Cumplimiento de NIS2, demostrable

La prueba, no la estimación.

NIS2 no te pide tener medidas de ciberseguridad. Te pide demostrar que funcionan —el artículo 21 lo llama, literalmente, evaluar la eficacia—. Y si tu organización es una entidad esencial, la autoridad puede supervisarte sin necesidad de indicio previo de incumplimiento (artículo 32).

Nuestro diagnóstico te dice hoy qué puedes demostrar, qué no y en qué orden cerrarlo.

El problema que resolvemos

Las herramientas habituales dejan un hueco en el sitio equivocado:

• Los checklists genéricos repiten el artículo 21, pero no dicen qué te falta a ti ni qué evidencia lo demostraría.
• Los paneles de GRC registran lo que tú dices que haces. Documentan la intención, no la realidad.
• Los pentest y las auditorías por muestreo entregan una estimación: «no conseguimos entrar esta vez».

Ninguna de las tres responde a la única pregunta que importa cuando llega el supervisor: ¿puedes demostrar que tus controles hacen lo que dices que hacen?

Qué obtienes hoy: el diagnóstico

Con tu documentación y 2–3 entrevistas:

• Mapa de obligaciones: si NIS2 te aplica —sector del anexo I o II, tamaño, entidad esencial o importante— y qué te exige.
• Brechas frente al artículo 21: análisis de riesgos, gestión de incidentes, continuidad, cadena de suministro, seguridad en la adquisición y el desarrollo, ciberhigiene y formación, criptografía, control de acceso y autenticación multifactor. Cada conclusión, con la evidencia que existe o la que falta.
• Revisión del procedimiento de notificación del artículo 23: alerta temprana en 24 horas, notificación a las 72 horas e informe final al mes.
• Plan de remediación priorizado, con fechas, y resumen para el órgano de dirección, porque el artículo 20 le hace responder del incumplimiento.

No es una auditoría técnica ni un pentest, ni asesoramiento jurídico: es el mapa de lo que te falta y de cómo demostrarlo.

Ver un ejemplo del informe →

Cómo trabajamos

Con una metodología propia: cada obligación se contrasta con la evidencia que tú puedes presentar, y cada conclusión cita el artículo y la evidencia que la sostienen. Así, el informe te sirve ante el supervisor y ante tus clientes, no solo internamente.

Un solo marco para varias normas

Si NIS2 te aplica, es probable que no venga sola. El diagnóstico puede revisarlas juntas:

• NIS2 — ciberseguridad de entidades esenciales e importantes.
• DORA — resiliencia operativa digital, si operas en el sector financiero (donde además prevalece sobre NIS2).
• EU AI Act — si utilizas sistemas de IA, con las obligaciones de alto riesgo desde el 2 de diciembre de 2027.

Abordarlas por separado multiplica el trabajo. Abordarlas juntas lo divide.

Lo que está en juego

	Entidades esenciales	Entidades importantes
Multa	10 M€ o 2 % de la facturación mundial	7 M€ o 1,4 %
Supervisión	Proactiva (sin indicio previo)	Reactiva (tras indicios)
Consejo	Responde personalmente del incumplimiento (art. 20)	Responde personalmente (art. 20)

Para quién

• Entidades esenciales de energía, transporte, banca, sanidad, agua, infraestructura digital y administración pública.
• Proveedores de servicios TIC (incluidos los B2B del anexo I) que están dentro del ámbito — o a quienes sus clientes obligados ya les exigen garantías.
• Grupos multinacionales que deben responder ante varias jurisdicciones (artículo 26).

Hacia dónde vamos

Un diagnóstico es una foto con fecha. Estamos construyendo una plataforma que convertirá ese cumplimiento en una prueba matemática, reproducible y verificable por un tercero, que se mantiene cuando tus sistemas cambian y que podrá instalarse en tu propio perímetro. Sin fecha comprometida.

Empieza por saber dónde estás

Valoración inicial gratuita. Una conversación sobre tu caso: si NIS2 te aplica, como qué tipo de entidad, y qué conviene mirar primero. Sin compromiso.

---

Sigue leyendo: NIS2: qué es, a quién aplica y qué exige (guía) · transposición de NIS2 en España · certificación NIS2 · Reglamento DORA · EU AI Act.

Fuente normativa: Directiva (UE) 2022/2555, artículos 20, 21, 23, 32 y 34.