Ir al contenido principal

Cumplimiento · NIS2

NIS2: cómo contribuye Kayzen a las medidas del artículo 21

El artículo 21 de la directiva (UE) 2022/2555 enumera diez medidas de gestión de riesgos. Para cada una, esto es lo que puede aportar una herramienta como Kayzen, y lo que corresponde a su organización.

Información general, sin valor de dictamen jurídico. Su situación y sus obligaciones deben validarlas un profesional. Kayzen contribuye a algunas medidas; no hace que ninguna organización cumpla la normativa.

Kayzen Security está en desarrollo: todavía no se comercializa ningún módulo. Las contribuciones descritas aquí se basan en el mapeo técnico de K-Comply y en el estado real de cada módulo a 31 de octubre de 2026.

Las diez medidas del artículo 21, apartado 2

Resúmenes redactados por Kayzen a partir del texto publicado en el Diario Oficial de la Unión Europea; solo esa versión es auténtica.

Las diez medidas del artículo 21, apartado 2
Ref.Medida (reformulada)Posible contribución de KayzenA cargo de la organización
21.2.aAnálisis de riesgos y políticas de seguridad de los sistemas de informaciónAnálisis de riesgos documentado y política de seguridad aprobada por la dirección, revisados periódicamente.
21.2.bGestión de incidentesProcedimiento de gestión de incidentes, funciones de guardia y notificación de los incidentes significativos en los plazos del artículo 23.
21.2.cContinuidad de la actividad, copias de seguridad, recuperación en caso de catástrofe y gestión de crisisMedida organizativa: sin contribución de softwarePlan de continuidad y recuperación probado, copias de seguridad desconectadas verificadas, gabinete de crisis. Kayzen no hace copias de seguridad de sus datos.
21.2.dSeguridad de la cadena de suministroEvaluación de proveedores y prestadores, cláusulas de seguridad en los contratos, seguimiento de sus prácticas.
21.2.eSeguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas, incluida la gestión de vulnerabilidadesRequisitos de seguridad en la compra, desarrollo seguro de las aplicaciones internas, política de divulgación coordinada de vulnerabilidades.
21.2.fEvaluación de la eficacia de las medidas de gestión de riesgosIndicadores supervisados por la dirección, auditorías internas o externas, plan de mejora.
21.2.gCiberhigiene básica y formación en ciberseguridadFormación de los directivos y sensibilización periódica de los empleados; Kayzen no imparte formación.
21.2.hPolíticas y procedimientos relativos a la criptografía y al cifradoPolítica de criptografía: algoritmos, gestión de claves, cifrado de las comunicaciones y de las copias de seguridad.
21.2.iSeguridad de los recursos humanos, control de acceso y gestión de activosProcedimientos de incorporación, salida y cambio de puesto, revisión periódica de los permisos, política de uso.
21.2.jAutenticación multifactor, comunicaciones seguras y comunicaciones de emergenciaVerificación en dos pasos en las demás aplicaciones, herramientas de comunicación seguras y medios de comunicación de emergencia.

Fuentes · Directive (UE) 2022/2555 — EUR-Lex (nueva pestaña)

Pruebas en lugar de promesas

El módulo K-Comply calcula indicadores medidos en su parque (agentes conectados, parches pendientes, cifrado de los discos, verificación en dos pasos de los administradores de la consola…) y los vincula a las medidas correspondientes. Una prueba de un módulo no desplegado siempre se muestra como no medida, nunca como satisfecha.

Límites

  • La gobernanza, la formación, la continuidad de la actividad y la gestión de proveedores siguen estando totalmente a cargo de su organización.
  • La notificación de los incidentes a la autoridad es una obligación de la entidad; Kayzen puede ayudar a documentar el incidente, no a declararlo en su lugar.
  • La transposición francesa puede precisar estas medidas: el mapeo no la sustituye.

Véase también