Alcance y aplicabilidad
Confirmamos si tu empresa está obligada y si sería entidad esencial o importante, según tu sector y tu tamaño. Con eso fijamos qué sedes, sistemas y proveedores entran en la revisión.
Revisión de medidas y evidencias
Repasamos las diez medidas del artículo 21 y pedimos la prueba de cada una: políticas aprobadas, registros de accesos, copias de seguridad restauradas o actas de formación. Lo que no se puede demostrar, se trata como pendiente, igual que haría un supervisor.
Pruebas técnicas
No nos fiamos solo de los papeles. Escaneamos vulnerabilidades, revisamos configuraciones y, si hace falta, hacemos un pentesting sobre los sistemas críticos para ver si las medidas funcionan de verdad.
Informe y plan de corrección
Te entregamos los hallazgos clasificados por riesgo, con la medida afectada y la acción concreta para cerrarlos. También incluimos un resumen pensado para la dirección, que es quien debe aprobar el plan.
El método Apen: cómo funciona
- Alcance: definimos sedes, sistemas, proveedores y personas que participan.
- Evidencias: recogemos la documentación y la contrastamos con cada medida.
- Pruebas técnicas: comprobamos que los controles funcionan en tus sistemas.
- Informe: presentamos los hallazgos a la dirección, ordenados por riesgo.
- Verificación: volvemos a revisar cuando has aplicado las correcciones.
Además, nuestro equipo técnico lleva más de 35 años protegiendo pymes del Vallès y de Barcelona. Si el informe detecta carencias, puedes cerrarlas por tu cuenta o con nuestra consultoría NIS2, sin compromiso de contratarla.
Qué empresas deben cumplir la NIS2 y cuándo se audita
Según el artículo 2 de la Directiva (UE) 2022/2555, deben cumplirla las empresas medianas y grandes de los sectores de sus anexos I y II. En general, son las que tienen 50 trabajadores o más, o superan los 10 millones de euros de facturación y de balance. Algunas, como los proveedores de DNS, están obligadas sea cual sea su tamaño.
El tamaño y el sector deciden también el tipo de entidad. Las grandes empresas de sectores del anexo I, como energía, transporte, sanidad o infraestructura digital, suelen ser entidades esenciales. En cambio, las medianas y las de sectores del anexo II, como fabricación, alimentación o gestión de residuos, suelen ser entidades importantes.
Esa diferencia cambia la forma de supervisar. A las entidades esenciales, el artículo 32 les aplica una supervisión previa, que incluye auditorías de seguridad periódicas hechas por un organismo independiente o por la autoridad. A las importantes, el artículo 33 las revisa a posteriori, cuando hay indicios de incumplimiento. Además, la entidad paga el coste de una auditoría específica y debe aplicar sus recomendaciones en un plazo razonable.
Por otro lado, el artículo 21 obliga a todas a evaluar la eficacia de sus medidas, y una auditoría periódica es la forma más sencilla de demostrarlo. En España, la ley que traspone la directiva aún no está en el BOE a octubre de 2026. Aun así, conviene auditarse antes de que llegue el primer requerimiento. Puedes ver todas las obligaciones en nuestra página sobre la normativa NIS2 o llamarnos al 938 606 220.
