Análisis de brechas
Comparamos tus medidas actuales con las diez que enumera el artículo 21 de la directiva, desde la gestión de riesgos hasta la autenticación multifactor. Así sabes qué tienes, qué te falta y por dónde conviene empezar.
Gobernanza y formación de la dirección
La directiva hace responsable a la dirección, que debe aprobar las medidas y formarse en ciberseguridad. Preparamos esa formación y dejamos por escrito quién decide y quién ejecuta en tu empresa. Así, cada decisión queda registrada y la dirección puede demostrar que ha cumplido su parte.
Políticas y documentación
Redactamos las políticas de seguridad, el análisis de riesgos y los procedimientos que te pedirá el supervisor, adaptados a tu tamaño. Si ya trabajas con la ISO 27001, partimos de lo que tienes.
Proveedores y cadena de suministro
Revisamos qué proveedores acceden a tus sistemas o a tus datos y qué garantías te ofrecen. Con esa información preparamos las cláusulas y los controles que la directiva exige sobre la cadena de suministro. Si un proveedor clave no da garantías suficientes, te proponemos alternativas.
El método Apen: cómo funciona
- Diagnóstico: revisamos tus medidas frente al artículo 21 de la directiva.
- Organización: definimos responsables y formamos a la dirección.
- Documentación: redactamos las políticas, los procedimientos y el registro de riesgos.
- Implantación guiada: acompañamos a tu equipo en cada medida pendiente.
- Mantenimiento: revisamos el cumplimiento cada año y cuando cambia la ley.
Nuestro equipo lleva más de 35 años asesorando a pymes del Vallès y de Barcelona. Por eso adaptamos cada requisito al tamaño real de tu empresa, sin documentación de relleno ni medidas que después no vas a poder mantener. Al cerrar cada fase te entregamos un resumen claro para la dirección. Cuando todo esté en marcha, puedes comprobarlo con una auditoría NIS2 independiente.
Por qué una consultoría NIS2 te ahorra tiempo y riesgos
La Directiva (UE) 2022/2555 no se limita a enumerar medidas técnicas. Su artículo 20 exige que la dirección apruebe esas medidas, supervise su aplicación y reciba formación, y prevé que pueda responder si se incumplen. Por eso el cumplimiento NIS2 empieza en la dirección de la empresa, no solo en el departamento técnico.
El artículo 21 fija diez medidas mínimas. Entre ellas están la gestión de incidentes, la continuidad de negocio con copias de seguridad, la seguridad de la cadena de suministro, la formación en ciberhigiene, el cifrado y la autenticación multifactor. A su vez, el artículo 23 marca los plazos para notificar un incidente grave: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
En España, la ley que traspone la directiva sigue sin publicarse en el BOE a octubre de 2026, aunque el plazo terminó el 17 de octubre de 2024. Sin embargo, preparar todas estas medidas lleva meses. Por eso conviene empezar ya, sobre todo si tus clientes te piden garantías de seguridad como proveedor. Mientras tanto, sigue vigente el Real Decreto-ley 12/2018, que ya obliga a algunos operadores de servicios esenciales.
Con un consultor externo cumples sin contratar perfiles nuevos y llegas a una inspección con una documentación coherente. Si también trabajas con la Administración, coordinamos este trabajo con la consultoría del Esquema Nacional de Seguridad para no duplicar esfuerzos. Y si aún no sabes si te afecta, empieza por revisar a quién obliga la normativa NIS2. Llámanos al 938 606 220 o pide tu diagnóstico gratuito.
