La Directiva NIS2 refuerza la ciberseguridad en la UE y fija obligaciones duras para entidades “esenciales” e “importantes” en 18 sectores (energía, salud, digital, transporte, etc.). La mayoría de micro y pequeñas empresas quedan fuera salvo excepciones (p. ej., proveedores críticos o designados por la autoridad), pero adoptar un núcleo mínimo es rentable: menos incidentes, más confianza de clientes y acceso a cadenas de suministro exigentes.
Lo mínimo viable (controles “NIS2-lite” que sí mueven la aguja)
Basado en el art. 21 (gestión de riesgos) y buenas prácticas. Prioriza 12 controles y mide.
- Inventario vivo de activos (IT/OT/SaaS): qué tienes, dónde está, quién accede.
- MFA/Passkeys en todo: correo, VPN, ERP, CRM, nube.
- Principio de mínimo privilegio + revisión trimestral de accesos.
- Parches y actualizaciones en ≤30 días (críticos en ≤7).
- Anti-malware/EDR en endpoints y servidores, con alertas.
- Backups 3-2-1 (incluye copia offline) + prueba de restauración mensual.
- Correo seguro: SPF, DKIM, DMARC “quarantine/reject” y filtro anti-phishing.
- Registro y retención de logs de eventos clave (accesos, cambios, fallos).
- Gestión de proveedores: cláusulas de seguridad, due diligence y contacto de incidentes.
- Plan de respuesta a incidentes (1 hoja): roles, contactos, pasos 0–24–72 h.
- Continuidad de negocio: RPO/RTO básicos por sistema crítico y simulacro anual.
- Formación: 45 min/semestre (phishing + manejo de datos + uso seguro de IA).
Plantillas rápidas (listo para copiar/pegar)
A) Política de contraseñas & MFA (extracto)
- Requiere passkeys o MFA en todos los sistemas con datos de clientes o pagos.
- Prohíbe compartir credenciales; acceso por usuario nominal.
- Rotación de tokens de API cada 90 días y al cesar contratos.
B) Check de proveedores (5 preguntas)
- ¿Tiene MFA y backups 3-2-1?
- ¿Parchea vulnerabilidades críticas en ≤7 días?
- ¿Nos notifica incidentes en 24 h y comparte informe en 72 h/1 mes?
- ¿Dónde se alojan los datos? ¿Claves y cifrado en reposo?
- ¿Tiene seguro/cobertura de responsabilidad por ciberincidentes?
C) Playbook de incidentes (24–72–30)
- 0–2 h: aislar equipo afectado, preservar evidencias, avisar a TI/Legal/DPO.
- ≤24 h: early warning (si procede) y contacto con proveedor CSIRT.
- ≤72 h: notificación con qué, cuándo, impacto y medidas.
- ≤30 días: informe final y lecciones aprendidas.
Métricas que importan
- % MFA activo en apps críticas (objetivo ≥98%).
- Tiempo medio de parcheo crítico (objetivo ≤7 días).
- Éxito de restauración de backup (objetivo 100% mensual).
- Tasa de clic en phishing simulado (objetivo <5%).
- Proveedores con cláusulas NIS2/GDPR (objetivo 100% críticos).
Errores comunes (y cómo evitarlos)
- “Tengo antivirus y ya”: sin MFA, parches y backups probados, sigues expuesto.
- Logs sin revisar: registra y mira los eventos; mínimo accesos y cambios.
- Sin plan de incidentes: cuando toque, no habrá tiempo de improvisar.
- Externalizar sin exigir: exige plazos y controles en contrato.
- Confundir GDPR con NIS2: hay solapes, pero NIS2 añade continuidad, reporting y cadena de suministro.
En dos líneas
- Si no estás en alcance: aplica este NIS2-lite y ganarás seguridad, ventas B2B y acceso a cadenas exigentes.
- Si sí te aplica: añade gobernanza formal, reporting 24/72/30 y evidencias de cumplimiento.
