.
Necesitas:
- metodología de riesgos definida
- identificación basada en amenazas
- criterios de impacto
- planes de tratamiento
- documentación de aceptación de riesgos
- reevaluación periódica
- vinculación con controles
- vinculación con proveedores
Sin esto, nada más resistirá una auditoría.
Consejo: Empieza con poco: 15 a 25 riesgos nucleares son suficientes para la preparación NIS2.
4. Actualiza tu Plan de Respuesta ante Incidentes (IRP) para los plazos de NIS2
NIS2 exige una notificación por capas:
- 24 horas → aviso temprano
- 72 horas → notificación completa del incidente
- 1 mes → informe final
El IRP debe integrar explícitamente estos pasos.
- clasificación de severidad del incidente
- criterios de activación regulatoria
- flujo de comunicación (interno + regulador)
- plantillas para los informes de 24h/72h
- rutas de escalado con proveedores SaaS/nube
- marco de contacto con el CSIRT
- pasos de revisión legal
- plan de preservación de evidencias
Ponlo a prueba. Un ejercicio de mesa (tabletop) es obligatorio para demostrar la preparación.
5. Formaliza la Continuidad de Negocio y la Recuperación ante Desastres (BC/DR)
NIS2 exige resiliencia operacional, no planes teóricos.
Entregables:
- análisis de impacto en el negocio (BIA)
- planes de continuidad
- planes de recuperación ante desastres
- estrategia de failover y copias de seguridad
- informes de pruebas
- plan de comunicación en crisis
La mayoría de las empresas tiene BC/DR solo sobre el papel. NIS2 exige prueba de las pruebas realizadas ; esa es la diferencia.
6. Corrige la gestión de riesgos de proveedores y nube (la brecha más común)
NIS2 te obliga legalmente a gobernar los proveedores críticos.
Debes:
- identificar los proveedores críticos
- evaluarlos en términos de riesgo
- implementar cláusulas contractuales de seguridad
- exigir transparencia sobre subencargados
- evaluar las dependencias en la nube
- validar sus capacidades de gestión de incidentes
- crear estrategias de salida
Un sistema sencillo de clasificación de riesgo por niveles resuelve el 80% de esto.
Consejo: Evita la sobreingeniería. Empieza con tres niveles: Crítico / Importante / Básico.
7. Refuerza el registro de eventos, la monitorización y la detección (nivel mínimo requerido)
Los reguladores esperan:
- registros de eventos
- políticas de retención
- monitorización centralizada
- detección de anomalías
- MDR/SOC para empresas más pequeñas
- evidencia de que la detección funciona
Si no tienes estrategia de registro de eventos, no estás listo para NIS2. Si tienes registros pero no monitorización, el resultado es el mismo.
Un proveedor MDR de tamaño reducido puede resolver esto de inmediato para las pymes.
8. Construye una biblioteca estructurada de evidencias (tu salvavidas en auditoría)
El cumplimiento de NIS2 se gana o se pierde por las evidencias. Solo con políticas = incumplimiento.
Tu biblioteca de evidencias debe incluir:
- políticas y procedimientos versionados
- evaluaciones de riesgos
- registros de incidentes
- evaluaciones de proveedores
- registros de formación
- pistas de auditoría
- actas del Consejo
- registros de decisiones
- salidas de monitorización
Herramientas que funcionan bien:
- Eramba (mejor relación calidad-precio)
- CISO Assistant (ligero y compatible con NIS2)
- OneTrust / ServiceNow (empresa grande)
- Drata/Vanta (para automatización en mercado medio)
Sin evidencias, no tienes nada.
9. Prepara al Consejo (y documéntalo)
Esto es obligatorio Y auditable.
Los ejecutivos deben:
- recibir formación en ciberseguridad
- aprobar la estrategia
- revisar los riesgos
- aceptar riesgos de forma formal
- asignar presupuesto
- firmar las decisiones principales
Documenta todo. Si no puedes demostrar la supervisión ejecutiva, hay incumplimiento.
10. Realiza una auditoría interna o una evaluación de preparación
En 2026, ejecuta una auditoría de ensayo que cubra:
- gobernanza
- riesgos
- IRP
- BC/DR
- supervisión de proveedores
- controles
- evidencias
Esto pone de manifiesto las brechas y te prepara para las inspecciones del regulador.
Reflexión final
NIS2 no consiste en comprar tecnología. Consiste en demostrar que la ciberseguridad está:
- gobernada
- documentada
- probada
- evidenciada
- con responsabilidad asignada
- resiliente
Si puedes demostrar esto, estás listo para NIS2. Si no, ninguna herramienta ni consultor podrá salvarte el día de la auditoría.
NIS2 exige madurez, no perfección. Empieza pronto, avanza paso a paso y documenta todo.
Si quieres un método completo paso a paso para alcanzar el cumplimiento de NIS2 (gobernanza, riesgos, proveedores, IRP, BC/DR y evidencias), eso es exactamente lo que enseñamos en el Cyber Academy NIS2 Lead Implementer. Únete a la próxima sesión y prepárate mucho antes de que llegue 2026.