Cumplimiento de NIS2 en la infraestructura de red
La Directiva NIS2 (UE 2022/2555) convierte la gestión de riesgos de ciberseguridad en una obligación legal para las entidades esenciales e importantes, con responsabilidad personal de los órganos de dirección. ConnectMyAssets le ayuda a cumplir la parte de red del artículo 21: un inventario completo, políticas de cumplimiento continuas, historial de configuraciones, seguimiento de vulnerabilidades y alertas, con evidencias que puede entregar a un auditor.
Pruebas NIS2 que la plataforma mantiene al día.
Por qué el cumplimiento de NIS2 empieza por su red
NIS2 amplía de forma considerable el alcance y las sanciones de la normativa europea de ciberseguridad. El incumplimiento puede acarrear multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, si esta cifra es superior, para las entidades esenciales, y de 7 millones de euros o el 1,4 % para las entidades importantes.
Artículo 21, gestión de riesgos
El artículo 21 exige a las entidades adoptar medidas técnicas y organizativas, entre ellas políticas de análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, gestión de vulnerabilidades, criptografía, control de acceso y gestión de activos. La red es donde muchas de estas medidas se aplican y se verifican.
Artículo 23, notificación de incidentes
Las entidades deben enviar una alerta temprana a su CSIRT en las 24 horas siguientes a tener conocimiento de un incidente significativo, y una notificación del incidente en un plazo de 72 horas. El historial de configuraciones y el registro de cambios son esenciales para entender lo que ocurrió.
Sanciones y responsabilidad de la dirección
Las entidades esenciales se exponen a multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, si esta cifra es superior, y las importantes, de hasta 7 millones de euros o el 1,4 %. NIS2 introduce además la responsabilidad personal de los órganos de dirección que no aprueben ni supervisen las medidas de ciberseguridad (artículo 20).
Alcance ampliado, 18 sectores
NIS2 abarca 18 sectores, entre ellos energía, transporte, sanidad, infraestructura digital, gestión de servicios TIC y administración pública. Las entidades medianas y grandes de estos sectores están incluidas, según la transposición de cada Estado miembro.
Funciones de cumplimiento de NIS2 para la red
Controles de red mapeados con las medidas del artículo 21, apartado 2, evaluados de forma continua en cada equipo.
Inventario completo de activos (21.2.a e i)
Un barrido de descubrimiento sin estado ultraligero encuentra cada equipo que responde y, después, la recopilación sin agente por SSH construye el inventario: modelo, número de serie, firmware, interfaces, VLAN, vecinos. También se listan los equipos no gestionados y los puertos abiertos, para que la parte desconocida de su red se convierta en una lista accionable.
Políticas de cumplimiento continuas (21.2.e y f)
Parta del catálogo integrado y escriba cualquier regla que necesite con un lenguaje de condiciones completísimo. Las políticas pertenecen a grupos de equipos, se heredan hacia abajo con bloqueos, se ponderan de 0 a 100 y se evalúan de forma continua, con excepciones y 365 días de historial para demostrar la eficacia de sus medidas.
Vulnerabilidades y cadena de suministro (21.2.d y e)
Las versiones de firmware se cruzan con las CVE distribuidas desde la infraestructura en la nube de ConnectMyAssets, con CISA KEV, EPSS e identificadores EUVD con el aviso de ENISA. Las fechas de fin de vida y de fin de soporte se siguen con previsiones presupuestarias y alertas anticipadas.
Historial de configuraciones y recuperación (21.2.c)
Cada configuración se recopila por SSH en cada recopilación, se conserva con su historial completo y puede compararse línea a línea entre dos versiones cualesquiera. Para recuperar, vuelva a desplegar en el equipo una versión anterior de la configuración mediante ZTP.
Control de acceso, MFA y criptografía (21.2.h, i, j)
SSO con LDAP, Active Directory u OpenID Connect y MFA, 81 permisos limitados a grupos de equipos, un bastión que graba cada sesión SSH y un almacén de credenciales (Vault) cuyas claves controla usted. La auditoría de certificados TLS señala los certificados caducados, a punto de vencer y autofirmados, así como las versiones antiguas del protocolo.
Detección de cambios y alertas (21.2.b)
Los análisis periódicos, incluso cada 5 minutos, alimentan los 62 detectores de Soron: configuración modificada fuera de ConnectMyAssets, equipo no autorizado, puerto prohibido abierto, CVE crítica, host inalcanzable. Las alertas llegan a su equipo en la aplicación, por correo electrónico, syslog o webhook, y a su SIEM mediante CEF, LEEF, ECS o GELF.
Tres pasos hacia el cumplimiento de NIS2 en su red
Evaluar: inventario y análisis de brechas
Despliegue ConnectMyAssets, lance un descubrimiento y deje que ConnectMyAssets recopile sus equipos por SSH. Las políticas integradas, el análisis de firewall y la correlación de CVE le dan una primera visión de las brechas, con una puntuación de cumplimiento ponderada por equipo y por grupo.
Implantar: políticas y bastionado
Escriba las reglas que corresponden a su propia política de seguridad, bloquéelas en los grupos donde deben aplicarse y corrija las brechas con scripts personalizados: vista previa en un equipo, reglas de riesgo, diff antes/después para cada equipo modificado.
Mantener: cumplimiento continuo e informes
El cumplimiento se evalúa de forma continua y las alertas saltan en cuanto un análisis detecta una desviación. Envíe informes programados por correo electrónico a la dirección, imprima o guarde los paneles en PDF y exporte evidencias en CSV o NDJSON para sus auditores y para las revisiones de gobernanza del artículo 20.
Preguntas frecuentes sobre NIS2
Preguntas habituales sobre el cumplimiento de la Directiva NIS2 en la infraestructura de red.
¿Se aplica NIS2 a mi organización?
NIS2 se aplica a las entidades medianas y grandes (50 empleados o más, o 10 millones de euros o más de volumen de negocio) que operan en 18 sectores designados en toda la UE. Entre ellos están la energía, el transporte, la banca, la sanidad, el agua, la infraestructura digital, la gestión de servicios TIC, la administración pública y el espacio. Los Estados miembros también pueden incluir entidades más pequeñas de importancia crítica.
¿Cuál es el plazo para cumplir NIS2?
Los Estados miembros de la UE debían transponer NIS2 a su legislación nacional antes del 17 de octubre de 2024. Sin embargo, los plazos de transposición varían según el país. Las organizaciones deben consultar a su autoridad nacional (por ejemplo, la ANSSI en Francia o la BSI en Alemania) para conocer los plazos locales y los requisitos de registro.
¿Cómo ayuda ConnectMyAssets con los requisitos del artículo 21 de NIS2?
ConnectMyAssets ayuda a cumplir la parte de red del artículo 21, apartado 2: análisis de riesgos mediante el inventario, las políticas de cumplimiento y el análisis de firewall (a), gestión de incidentes mediante la detección de cambios y las alertas (b), continuidad de negocio mediante el historial de configuraciones y el redespliegue por ZTP (c), cadena de suministro y gestión de vulnerabilidades mediante el seguimiento de firmware, CVE y fin de vida (d, e), evaluación de la eficacia mediante la evaluación continua y 365 días de historial (f), criptografía mediante la auditoría de certificados TLS (h), control de acceso y gestión de activos mediante RBAC, el bastión y la CMDB (i), y MFA mediante SSO (j).
¿Cuáles son las sanciones por incumplir NIS2?
Las entidades esenciales se exponen a multas administrativas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial total, si esta cifra es superior. Las entidades importantes se exponen a multas de hasta 7 millones de euros o el 1,4 % del volumen de negocio. Además, el artículo 20 introduce la responsabilidad personal de los órganos de dirección, y las autoridades nacionales pueden imponer prohibiciones temporales de ejercer funciones directivas.
¿En qué plazo deben notificarse los incidentes según NIS2?
El artículo 23 establece un calendario de notificación en tres etapas: una alerta temprana en las 24 horas siguientes a tener conocimiento de un incidente significativo, una notificación del incidente en 72 horas con una evaluación inicial y su impacto, y un informe final en el plazo de un mes que detalle la causa raíz, las medidas de mitigación y, en su caso, el impacto transfronterizo. ConnectMyAssets le ayuda a responder rápido: qué configuración cambió, cuándo, en qué equipos y qué equipos están expuestos a una CVE concreta.
¿Qué diferencia hay entre NIS2 y la Directiva NIS original?
NIS2 amplía el alcance de 7 a 18 sectores, sustituye la distinción OES/DSP por la clasificación en entidades esenciales e importantes, introduce sanciones más estrictas y armonizadas, añade la responsabilidad de los órganos de dirección (artículo 20), refuerza los plazos de notificación de incidentes (24 h, 72 h y un mes) e incluye requisitos de seguridad de la cadena de suministro. También impone la divulgación coordinada de vulnerabilidades.
Inicie su camino hacia el cumplimiento de NIS2
Descubra en una demo personalizada cómo ConnectMyAssets relaciona su infraestructura de red con los requisitos de la Directiva NIS2.