NIS2 Implementing Regulation (EU) 2024/2690
Qué es
La directiva europea de ciberseguridad (2022/2555) establece medidas de gestión de riesgos (artículo 21), notificación de incidentes (artículo 23) y responsabilidad de la dirección (artículo 20) para las entidades esenciales e importantes de 18 sectores. Los requisitos de ControlMapping son el anexo del Reglamento de Ejecución (UE) 2024/2690, que detalla las medidas para los proveedores de DNS, nube, centros de datos, servicios gestionados y otros proveedores digitales.
Quién lo necesita
Las entidades medianas y grandes de los sectores enumerados en los anexos I y II de la directiva, además de algunas entidades de cualquier tamaño. La legislación nacional decide los detalles. Consulte la guía de NIS2.
Cómo se evalúa
Las autoridades nacionales competentes supervisan: de forma proactiva para las entidades esenciales, y a posteriori para las entidades importantes. No existe un certificado general de NIS2, aunque los Estados miembros pueden exigir esquemas de certificación para algunos servicios.
Leer la guía: Cumplimiento de NIS2: guía práctica →
NIS2 aquí se refiere a las medidas técnicas del Reglamento de Ejecución (UE) 2024/2690, que se aplica directamente a proveedores de infraestructura digital y de servicios TIC; las demás entidades NIS2 siguen la transposición de su país del artículo 21. Los plazos de notificación de incidentes (artículo 23) no están incluidos en el alcance. El mapeo de ENISA no es vinculante.
Comparativas
Requisitos
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
| ID | Requisito | Temas | Con correspondencia en |
|---|---|---|---|
| 1. Policy on the security of network and information systems · 2 | |||
| 1.1 | Policy on the security of network and information systems | Política de gobernanza | 9 de 13 |
| 1.2 | Roles, responsibilities and authorities | Funciones y responsabilidades | 9 de 13 |
| 2. Risk management policy · 3 | |||
| 2.1 | Risk management framework | Gestión de riesgos, Evaluación de riesgos | 10 de 13 |
| 2.2 | Compliance monitoring | Cumplimiento | 10 de 13 |
| 2.3 | Independent review of information and network security | Cumplimiento | 10 de 13 |
| 3. Incident handling · 6 | |||
| 3.1 | Incident handling policy | Respuesta a incidentes | 12 de 13 |
| 3.2 | Monitoring and logging | Monitoreo cont., Registro y auditoría, Detección de intrusiones, SIEM / SOC | 11 de 13 |
| 3.3 | Event reporting | Notificación | 12 de 13 |
| 3.4 | Event assessment and classification | Detección de anomalías, SIEM / SOC | 10 de 13 |
| 3.5 | Incident response | Respuesta a incidentes, Análisis forense, Mitigación | 12 de 13 |
| 3.6 | Post-incident reviews | Lecciones aprendidas | 9 de 13 |
| 4. Business continuity and crisis management · 3 | |||
| 4.1 | Business continuity and disaster recovery plan | Planificación de la recuperación, Continuidad del negocio, Recuperación ante desastres | 10 de 13 |
| 4.2 | Backup management | Copias de seguridad y recuperación, Recuperación ante desastres | 11 de 13 |
| 4.3 | Crisis management | Comunicación, Continuidad del negocio, Comunicaciones y restauración | 11 de 13 |
| 5. Supply chain security · 2 | |||
| 5.1 | Supply chain security policy | Riesgo de la cadena de suministro, Gestión de riesgos de proveedores | 10 de 13 |
| 5.2 | Directory of suppliers and service providers | Gestión de riesgos de proveedores | 10 de 13 |
| 6. Security in acquisition, development and maintenance · 10 | |||
| 6.1 | Security in acquisition of ICT services, ICT systems or ICT products | Riesgo de la cadena de suministro, Seguridad en la nube, Gestión de riesgos de proveedores | 12 de 13 |
| 6.2 | Secure development life cycle | Desarrollo seguro | 8 de 13 |
| 6.3 | Configuration management | Configuración segura | 9 de 13 |
| 6.4 | Change management, repairs and maintenance | — | 3 de 13 |
| 6.5 | Security testing | Gestión de vulnerabilidades | 13 de 13 |
| 6.6 | Security patch management | Gestión de parches | 10 de 13 |
| 6.7 | Network security | Cortafuegos / Segmentación de red | 9 de 13 |
| 6.8 | Network segmentation | Cortafuegos / Segmentación de red, Confianza cero | 9 de 13 |
| 6.9 | Protection against malicious and unauthorised software | Protección de endpoints, Seguridad del correo electrónico | 10 de 13 |
| 6.10 | Vulnerability handling and disclosure | Gestión de vulnerabilidades | 13 de 13 |
| 7. Assessing the effectiveness of cybersecurity risk-management measures · 1 | |||
| 7.1 | Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | Gestión de riesgos | 10 de 13 |
| 8. Basic cyber hygiene practices and security training · 2 | |||
| 8.1 | Awareness raising and basic cyber hygiene practices | Concienciación y formación | 10 de 13 |
| 8.2 | Security training | Concienciación y formación | 10 de 13 |
| 9. Cryptography · 1 | |||
| 9.1 | Cryptography | Cifrado | 10 de 13 |
| 10. Human resources security · 4 | |||
| 10.1 | Human resources security | — | 1 de 13 |
| 10.2 | Verification of Background | Amenaza interna | 9 de 13 |
| 10.3 | Termination or change of employment procedures | — | 2 de 13 |
| 10.4 | Disciplinary process | Amenaza interna | 9 de 13 |
| 11. Access control · 7 | |||
| 11.1 | Access control policy | Control de acceso, Confianza cero | 11 de 13 |
| 11.2 | Management of access rights | Control de acceso | 11 de 13 |
| 11.3 | Privileged accounts and system administration accounts | Acceso privilegiado | 10 de 13 |
| 11.4 | Administration systems | Acceso privilegiado | 10 de 13 |
| 11.5 | Identification | Control de acceso | 11 de 13 |
| 11.6 | Authentication | Autenticación multifactor, Confianza cero | 10 de 13 |
| 11.7 | Multi-factor authentication | Autenticación multifactor | 10 de 13 |
| 12. Asset management · 5 | |||
| 12.1 | Asset classification | Clasificación de datos | 9 de 13 |
| 12.2 | Handling of assets | Protección de datos | 11 de 13 |
| 12.3 | Removable media policy | Protección de datos, DLP | 11 de 13 |
| 12.4 | Asset inventory | Gestión de activos | 13 de 13 |
| 12.5 | Deposit, return or deletion of assets upon termination of employment | — | 2 de 13 |
| 13. Environmental and physical security · 3 | |||
| 13.1 | Supporting utilities | Seguridad física | 8 de 13 |
| 13.2 | Protection against physical and environmental threats | Seguridad física | 8 de 13 |
| 13.3 | Perimeter and physical access control | Seguridad física | 8 de 13 |
Cobertura del tema
Temas con requisitos de NIS2 asignados (43):
Sin correspondencia en nuestros datos Ningún requisito de NIS2 (7):