La prueba que sus clientes exigen antes de firmar el contrato

El anexo A se reestructuró de 114 a 93 controles, se organizó en cuatro temas en lugar de catorce y se añadieron once nuevos controles — entre otros, inteligencia de amenazas, seguridad en la nube, prevención de fuga de datos y programación segura. Quien haya implementado la versión anterior necesita un mapeo, no un reinicio.

El documento central de la norma: una lista de todos los controles del anexo A con su decisión sobre si es aplicable, cómo se implementa y por qué, en su caso, queda excluido. Los auditores casi siempre empiezan por aquí.

NIS2 es una ley, ISO 27001 es una norma. Un SGSI certificado no cumple automáticamente con NIS2, pero cubre una parte considerable de las medidas de gestión de riesgos exigidas y aporta la estructura documental que las autoridades supervisoras esperan.

Por lo general, lo acorta considerablemente. Muchos procesos de compra aceptan el certificado junto con la Declaración de Aplicabilidad en lugar de un catálogo de preguntas de tres cifras.

Desde 179 € al mes, incluyendo preparación, auditoría, certificado y auditorías de seguimiento. De forma clásica, los costos totales para una pyme en el primer ciclo suelen ser considerablemente más altos, ya que la consultoría, el organismo de certificación y el esfuerzo interno se facturan por separado. La calculadora de costos muestra la diferencia para su tamaño.

En una implementación nueva, realistamente entre seis y ocho semanas; con un SGSI ya en funcionamiento, mucho menos, en el caso de un cambio hasta apenas 48 horas, si la evaluación de riesgos y las medidas ya se practican. El cuello de botella casi siempre es la evaluación de riesgos, no la auditoría.

No. Debe decidir de forma fundamentada para cada medida si es aplicable. La exclusión debe ser comprensible — ese es el propósito de la Declaración de Aplicabilidad.

Un mapeo a la estructura de 2022, evaluación de las once nuevas medidas y ajuste de la Declaración de Aplicabilidad. Sin necesidad de una implementación nueva. Simplemente suba sus documentos existentes a nuestra plataforma y revise las sugerencias de la IA.

No. NIS2 es una ley y en algunos aspectos va más allá, entre otros en las obligaciones de notificación y la responsabilidad personal de la dirección. Sin embargo, un SGSI cubre una gran parte de las medidas exigidas y proporciona la estructura de evidencias.

Sí. Lo decisivo es que usted controle a sus proveedores y que la distribución de responsabilidades esté documentada.

También certificamos organizaciones con menos de diez empleados. El esfuerzo escala según la complejidad, no solo según el número de personas.

Esto no es un criterio de exclusión. Se comprueba si lo ha detectado, tratado y aprendido de ello. Precisamente para eso está el sistema. Aquí se trata de hacer visible la mejora continua.

Su certificado lo emite la organización nacional responsable de su mercado; su estatus lo verá antes de firmar el contrato. Para ISO/IEC 27001, la acreditación solo es obligatoria en sectores concretos regulados por ley — si esto le afecta, se lo indicamos en la entrevista inicial. Por regla general: se audita la misma norma con el mismo criterio, y los organismos públicos deben aceptar evidencias equivalentes. Todo esto en .

Solo si su SGSI ya está en funcionamiento: la evaluación de riesgos, la declaración de aplicabilidad y las medidas del Anexo A elegidas deben existir y aplicarse en la práctica. Al cambiar de otra entidad certificadora esto suele darse; al implementarlo desde cero, casi nunca. Se lo indicamos en el Chequeo exprés, antes de que reserve.

Ese es el verdadero punto. Su SGSI vive en la plataforma: la declaración de aplicabilidad, los riesgos, las medidas y los incidentes se gestionan allí, nuestra IA muestra desviaciones y recuerda los ciclos de revisión. Un SGSI que se duerme entre dos auditorías no resiste ninguna auditoría de cliente.

La plataforma y la IA cubren el caso habitual. Donde necesite más — por ejemplo, para la metodología de riesgos o una auditoría interna independiente — le ponemos en contacto con asesoría independiente de nuestra red de socios. Quien le haya asesorado no le auditará con nosotros.