Autoevaluación NIS2 y ReCyF: 20 preguntas

Para situar rápidamente a una empresa frente al ReCyF basta con una pregunta por objetivo y una regla: solo se responde «sí» si se puede mostrar una prueba. Las 20 preguntas siguientes siguen los 20 objetivos del referencial de la ANSSI. En una hora dan una primera imagen fiable de las carencias — no un diagnóstico, pero sí lo suficiente para saber por dónde empezar.

¿Cómo responder a las 20 preguntas?#

Para cada pregunta, tres respuestas posibles:

• Sí, y puedo demostrarlo: un documento, una captura, una exportación, un acta fechada.
• En parte: la medida existe, pero no en todas partes, no al día, o sin rastro.
• No, o no sé demostrarlo: para un auditor, ambas cosas son lo mismo.

El ReCyF no publica ninguna escala de notas: juzga un objetivo alcanzado o no alcanzado. Por eso la prueba cuenta más que la intención. Los objetivos 16 a 20 solo afectan a las entidades esenciales; para una entidad importante uno se detiene en los quince primeros. El test de las tres preguntas dice en qué categoría cae la empresa.

Gobernanza#

• Objetivo 1 · Inventario de los sistemas de información. ¿Existe un inventario al día de las aplicaciones, los equipos, las interconexiones y sus responsables? Prueba: el inventario y su fecha de última actualización.
• Objetivo 2 · Marco de gobernanza. ¿Están escritas las funciones de seguridad, se reúne un órgano de dirección y se ha comprometido formalmente la dirección? Prueba: una política firmada y el acta de la última reunión.
• Objetivo 3 · Dominio del ecosistema. ¿Están enumerados los proveedores con acceso a los sistemas, con cláusulas de seguridad en sus contratos? Prueba: la lista de proveedores críticos y un contrato tipo.
• Objetivo 4 · Recursos humanos. ¿Las altas, los cambios de puesto y las bajas desencadenan acciones de seguridad, y está concienciada la plantilla? Prueba: el procedimiento de salida y el rastro de la última concienciación.
• Objetivo 16 · Enfoque basado en el riesgo (entidades esenciales). ¿Existe un análisis de riesgos formalizado, y se derivan de él las decisiones de tratamiento? Prueba: el análisis y el plan de tratamiento.
• Objetivo 17 · Auditoría (entidades esenciales). ¿Se realizan auditorías de seguridad con regularidad, con seguimiento de las desviaciones? Prueba: el último informe y el estado de sus recomendaciones.

Protección#

• Objetivo 5 · Dominio de los sistemas de información. ¿Se gestionan las actualizaciones y las vulnerabilidades, incluidos los equipos sin soporte? Prueba: un informe de parches y la lista de los sistemas obsoletos.
• Objetivo 6 · Accesos físicos. ¿Está controlado y registrado el acceso a los locales sensibles, incluidas las visitas? Prueba: la lista de autorizaciones o un registro de accesos.
• Objetivo 7 · Arquitectura. ¿Está segmentada la red, de modo que una máquina comprometida no dé acceso a todo? Prueba: un esquema de red y las reglas de filtrado.
• Objetivo 8 · Accesos remotos. ¿Pasan el teletrabajo y los accesos de proveedores por una autenticación fuerte y flujos cifrados? Prueba: la configuración de la VPN o del portal de acceso.
• Objetivo 9 · Código malicioso. ¿Hay una protección desplegada en todos los puestos y servidores, y se sigue realmente su estado? Prueba: la consola del antivirus o del EDR, con la cobertura.
• Objetivo 10 · Identidades y accesos. ¿Son nominativas las cuentas, se revisan los permisos, se revocan las salidas y está implantada la autenticación multifactor? Prueba: la última revisión de permisos y la tasa de cuentas con MFA.
• Objetivo 11 · Administración. ¿Están las cuentas de administración separadas de las corrientes, son pocas y quedan registradas? Prueba: la lista de administradores y un extracto del registro.
• Objetivo 18 · Configuración (entidades esenciales). ¿Se definen, se aplican y se comprueban configuraciones de referencia reforzadas? Prueba: el referencial de refuerzo y un control de conformidad.
• Objetivo 19 · Administración dedicada (entidades esenciales). ¿Se realiza la administración desde puestos y redes dedicados, aislados de la ofimática y de internet? Prueba: la descripción de esos puestos y de su red.

Defensa#

• Objetivo 12 · Incidentes. ¿Se sabe detectar, cualificar y tratar un incidente, y notificar en los plazos de NIS2 — alerta en 24 horas, notificación en 72 horas, informe final en un mes? Prueba: el procedimiento y los contactos de notificación.
• Objetivo 20 · Supervisión (entidades esenciales). ¿Se recogen y se analizan los registros de seguridad para detectar actividad anómala? Prueba: la herramienta de recogida y una alerta tratada.

Resiliencia#

• Objetivo 13 · Continuidad y recuperación. ¿Están protegidas las copias de seguridad, y se ha probado realmente una restauración? ¿Existe un plan de continuidad y de recuperación? Prueba: la fecha y el resultado de la última prueba de restauración.
• Objetivo 14 · Gestión de crisis. ¿Está prevista una célula de crisis, con funciones y medios de comunicación de reserva? Prueba: la ficha de organización de crisis y el directorio sin conexión.
• Objetivo 15 · Ejercicios. ¿Se ponen a prueba los dispositivos mediante ejercicios, y se extraen de ellos mejoras? Prueba: el acta del último ejercicio.

¿Cómo leer el resultado?#

Cuente los «no» y los «en parte»: cada uno es una carencia. No haga medias — una buena puntuación en protección no compensa la ausencia de un procedimiento de incidente. Empiece por las carencias que bloquean todo lo demás: el inventario, las identidades y los accesos, las copias de seguridad probadas, el procedimiento de incidente.

Cuando Vigicap se aplicó ese mismo ejercicio, la protección técnica aguantaba bien; las carencias se concentraban en la gobernanza, la defensa y la resiliencia. Faltaban sobre todo documentos y hábitos: una política firmada, un procedimiento de incidente escrito, un plan de continuidad, un ejercicio.

¿Qué no sustituye esta autoevaluación?#

No sustituye ni a un diagnóstico completo, ni a una auditoría, ni al criterio de la autoridad. El propio ReCyF es un documento de trabajo, sin versión definitiva antes del final de la transposición. Y un «sí» sin prueba sigue siendo un «no» el día en que alguien pide verlo.

Eso es lo que aporta de más un diagnóstico con herramientas: en Vigicap, los conectores leen una parte de las respuestas directamente en las herramientas del cliente — MFA, EDR, copias de seguridad — y cada nivel lo valida el consultor, con la prueba a la vista. Para ir más lejos, la tabla de correspondencia muestra cómo esos mismos 20 objetivos reaparecen en el artículo 21 de NIS2 y en la ISO 27001.