Qué evalúa realmente una auditoría NIS2

Una auditoría NIS2 no busca un cortafuegos concreto ni una marca de antivirus. Verifica que la organización gestiona el riesgo de forma sistemática: que identifica sus activos críticos, que ha implantado medidas proporcionadas y que puede demostrarlo con documentación coherente y actualizada.

El enfoque es de gestión, no de producto. Por eso la preparación documental pesa tanto como la técnica: una buena medida sin evidencia de su aplicación es, a efectos de auditoría, una medida que no existe.

Paso 1 — Determinar el alcance y la categoría

Lo primero es confirmar si la entidad entra dentro del ámbito de la directiva y, en su caso, si se clasifica como esencial o importante. Esta distinción condiciona el nivel de supervisión y las consecuencias del incumplimiento.

  • Inventario de sectores y servicios prestados.
  • Tamaño de la organización y umbrales aplicables.
  • Dependencias de proveedores y servicios digitales relevantes.

Paso 2 — Gobernanza y responsabilidad de la dirección

NIS2 sitúa la responsabilidad en los órganos de dirección. No basta con delegar en el área técnica: la dirección debe aprobar las políticas, recibir formación y poder demostrar su implicación en la supervisión del riesgo.

Qué conviene tener documentado

  • Política de seguridad aprobada y fechada por la dirección.
  • Asignación formal de roles y responsabilidades.
  • Registros de formación y de revisiones periódicas.

Paso 3 — Gestión de riesgos y medidas técnicas

El núcleo de la directiva es un análisis de riesgos vivo que derive en medidas concretas. La auditoría querrá ver la trazabilidad completa: del riesgo identificado a la medida implantada y a la evidencia de su funcionamiento.

Áreas que rara vez pueden faltar

  • Análisis y tratamiento de riesgos con criterios definidos.
  • Seguridad de la cadena de suministro y de los proveedores.
  • Gestión de incidentes y de la continuidad de negocio.
  • Control de accesos, cifrado y registro de actividad.

Paso 4 — Notificación de incidentes

Uno de los puntos más sensibles es la capacidad de detectar y notificar incidentes significativos dentro de los plazos previstos. La preparación implica tener un procedimiento escrito, responsables claros y un canal de comunicación probado, no improvisado el día del incidente.

Errores frecuentes que conviene evitar

  • Llegar con políticas genéricas que nadie aplica en el día a día.
  • Confundir tener herramientas con tener un sistema de gestión.
  • Dejar la cadena de suministro fuera del análisis de riesgos.
  • No conservar evidencia datada de las revisiones y pruebas.

Conclusión

Afrontar una auditoría NIS2 sin sobresaltos es, sobre todo, una cuestión de orden y trazabilidad. Cuando el alcance está claro, la dirección implicada y la evidencia ordenada, la auditoría deja de ser un examen sorpresa para convertirse en la confirmación de un trabajo ya hecho. La clave es preparar con tiempo y documentar mientras se hace, no después.