Pruebas técnicas de seguridad para NIS2

NIS2 —Directiva (UE) 2022/2555, sobre medidas de ciberseguridad de alto nivel común en la Unión— sustituye a la directiva NIS original de 2016. Entró en vigor el 16 de enero de 2023 y los Estados miembros debían transponerla a su ordenamiento antes del 17 de octubre de 2024. No pide certificar una norma: obliga a las entidades de sectores críticos a aplicar medidas de gestión de riesgos y a poder demostrar que funcionan.

Amplía de forma notable el ámbito de la directiva anterior —más sectores, y por primera vez la cadena de suministro— y pone el foco en la responsabilidad de la alta dirección. Como en DORA, el punto donde aparece la prueba técnica es la evaluación de eficacia: si nunca has probado de forma independiente qué pasa cuando alguien ataca tus sistemas críticos, lo que tienes documentado es una intención, no una capacidad.

La consecuencia práctica es la misma que en el resto de marcos: el informe de pruebas se convierte en un documento que se enseña. A tu autoridad de control, a tu cliente institucional y a tu consejo. Un informe sin alcance declarado, sin puntuación de criticidad o sin plan de acción no sirve como evidencia.

El artículo 21 es el núcleo técnico de NIS2. Obliga a las entidades del ámbito a aplicar medidas de gestión de riesgos de ciberseguridad, proporcionadas al riesgo, y a evaluar periódicamente su eficacia. Enumera un catálogo de medidas entre las que están las que tienen una parte verificable con pruebas técnicas. Las que cubrimos son:

Las medidas restantes —ciberhigiene y formación, criptografía, seguridad de recursos humanos, continuidad de negocio y gestión de crisis— se apoyan sobre todo en evidencia documental y de proceso. Esas no las sustituimos con un pentest y no lo vamos a fingir: la prueba técnica cubre la parte que se puede verificar atacando, y ahí es donde un auditor exige hallazgos, no declaraciones.

Si tu organización responde a varios marcos a la vez, tiene sentido diseñar un alcance único que sirva para todos. Lo desarrollamos en Pentesting para ISO 27001, ENS y NIS2, donde están las cinco evidencias que pide cualquier auditor.

NIS2 introduce plazos de notificación de incidentes significativos que son nuevos para muchas entidades: una alerta temprana a las 24 horas de tener constancia, una notificación del incidente a las 72 horas con la evaluación inicial, y un informe final cuando el incidente se cierra. Es una obligación de proceso, no una prueba.

Conviene no confundir las dos cosas. Una prueba técnica planificada y autorizada no es un incidente que haya que notificar, y un pentesting no te exime de tener el procedimiento de notificación montado. Lo que sí aporta el informe es lo contrario: demuestra ante la autoridad que existe un programa de evaluación de eficacia funcionando y con resultados trazables, que es justo lo que el artículo 21 pide.

Si al leer esto te das cuenta de que no tienes claro en qué lado de la balanza estás —incidente notificable o prueba programada—, esa es una de las primeras cosas que resolvemos en la llamada, antes de hablar de alcance.

El ámbito de NIS2 es amplio y se organiza en dos anexos. Las entidades esenciales (Anexo I) incluyen energía, transporte, banca e infraestructuras de mercados financieros, infraestructuras digitales, gestión de servicios TIC, sector público, espacio, salud y agua. Las entidades importantes (Anexo II) incluyen servicios postales, gestión de residuos, fabricación, productos químicos, alimentación, servicios digitales e investigación.

El criterio de tamaño de partida es ser empresa mediana o grande: 50 empleados o más, o más de 10 millones de euros de facturación anual o balance. Pero hay entidades incluidas con independencia de su tamaño: proveedores de DNS, registros de nombres de dominio de primer nivel, servicios de confianza cualificados y, en general, quienes sean única fuente de un servicio esencial o presenten riesgo sistémico.

Menos conocido y más relevante para nosotros: NIS2 exige a las entidades del ámbito gestionar el riesgo de su cadena de suministro. Eso significa que si eres proveedor de una entidad sujeta a NIS2, tu cliente te va a pasar requisitos de seguridad —muchas veces un cuestionario y una exigencia de pruebas recientes— aunque tú no estés directamente en el ámbito. Es el mismo mecanismo que ya vemos con DORA y los proveedores TIC.

Si no tienes claro en qué lado del ámbito estás —esencial, importante, alcanzado solo como proveedor, o ninguno de los tres—, dilo en el formulario. Es la primera cosa que resolvemos, y a veces la respuesta es que no necesitas contratar nada.

El borrador con los hallazgos críticos se entrega en las primeras 48 horas de terminar las pruebas, para que puedas empezar a remediar sin esperar al informe definitivo. El documento completo con el plan de acción y el retest posterior se cierra según el calendario de corrección acordado.

Para una estimación ajustada a tu caso antes de hablar con nadie, usa la calculadora de presupuesto de pentesting. Si tu obligación es específicamente financiera, las pruebas que exige DORA están en pentesting para DORA, y el contexto general de contratación, en cómo contratar un pentesting.