¿Qué mide un checklist de la NIS2?
Tres artículos de la Directiva (UE) 2022/2555: el 20, que obliga a la dirección a aprobar las medidas y a formarse; el 21, con las diez medidas mínimas; y el 23, con los avisos de incidentes. En España no hay checklist oficial ni la directiva crea un certificado: cuentan las medidas y sus pruebas.
| Artículo | Qué pide | Quién responde |
|---|---|---|
| 20 · Gobernanza | La dirección aprueba las medidas, supervisa su aplicación, responde del incumplimiento y se forma | Los órganos de dirección |
| 21 · Medidas | Diez medidas técnicas, operativas y de organización, adecuadas y proporcionadas al riesgo | La empresa |
| 23 · Notificación | Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes | La empresa, ante su CSIRT o su autoridad |
¿Qué diez medidas exige el artículo 21.2 de la NIS2?
Como mínimo: políticas de seguridad y análisis de riesgos, gestión de incidentes, continuidad y copias, cadena de suministro, seguridad al adquirir y mantener sistemas, evaluación de la eficacia, ciberhigiene y formación, criptografía, personal con control de accesos y activos, y autenticación multifactor con comunicaciones seguras. Así lo enumera el artículo 21.2.
- a) «las políticas de seguridad de los sistemas de información y análisis de riesgos»
- b) «la gestión de incidentes»
- c) «la continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis»
- d) «la seguridad de la cadena de suministro», con cada proveedor directo
- e) «la seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas», con sus vulnerabilidades
- f) «las políticas y los procedimientos para evaluar la eficacia» de las medidas
- g) «las prácticas básicas de ciberhigiene y formación en ciberseguridad»
- h) «las políticas y procedimientos relativos a la utilización de criptografía y, en su caso, de cifrado»
- i) «la seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos»
- j) «el uso de soluciones de autenticación multifactorial o de autenticación continua», y comunicaciones seguras
La lista empieza por «al menos»: es un mínimo. Y no nombra productos: cada empresa elige cómo cumplir según el estado de la técnica, las normas europeas e internacionales y el coste (artículo 21.1).
¿Qué casillas tiene un checklist de la NIS2 para imprimir?
Veintiocho casillas en cuatro bloques: la dirección, las diez medidas, los incidentes y las pruebas. Marca una solo si hoy puedes enseñar la prueba, con fecha y responsable. Lo que se hace pero no se puede demostrar cuenta como no hecho: es lo primero que te preguntará un cliente o un auditor.
Dirección (artículo 20)
- La dirección ha aprobado por escrito las medidas de seguridad, con fecha.
- Hay una persona responsable de la seguridad, con nombre y funciones.
- La dirección recibe un informe de seguridad al menos una vez al año.
- Los miembros de la dirección han recibido formación en ciberseguridad.
Las diez medidas (artículo 21.2)
- a) Política de seguridad aprobada y análisis de riesgos con su plan de tratamiento.
- b) Procedimiento de gestión de incidentes y registro de incidentes.
- c) Copias de seguridad fuera de la red principal y restauración probada.
- c) Plan de continuidad con plazos de recuperación y contactos de crisis.
- d) Lista de proveedores directos con acceso a tus sistemas.
- d) Requisitos de seguridad en los contratos con esos proveedores.
- e) Parches de seguridad aplicados en plazo y registro de vulnerabilidades.
- e) Seguridad revisada antes de comprar o contratar un sistema nuevo.
- f) Indicadores para saber si las medidas funcionan, y quién los revisa.
- g) Formación del equipo al entrar y al menos una vez al año.
- g) Hábitos básicos por escrito: contraseñas, bloqueo, correos dudosos.
- h) Portátiles con el disco cifrado y conexiones cifradas en correo y web.
- i) Inventario actualizado de equipos, programas y datos.
- i) Accesos retirados el mismo día en que alguien se va.
- i) Permisos de administrador limitados y revisados.
- j) Doble factor en correo, accesos remotos y cuentas de administración.
- j) Un canal de comunicación alternativo para emergencias.
Incidentes (artículo 23)
- Está definido qué hace significativo un incidente para tu empresa.
- Está escrito quién decide avisar y quién avisa.
- Tienes preparados los datos de la alerta temprana de 24 horas.
- Sabes a qué equipo de respuesta o autoridad hay que avisar.
Pruebas
- Cada medida tiene su prueba con fecha, responsable y origen.
- Las pruebas se renuevan cada mes, no solo cuando alguien las pide.
- Puedes entregar a un cliente solo la parte que te pide.
Si buscas una lista más corta, para cualquier pyme y sin la NIS2 delante, está el checklist de ciberseguridad.
¿Qué prueba demuestra cada medida de la NIS2?
Un documento o registro con fecha, responsable y origen que muestre que la medida existe y funciona: la política firmada, el informe de restauración de la copia, la lista de cuentas con doble factor, el registro de formación. Sin prueba, la casilla es una promesa. La tabla recoge la evidencia habitual de cada letra.
| Medida | La prueba | Cada cuánto, orientativo |
|---|---|---|
| a) Política y riesgos | Política firmada por la dirección; análisis de riesgos con los residuales aceptados | Anual y tras un cambio importante |
| b) Incidentes | Procedimiento escrito; registro de incidentes; revisión posterior de los relevantes | Continuo |
| c) Continuidad y copias | Plan con plazos de recuperación; informe de restauración probada | Prueba periódica, mejor mensual |
| d) Cadena de suministro | Registro de proveedores directos; cláusulas de seguridad firmadas | Al contratar y una vez al año |
| e) Adquisición y mantenimiento | Informe de parches aplicados; resultado del análisis de vulnerabilidades | Mensual |
| f) Eficacia | Indicadores y su informe a la dirección; revisión independiente | Trimestral o anual |
| g) Ciberhigiene y formación | Registro de asistencia; resultado de simulacros de correos trampa | Al entrar y una vez al año |
| h) Criptografía | Política de cifrado; informe de discos cifrados | En cada revisión |
| i) Personal, accesos y activos | Inventario de activos; altas y bajas con fecha de retirada de accesos | Inventario vivo; permisos, trimestral |
| j) Autenticación multifactor | Informe de cuentas con doble factor activo; plan de comunicaciones de emergencia | Mensual |
Cómo se ordenan las pruebas en una carpeta que puedas enseñar lo explica el dossier de evidencias, y qué lleva cada apartado, el índice del dossier.
Si la prueba que te falta es la de la letra g), un simulacro de correos trampa la deja registrada con su fecha y su resultado. Y si nadie tiene horas para llevar la lista de un mes a otro, eso lo hace un CISO externo.
¿Qué significa «medidas proporcionadas» en la NIS2 para una empresa de 50 a 250 personas?
Que la profundidad de cada medida depende de tu exposición al riesgo, tu tamaño, la probabilidad de los incidentes y su gravedad, también social y económica: lo dice el artículo 21.1. Proporcionado no es opcional. Las diez medidas son un mínimo para todas; cambian el detalle, la frecuencia y la documentación.
| Situación | 60 personas, una sede | 220 personas, tres sedes |
|---|---|---|
| a) Análisis de riesgos | Una hoja con los diez riesgos principales, revisada cada año | Metodología escrita, revisión anual y tras cada cambio importante |
| b) Incidentes | Procedimiento de una página y teléfono de guardia del proveedor | Procedimiento por niveles, vigilancia continua y revisión posterior |
| c) Copias | Copia diaria fuera de la red y restauración probada cada mes | Lo mismo, con redundancia de los sistemas críticos |
| d) Proveedores | Lista de proveedores con acceso y cláusula básica | Evaluación por proveedor y cuestionario anual |
| g) Formación | Sesión anual y simulacro de correos trampa | Programa por puestos, con la dirección incluida |
¿Qué detalle añade el Reglamento de Ejecución 2024/2690 al checklist de la NIS2?
Convierte las diez medidas en requisitos concretos, ordenados en 13 apartados. Es obligatorio para proveedores de DNS, nube, centros de datos, servicios gestionados y de seguridad gestionados, mercados en línea, buscadores, redes sociales y servicios de confianza. Para el resto de empresas sirve de referencia: dice qué se espera en cada letra.
| Medida | Apartado | Un requisito concreto |
|---|---|---|
| a) | 1 y 2 | La dirección revisa la política de seguridad al menos una vez al año (1.1.2) |
| b) | 3 | Supervisar y registrar la actividad de los sistemas para detectar incidentes (3.2) |
| c) | 4 | Copias fuera de la red del sistema y con integridad verificada (4.2) |
| d) | 5 | Registro de proveedores directos con su contacto y sus servicios TIC (5.2) |
| e) | 6 | Parches en un plazo razonable y análisis de vulnerabilidades registrados (6.6 y 6.10) |
| f) | 7 | Decidir qué se mide, cómo, cuándo y quién lo evalúa (7.2) |
| g) | 8 | Sensibilización periódica, también de la dirección y los proveedores (8.1) |
| h) | 9 | Tipo y solidez del cifrado según la clasificación de cada activo (9.2) |
| i) | 10, 11 y 12 | Inventario de activos completo, preciso y actualizado (12.4) |
| j) | 11.7 | Autenticación multifactor según la clasificación del activo (11.7) |
La ENISA publicó el 26 de junio de 2025 una guía técnica de implementación del reglamento, en inglés, con ejemplos de evidencias. Si prestas servicios gestionados, sigue en la guía de NIS2 para empresas de servicios informáticos.
¿Qué plazos de notificación de incidentes entran en el checklist de la NIS2?
Tres, contados desde que tienes constancia de un incidente significativo: alerta temprana en 24 horas, notificación con una evaluación inicial en 72 horas e informe final un mes después de la notificación. Si el CSIRT o la autoridad lo piden, hay además un informe intermedio. Lo fija el artículo 23.4 de la NIS2.
24 horas
Alerta temprana
Indica si se sospecha una acción ilícita o un efecto en otros países.
72 horas
Notificación del incidente
Evaluación inicial: gravedad, impacto e indicadores de compromiso.
Si lo piden
Informe intermedio
A petición del CSIRT o de la autoridad.
1 mes
Informe final
Descripción, causa probable, medidas aplicadas y efectos en otros países. Si sigue en curso, informe de situación.
Fuente: Directiva (UE) 2022/2555 (NIS2), arts. 20, 21 y 23, consultado el .
Es significativo si causa o puede causar perturbaciones graves, pérdidas económicas o perjuicios considerables a terceros (artículo 23.3). La brecha de datos personales tiene su plazo en el RGPD: la guía de las 72 horas. Quién hace qué: el plan de respuesta a incidentes.
¿Cómo se usa el checklist de la NIS2 si no te aplica directamente?
Como guion para los cuestionarios de tus clientes. Las empresas obligadas tienen que cuidar la seguridad de sus proveedores directos (artículo 21.2.d) y valorar sus prácticas (artículo 21.3), así que sus preguntas siguen estas diez medidas. Si tienes la prueba de cada casilla, contestas con documentos en vez de con promesas.
Comprueba primero si te aplica con el umbral de la NIS2. Después, prepara las respuestas con la plantilla para responder un cuestionario de seguridad. Si prefieres que alguien lo lleve, en la página de la NIS2 contamos cómo: las medidas puestas y un dossier de evidencias cada mes. Más en normativa.
Lo que esta guía no cubre
- No es una lista oficial: en España no hay ley de transposición publicada que la fije.
- No sustituye a tu análisis de riesgos, que decide la profundidad de cada medida.
- No recorre el Reglamento 2024/2690 requisito a requisito: obliga solo a proveedores digitales.
Preguntas frecuentes
¿Hay un certificado que demuestre que cumples la NIS2?
No. La NIS2 no crea un certificado propio: lo que se comprueba son las medidas y sus pruebas. La ISO 27001 sí se certifica y ayuda a demostrarlas, pero no equivale a cumplir la directiva.
¿Tiene que firmar algo la dirección?
Sí. El artículo 20 pide que la dirección apruebe las medidas, supervise su aplicación y se forme. La forma más simple de probarlo es la política y el análisis de riesgos firmados y fechados por el gerente.
¿Puedo marcar una medida que hace mi proveedor de informática?
Sí, si tienes la prueba. La responsabilidad sigue siendo de tu empresa: pide a tu proveedor los informes con fecha de copias, parches y doble factor, y guárdalos en tu dossier.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), arts. 20, 21 y 23, consultado el
- Reglamento de Ejecución (UE) 2024/2690, art. 1 y anexo, consultado el
- ENISA, NIS2 Technical Implementation Guidance, versión 1.0, 26 de junio de 2025, consultado el
- BOE, Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información (vigente), consultado el
Registro de cambios
- : Publicación.
- : Dónde conseguir la prueba de la formación (letra g) y quién puede llevar la lista cada mes.
