Metodología de puntuación

Lo que viene de la ANSSI y lo que viene de nosotros

La distinción importa y la planteamos de entrada, porque determina lo que la puntuación demuestra:

• De la ANSSI: los 20 objetivos, sus denominaciones, su reparto en cuatro pilares (Gobernanza, Protección, Defensa, Resiliencia) y el ámbito EI/EE — referencial ReCyF v2.5 de 17/03/2026. Ese documento lleva la mención «documento de trabajo»: no se publicará ninguna versión definitiva antes de que concluya la transposición de NIS 2. Por eso hablamos de preparación, nunca de conformidad con una norma estabilizada.
• De nosotros: la escala de madurez 0–4, el umbral esperado por objetivo, la fórmula que figura a continuación y el texto explicativo bajo cada objetivo — la ANSSI publica «medios aceptables para cumplir las exigencias» que no reproducimos; nuestras descripciones son una reformulación, escrita para el consultor. ReCyF no define ninguna escala de madurez — la palabra no aparece en él. La proporcionalidad pasa allí únicamente por los objetivos 16 a 20, reservados a las entidades esenciales, y por el marcado EI/EE de cada medio de cumplimiento. Nuestra escala es una herramienta de dirección y de priorización; no tiene ningún valor normativo.

La escala de madurez

• 0 — Inexistente: no hay nada implantado.
• 1 — Inicial: prácticas informales, no documentadas, dependientes de las personas.
• 2 — En curso: trabajos iniciados, cobertura parcial.
• 3 — Definido: práctica documentada, aplicada y verificable.
• 4 — Gestionado / optimizado: práctica medida y mejorada a lo largo del tiempo.

El ámbito: qué objetivos cuentan

Solo entran en el cálculo los objetivos aplicables a la categoría NIS 2 del cliente:

• Entidad esencial (EE): los 20 objetivos.
• Entidad importante (EI): la base de 15 objetivos (los objetivos 16 a 20 están reservados a las EE).
• Fuera del ámbito: la base de 15 objetivos se evalúa de todos modos, para dar una base de trabajo — sin que de ello se derive obligación normativa alguna.

Un objetivo no aplicable no penaliza la puntuación: se retira, numerador y denominador incluidos.

La fórmula

Para cada objetivo aplicable, el nivel alcanzado se compara con el umbral esperado, con tope en ese umbral:

puntuación = Σ mín(nivel, umbral) ÷ Σ umbral × 100

Dos consecuencias que conviene conocer:

• Superar un umbral no aporta nada. Un objetivo en nivel 4 donde se espera 3 cuenta como 3. La puntuación mide la cobertura de lo que se espera, no la excelencia — una carencia bloqueante no puede compensarse con un punto fuerte en otro lugar.
• Los umbrales funcionan de hecho como ponderaciones. Un objetivo de umbral esperado 3 pesa más que un objetivo de umbral 2, porque ambos entran en el denominador por el valor de su umbral. No hay ninguna otra ponderación oculta.

Lo que cuenta como nivel alcanzado

Por orden de prioridad: el nivel validado por el consultor y, en su defecto, el nivel declarado por el cliente. A falta de ambos, el objetivo cuenta como 0.

Una propuesta — calculada a partir de las constataciones o aportada automáticamente por un conector — no entra nunca en la puntuación adoptada. Es una regla de gobernanza y no un detalle de implementación: un informe presentado a un cliente o a un auditor solo puede apoyarse en elementos validados por una persona. Una propuesta no validada sigue siendo visible, señalada como «pendiente de validación», y alimenta únicamente la puntuación proyectada.

Puntuación proyectada

La puntuación proyectada aplica la misma fórmula, pero completa los objetivos sin nivel humano con la propuesta pendiente. Responde a la pregunta «¿dónde estaríamos si validara todo tal como está?». Siempre es superior o igual a la puntuación adoptada, e igual a ella cuando no hay ninguna propuesta pendiente. Si hay propuestas pendientes, aparece en la página de síntesis del informe del cliente, presentada expresamente como condicional («puntuación proyectada si se validaran N propuestas»): no sustituye nunca a la puntuación adoptada, que sigue siendo la cifra mostrada.

El radar por pilar

Cada pilar muestra la media aritmética de los niveles alcanzados en sus objetivos aplicables, comparada con la media de los umbrales. Es una media simple, sin ponderación: sirve para leer una silueta, no para establecer una clasificación.

Desviaciones y plan de acción

Un objetivo presenta una desviación en cuanto es aplicable y su nivel alcanzado es estrictamente inferior al umbral esperado. Esa constatación es determinista.

El plan de acción se construye a partir de esa lista: cada desviación genera una acción, cuya prioridad se deriva de la amplitud de la distancia al umbral y del efecto de la medida. Totalmente determinista.

El plan de acción no entra en el cálculo de la puntuación: se deriva de ella.

Lo que la puntuación no dice

• No acredita la conformidad con NIS 2. La conformidad se aprecia a la luz de los textos de transposición y, en su caso, de un control de la autoridad competente.
• No sustituye a una auditoría. Se apoya en declaraciones validadas por un consultor, completadas cuando es posible con mediciones técnicas procedentes de los conectores.
• No está pensada para comparar dos entidades entre sí: los umbrales son los mismos, los ámbitos y los contextos no.

Reproducibilidad

La fórmula es determinista: a respuestas idénticas, puntuación idéntica. No interviene ningún modelo de inteligencia artificial, ni en el cálculo ni en ningún otro lugar de la plataforma.