Plan de adecuación a NIS2: por dónde empezar y en qué orden

Las cuatro fases

• • 1. Diagnóstico: determinar si estás dentro del ámbito por sector y tamaño, o vía cadena de suministro, y si eres entidad esencial o importante. Es cuestión de días y condiciona todo lo demás.
• • 2. Análisis de gaps: comparar lo que ya haces contra las diez medidas del artículo 21 y anotar, medida a medida, qué existe, qué existe a medias y qué no existe.
• • 3. Plan de acción priorizado: convertir cada hueco en una tarea con responsable, fecha y coste estimado, ordenadas por riesgo y por esfuerzo, no por gusto.
• • 4. Gobierno y evidencias: aprobación formal de las políticas por el órgano de dirección, formación, indicadores para demostrar que las medidas funcionan y revisión periódica.

Por dónde empezar si hay que elegir

Hay medidas que reducen mucho riesgo con poco dinero y que además son las que preguntan los clientes en sus cuestionarios. Si tienes que priorizar el primer trimestre, empieza por aquí:

• • Autenticación multifactor (MFA) en el correo, el acceso remoto y las cuentas de administración.
• • Copias de seguridad aisladas y, sobre todo, una prueba real de restauración: tener copias no es tener continuidad.
• • Procedimiento de gestión de incidentes por escrito, con responsable, suplente y los plazos de notificación del artículo 23.
• • Inventario de activos, cuentas y accesos, con baja inmediata al salir una persona de la empresa.
• • Cláusulas de ciberseguridad en los contratos con proveedores críticos y una evaluación mínima de los que tocan tus sistemas.
• • Formación básica para la plantilla y formación específica para el órgano de dirección (art. 20).

Cuánto tarda y qué cuesta esperar

Lo que marca el calendario no es la compra de herramientas, sino las decisiones y la documentación: aprobar políticas, acordar quién responde de qué, revisar contratos con proveedores y probar que el plan funciona. Para una pyme que parte de una base razonable, planificar entre seis y doce meses es realista; si se parte de cero, más.

Retrasarlo tiene dos costes. El regulatorio, con el plazo de referencia en enero de 2027. Y el comercial, que llega antes: los clientes obligados ya están enviando cuestionarios y quien no puede enseñar un plan con fechas se queda fuera de los concursos.