Glosario de terminología de NIS2
229 términos de NIS2, del BSIG y del CRA, en palabras sencillas. Cuando un curso utiliza el término, verá la lección y la frase.
Las definiciones proceden de los diccionarios de nuestros cursos. Los mismos textos aparecen al pasar el cursor sobre un término en cualquier parte de la wiki. Un término con nombre alemán también figura con ese nombre y remite a la entrada en inglés, porque los textos de la UE y nuestros cursos utilizan el término inglés. Cuando conocemos la disposición en la que se basa una definición, se muestra debajo del texto.
#
- § 30 BSIG: Cybersecurity measures
- La disposición central de NIS2 en el derecho alemán. Enumera diez categorías de medidas de gestión de riesgos de ciberseguridad que todas las entidades sujetas al ámbito deben implementar. Cubre la evaluación de riesgos, la gestión de incidentes, la continuidad de negocio, la seguridad de la cadena de suministro, el desarrollo seguro, la evaluación de eficacia, la formación, la criptografía, el control de acceso y la autenticación multifactor. Las medidas deben ser 'adecuadas, proporcionadas y eficaces': no sobredimensionadas, pero genuinas.
- §30 BSIG
- § 32 BSIG: Incident reporting
- La secuencia obligatoria de notificación de incidentes. Cuando se produce un incidente significativo: alerta temprana al BSI en las 24 horas siguientes a tener conocimiento de él, notificación del incidente en las 72 horas, un informe intermedio si el BSI lo solicita y un informe final a más tardar un mes después de la notificación de 72 horas (un informe de progreso en su lugar, si el incidente sigue en curso). Cada fase tiene requisitos de contenido específicos. Los informes tardíos u omitidos son infracciones distintas con sus propias sanciones (§65(2) n.º 4 y 5 BSIG).
- §32 BSIG
- § 33 BSIG: Registration obligation
- La obligación jurídica de todas las entidades sujetas al ámbito de registrarse ante el BSI. Usted facilita información de la entidad, la clasificación sectorial, los datos de contacto de ciberseguridad y los rangos de direcciones IP. La falta de registro es una infracción autónoma sancionable con multas de hasta 500 000 EUR, separada de cualquier sanción por no implementar medidas de seguridad reales.
- §33 BSIG
- § 38 BSIG: Implementation and oversight duty
- La disposición que obliga al órgano de dirección a implantar las medidas de gestión de riesgos exigidas por el §30 BSIG y a supervisar su implantación (§38(1) BSIG), y a asistir a formación periódica sobre los riesgos de ciberseguridad (§38(3) BSIG). El deber de aprobar esas medidas se fija en el art. 20(1) NIS 2; el propio §38(1) menciona implantar y supervisar. El incumplimiento de los deberes de implantación y supervisión hace responsable a la dirección frente a su empresa por los daños causados culpablemente, conforme a las normas de derecho de sociedades de su forma jurídica (§38(2) BSIG). Si la empresa puede renunciar a tales reclamaciones depende de ese derecho de sociedades; el §38 no dice nada al respecto. Este es el párrafo que despierta la atención de los administradores.
- §38(1)-(3) BSIG
A
- Access control
- Las políticas y los mecanismos que restringen quién puede acceder a los sistemas y los datos.
Personas y acceso: (g) ciberhigiene y formación del personal, (h) políticas de criptografía, (i) seguridad de los recursos humanos, control de acceso y gestión de activos, y (j) autenticación multifactor y comunicaciones seguras.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general- access review
- Una comprobación periódica de quién tiene acceso a qué, para retirar los permisos que ya no son necesarios.
- Actively exploited vulnerability
- Una vulnerabilidad de su producto de la que existen pruebas fiables de que un agente malintencionado la ha explotado en un sistema sin el permiso del propietario del sistema (artículo 3(42) CRA). El desencadenante de la obligación de notificación del artículo 14(1) CRA, que comienza con una alerta temprana en un plazo de 24 horas (artículo 14(2)(a)). Se distingue de una vulnerabilidad divulgada públicamente pero aún no explotada.
La obligación se activa ante una vulnerabilidad explotada activamente, es decir, una vulnerabilidad que un actor malicioso está utilizando en ese momento contra sistemas reales sin autorización.
Fundamentos de CRA SBOM, Lección 3.2: Mantener su SBOM actualizado y vigilar las vulnerabilidades- acts of war
- Una categoría de exclusión que se activa cuando un ataque se atribuye a un Estado o a un actor patrocinado por un Estado.
El caso Mondelez demuestra el patrón: incluso una póliza de cien millones de dólares puede denegarse al amparo de una sola cláusula de exclusión cuando la aseguradora decide que el ataque se califica como acto de guerra.
Formación NIS2 para la dirección, Lección 4.1: El seguro no sustituye a las medidas de seguridad- Administrative fine
- La sanción que el regulador impone a la empresa conforme al artículo 34 de la Directiva NIS2.
El artículo 34 de la Directiva NIS2 fija la multa administrativa máxima para las entidades esenciales en el importe mayor entre diez millones de euros o el dos por ciento del volumen de negocios anual total a nivel mundial.
Formación NIS2 para la dirección, Lección 1.3: Sanciones y la prohibición de dirigir- All-hazards approach
- El principio del artículo 21(2) según el cual su deber abarca todas las amenazas para los sistemas, no solo los ciberataques, incluidas las amenazas físicas, medioambientales y humanas.
El artículo 21(2) exige una gestión de riesgos «basada en un enfoque de todos los riesgos cuyo objetivo es proteger las redes y los sistemas de información y el entorno físico de dichos sistemas frente a incidentes».
Formación NIS2 para la dirección, Lección 1.10: Enfoque de todos los riesgos y estado de la técnica- Appropriate and proportionate
- El criterio del artículo 21(1) NIS 2 para las medidas de ciberseguridad. Deben ser acordes con el riesgo y estar dimensionadas para la entidad (el §30(1) BSIG añade 'eficaces'). Un plan que nunca ha probado es difícil de defender como adecuado, porque el artículo 21(2)(f) exige procedimientos para evaluar si las medidas funcionan.
Emplea la regla de adecuadas y proporcionadas del artículo 21(1) NIS 2 y la regla de prueba del CIR 2024/2690 sección 4.1 del anexo.
Formación en ejercicios de simulación NIS 2, Lección 3.1: Cadencia anual, cuestionario final y certificado- Article 21(2)(g) NIS 2
- El apartado de la directiva que exige prácticas básicas de ciberhigiene y formación en ciberseguridad. La base jurídica de la formación específica del rol que cubre la atestación de este curso.
El PDF que recibe al final de este curso es la prueba de que completó la formación en ciberseguridad específica del rol conforme al artículo 21(2)(g) NIS 2 para el rol de facilitador.
Formación en ejercicios de simulación NIS 2, Lección 3.1: Cadencia anual, cuestionario final y certificado- Asset
- Todo aquello de lo que la empresa depende para operar: personas, procesos, suscripciones en la nube, edificios y hardware de TI.
Esta lección cubre qué significa "activo" bajo NIS2 y por qué el inventario de esos activos es el cimiento sobre el que se asienta cualquier otro control de seguridad.
Formación NIS2 para la dirección, Lección 2.2: ¿Qué es un activo?- Asset inventory
- La lista mantenida de todos los activos, actualizada a medida que cambia la empresa; el cimiento sobre el que se apoya cualquier otra medida de seguridad.
La lista completa de ellos se llama inventario de activos, y debe mantenerse actualizado: un inventario que era correcto el año pasado y no se ha actualizado ya es una brecha.
Formación NIS2 para la dirección, Lección 2.2: ¿Qué es un activo?- Asset management
- El proceso de identificar, inventariar y gestionar todos los activos de TI de los que depende la empresa.
Personas y acceso: (g) ciberhigiene y formación del personal, (h) políticas de criptografía, (i) seguridad de los recursos humanos, control de acceso y gestión de activos, y (j) autenticación multifactor y comunicaciones seguras.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general- Attestation
- El PDF fechado que este curso te entrega al finalizar. Prueba de la formación en ciberseguridad específica del rol conforme al artículo 21(2)(g) NIS 2 para el rol de facilitador. No es lo mismo que la formación del órgano de dirección conforme al artículo 20(2).
Al aprobar, la plataforma genera un attestation en PDF con fecha.
Fundamentos de CRA SBOM, Lección 4.1: Evaluación final. También en: Formación en ejercicios de simulación NIS 2, Lección 0.1- Attribution
- La identificación de quién está detrás de un ataque; determina si se aplican las cláusulas de actos de guerra y si se activa el derecho de sanciones.
Para la cláusula de actos de guerra en concreto, haga tres preguntas: cómo se define "acción hostil o bélica" en esta póliza, qué ocurre cuando la atribución no está clara, y cuál es la posición declarada de la aseguradora sobre los grupos de ransomware alineados con Estados.
Formación NIS2 para la dirección, Lección 4.4: Exclusiones de póliza comunes a las que prestar atención. También en: Lección 4.5; Lección 4.6- audit rights
- Cláusulas contractuales que le otorgan el derecho a inspeccionar las medidas de seguridad de un proveedor.
Tres: cláusulas contractuales: notificación de incidentes para que le avisen rápido cuando sufran una brecha, una línea base de seguridad y derechos de auditoría para que usted o un designado puedan comprobar su trabajo.
Formación NIS2 para la dirección, Lección 2.9: Medida 4 - Seguridad de la cadena de suministro. También en: Lección 3.9- Audit trail
- El registro cronológico de qué se sabía, cuándo y por quién; la razón por la que ocultar algo rara vez funciona.
- §30(1) sentence 3 BSIG, §61 BSIG
Ocultar una brecha o corregirla en silencio fracasan ambas cuando el rastro de auditoría cuenta la historia, y el rastro de auditoría siempre cuenta la historia.
Formación NIS2 para la dirección, Lección 3.11: Escenario - Descubrimiento de una brecha antes de la auditoría- Availability
- La propiedad de un sistema de estar accesible y utilizable cuando se necesita.
- awareness training
- Formación periódica en seguridad para todo el personal que cubre los fundamentos de la ciberhigiene; el CIR pide que se repita y se ofrezca a intervalos planificados (8.1.2, 8.1.3).
B
- back door
- Un punto de entrada oculto en un software que permite el acceso no autorizado, a menudo introducido por un atacante.
- breach of trust
- Un delito penal alemán (§ 266 StGB) por incumplir el deber de velar por los intereses patrimoniales de la empresa y causarle con ello una pérdida, por ejemplo gastando su dinero en contra de su interés.
En Alemania, la administración desleal del artículo 266 del código penal se aplica cuando se gasta dinero de la empresa en contra de los intereses de la empresa.
Formación NIS2 para la dirección, Lección 4.6: Decisiones sobre el pago de ransomware- BSI registration
- El registro obligatorio de las entidades sujetas al ámbito ante el BSI a través de su portal en línea. Exigido por el §33 BSIG con su propia disposición sancionadora. Usted facilita los datos de su empresa, la clasificación sectorial, una persona de contacto de ciberseguridad y los rangos de direcciones IP. Esta es una obligación jurídica autónoma: completarla no satisface sus demás requisitos de NIS2, pero no completarla es una infracción en sí misma.
- §33 BSIG
- BSI Standard 200-4
- La norma del BSI alemán sobre la gestión de la continuidad de negocio. Define cinco tipos de ejercicio (revisión del plan o comprobación documental, ejercicio de estado mayor, ejercicio de estado mayor ampliado, ejercicio de alerta, prueba funcional) y exige un plan anual de ejercicios.
El BSI Standard 200-4 y la norma internacional ISO 22301:2019 sección 8.6 nombran cuatro tipos de ejercicio:
Formación en ejercicios de simulación NIS 2, Lección 0.1: Qué es un ejercicio de simulación y por qué NIS 2 lo exige- BSI TR-02102
- La directriz técnica del BSI que enumera los algoritmos criptográficos recomendados actualmente; cítela en la política para que se mantenga actualizada automáticamente.
En lugar de memorizar nombres de algoritmos, la referencia adecuada para las empresas europeas es la BSI TR-02102, que el BSI actualiza a medida que evoluciona la investigación.
Formación NIS2 para la dirección, Lección 2.13: Medida 8 - Criptografía- BSIG
- La ley alemana del BSI (Ley sobre la Oficina Federal de Seguridad de la Información y sobre la seguridad de las tecnologías de la información de las entidades), la ley nacional que transpone NIS2 en Alemania.
- BSIG (Art. 1 of the Act of 2 December 2025, BGBl. 2025 I Nr. 301)
En Alemania, esa ley es el BSIG (la Ley federal de seguridad de la tecnología de la información, modificada por la Ley de implementación de NIS2).
Formación NIS2 para la dirección, Lección 1.1: Qué es NIS2 y por qué existe- Business continuity
- Los planes y procesos que garantizan la continuidad de las operaciones críticas durante y después de una interrupción.
Incidentes y continuidad: (b) gestión de incidentes y (c) continuidad del negocio: copias de seguridad, recuperación y gestión de crisis.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general- Business continuity (BCM)
- La disciplina global de mantener el negocio en funcionamiento a través de los incidentes; abarca copias de seguridad, recuperación ante desastres y gestión de crisis.
"¿Cuál es nuestro RTO en el sistema de negocio central, y qué dice la última prueba de recuperación en caso de catástrofe que fue el tiempo de recuperación real?"
Formación NIS2 para la dirección, Lección 2.8: Medida 3 - Continuidad del negocio- Business impact analysis (BIA)
- El análisis de cómo afectarían a las operaciones de la empresa unas interrupciones graves; fija requisitos de continuidad, como los tiempos de recuperación y la pérdida de datos aceptable (CIR 4.1.3), y hace que la matriz de riesgos se pueda llevar a la práctica.
El documento que traduce estas categorías en números de negocio se llama análisis de impacto en el negocio, BIA.
Formación NIS2 para la dirección, Lección 2.5: La tríada CIA y el impacto en el negocio- business interruption
- La pérdida financiera por la interrupción o el deterioro de las operaciones durante y después de un incidente.
Paga los costes de gestionar un incidente cibernético: investigación forense, respuesta a incidentes, notificación a clientes y pérdidas por interrupción de la actividad.
Formación NIS2 para la dirección, Lección 4.3: Seguro cibernético vs D&O: productos diferentes, coberturas diferentes- Business Judgment Rule
- El principio del derecho de sociedades que protege a los administradores de la responsabilidad personal por decisiones empresariales tomadas de buena fe con información razonable.
La regla de la decisión empresarial protege a los administradores de la responsabilidad personal por decisiones empresariales tomadas de buena fe, con información razonable y en beneficio de la empresa.
Formación NIS2 para la dirección, Lección 1.8: La business judgment rule no le protege
C
- chain of evidence
- El registro ininterrumpido de cómo se recopilaron, almacenaron y manejaron las pruebas digitales; se destruye al restaurar los sistemas antes del análisis forense.
Restaurar antes de que el análisis forense examine los sistemas comprometidos destruye la cadena de custodia y deja abierto el vector de entrada.
Formación NIS2 para la dirección, Lección 3.8: Escenario - Un ataque de ransomware un viernes por la tarde- CIA triad
- Confidencialidad, integridad, disponibilidad - los tres tipos de daño que un incidente puede causar; el lenguaje que emplea toda conversación sobre seguridad.
Bajo esa expresión hay un vocabulario de tres letras que usa toda conversación de seguridad: la tríada CIA.
Formación NIS2 para la dirección, Lección 2.5: La tríada CIA y el impacto en el negocio- CIR
- El Reglamento de Ejecución (UE) 2024/2690 de la Comisión, el conjunto detallado de normas técnicas para determinados proveedores digitales (como los proveedores de DNS, de nube, de centros de datos y de servicios gestionados, y los mercados en línea) y para los prestadores de servicios de confianza; se aplica directamente en todos los Estados miembros.
- Commission Implementing Regulation (EU) 2024/2690
Por encima de la directiva se sitúa una segunda pieza de legislación de la UE: el Reglamento de Ejecución (UE) 2024/2690 de la Comisión, el CIR.
Formación NIS2 para la dirección, Lección 1.1: Qué es NIS2 y por qué existe- CIR 2024/2690
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión. Especifica los requisitos técnicos y metodológicos para las medidas de ciberseguridad de determinadas entidades de infraestructura digital.
El CIR 2024/2690 artículo 3 define qué cuenta como significativo.
Formación en ejercicios de simulación NIS 2, Lección 1.1: La cascada de notificación del artículo 23 que su ejercicio debe ensayar. También en: Lección 2.2; Lección 2.3- CISO
- Chief Information Security Officer; la persona responsable del programa de ciberseguridad de la empresa.
Si su autoridad reguladora entrara mañana en su despacho y le preguntara por su ciberseguridad, ¿cuántas preguntas podría responder sin recurrir a su CISO?
Formación NIS2 para la dirección, Lección 3.1: Las preguntas que todo CEO debe responder- Civil liability
- El riesgo jurídico que permite a su propia empresa demandarle personalmente por daños conforme al derecho de sociedades nacional.
- Compliance gap
- Un elemento ausente o incompleto del programa de cumplimiento exigido.
Sin él, no pueden localizarle, y esa brecha de comunicación es en sí misma una brecha de conformidad.
Formación NIS2 para la dirección, Lección 1.4: La obligación de registro- compliance officer
- La persona responsable de garantizar que la empresa cumpla sus obligaciones legales y reglamentarias.
In situ, entrevista al CISO, al responsable de cumplimiento, y a usted.
Formación NIS2 para la dirección, Lección 3.7: Qué ocurre durante una auditoría del regulador- Compliance scope
- El conjunto de entidades y actividades que cubre una ley y, con ello, las obligaciones que se les aplican.
La diferencia es la intensidad de la aplicación, no el alcance de la conformidad.
Formación NIS2 para la dirección, Lección 1.2: Quién está dentro del ámbito: entidades esenciales e importantes- confidentiality
- Los datos solo son accesibles para las personas que deben verlos; una pérdida es una filtración.
- Conformity assessment
- El proceso que utiliza un fabricante para demostrar que su producto cumple los requisitos del CRA. Los productos de clase por defecto pueden autoevaluarse. Los productos importantes de clase I pueden autoevaluarse mediante normas armonizadas. Los productos importantes de clase II requieren un organismo de evaluación de la conformidad de terceros (CAB). El SBOM forma parte de la documentación técnica revisada durante la evaluación de la conformidad.
- containment
- Las acciones inmediatas adoptadas para impedir que un incidente se propague más.
Espere hasta el lunes y desperdiciará sesenta y cuatro horas de contención: el reloj regulatorio de veinticuatro horas corre tanto si declara como si no.
Formación NIS2 para la dirección, Lección 3.8: Escenario - Un ataque de ransomware un viernes por la tarde. También en: Lección 3.10- Coordinated vulnerability disclosure
- Un proceso en el que un investigador de seguridad notifica en privado una vulnerabilidad al fabricante antes de publicar los detalles. El Anexo I, Parte II, punto (5) del CRA exige a los fabricantes establecer y aplicar una política de divulgación coordinada de vulnerabilidades (véase también el artículo 13(8)). Suele implantarse mediante un archivo security.txt y un contacto de seguridad específico.
Documentación de diseño y desarrollo que incluya la arquitectura, las decisiones de diseño, el modelo de amenazas y la política de divulgación coordinada de vulnerabilidades
Fundamentos de CRA SBOM, Lección 1.3: La regla de conservación de 10 años y quién obtiene acceso- Coverage gap
- El espacio concreto entre lo que cubren sus pólizas y lo que el regulador puede reclamarle realmente; el lugar donde vive la responsabilidad personal no asegurada.
La brecha entre lo que supuso que cubría la póliza y lo que en realidad cubre es el espacio donde vive la sorpresa cara.
Formación NIS2 para la dirección, Lección 4.2: Seguro D&O: qué cubre y las exclusiones cibernéticas- Crisis declaration
- El acto formal que pone a la empresa en modo de respuesta a incidentes, que solo el órgano de dirección puede autorizar.
- crisis management
- Un equipo de crisis designado, con autoridad de decisión asignada de antemano y un plan documentado; NIS2 enumera la gestión de crisis junto a la continuidad de las actividades en el artículo 21(2)(c).
- critical asset
- Un activo cuya pérdida causaría un daño significativo a la empresa; priorizado en la BIA.
- Critical sectors
- Los sectores que la UE considera esenciales para la sociedad y la economía, enumerados en los anexos I y II de NIS2.
Un único conjunto de normas a escala de la UE sobre cómo las empresas de sectores críticos se protegen frente a los ciberataques y qué deben hacer cuando algo va mal.
Formación NIS2 para la dirección, Lección 1.1: Qué es NIS2 y por qué existe- critical vulnerability
- Una debilidad en un sistema valorada en el nivel de gravedad más alto; el CIR espera que las vulnerabilidades críticas para las operaciones se aborden sin demora indebida (6.10.2(c)).
- Cross-border impact
- El efecto de un incidente sobre servicios o entidades en otros Estados miembros de la UE.
Causa raíz, medidas de mitigación aplicadas y cualquier impacto transfronterizo.
Formación NIS2 para la dirección, Lección 1.11: La cascada de notificación y los incidentes significativos- Cryptography
- El uso del cifrado y técnicas afines para proteger la confidencialidad y la integridad de los datos.
Personas y acceso: (g) ciberhigiene y formación del personal, (h) políticas de criptografía, (i) seguridad de los recursos humanos, control de acceso y gestión de activos, y (j) autenticación multifactor y comunicaciones seguras.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general- CSIRT
- Computer Security Incident Response Team, un organismo nacional (un Estado miembro puede tener varios) que gestiona los incidentes; las notificaciones se dirigen a él o, en su caso, a la autoridad competente (artículo 23(1)).
- NIS2 Directive Art. 10, §32 BSIG
El artículo 23 de la Directiva NIS2 exige que las empresas afectadas notifiquen los incidentes significativos a su CSIRT nacional o a la autoridad competente.
Formación NIS2 para la dirección, Lección 1.11: La cascada de notificación y los incidentes significativos. También en: Lección 4.5; Formación en ejercicios de simulación NIS 2, Lección 1.1- Customer notification
- Su obligación, conforme al artículo 23(1), de informar cuando proceda a los clientes afectados sobre un incidente significativo, distinta de su obligación de notificación al regulador.
Si no pueden responder, suponga lo peor y prepare la notificación a los clientes.
Formación NIS2 para la dirección, Lección 3.9: Escenario - Brecha en un proveedor que afecta a sus datos de clientes- customer notification duty
- La obligación legal de informar a los clientes afectados, cuando proceda, de un incidente significativo susceptible de afectar negativamente al servicio que reciben.
El deber de notificación a los clientes del artículo 23(1): ese recae sobre usted de todos modos.
Formación NIS2 para la dirección, Lección 4.1: El seguro no sustituye a las medidas de seguridad- CVE
- Vulnerabilidades y exposiciones comunes. El identificador normalizado para vulnerabilidades de ciberseguridad de conocimiento público. Formato: CVE-YEAR-NUMBER (por ejemplo, CVE-2021-44228 para Log4Shell). Un SBOM vinculado a una base de datos de CVE indica qué vulnerabilidades conocidas afectan a su producto.
Cada entrada de vulnerabilidad hace referencia a un CVE y al componente que afecta.
Fundamentos de CRA SBOM, Lección 2.1: CycloneDX: el formato SBOM orientado a la seguridad. También en: Lección 1.1; Lección 3.2- Cyber hygiene
- Prácticas básicas de seguridad (aplicación de parches, gestión de contraseñas, concienciación) que reducen el riesgo cotidiano.
Personas y acceso: (g) ciberhigiene y formación del personal, (h) políticas de criptografía, (i) seguridad de los recursos humanos, control de acceso y gestión de activos, y (j) autenticación multifactor y comunicaciones seguras.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general. También en: Lección 2.12- Cyber insurance
- Una póliza que paga tras un incidente, cubriendo algunas pérdidas financieras, sujeta a exclusiones.
Mondelez tenía una póliza cibernética con Zurich Insurance por ese importe.
Formación NIS2 para la dirección, Lección 4.1: El seguro no sustituye a las medidas de seguridad. También en: Lección 4.3; Lección 4.4- CycloneDX
- Un estándar SBOM de OWASP en formato JSON o XML. Orientado a la seguridad: construido en torno al seguimiento de vulnerabilidades, las declaraciones VEX y la integración con CVE. La versión 1.7 es la actual. El CRA no nombra ningún formato preferido (el Anexo I, Parte II, punto (1) pide uno de uso común y legible por máquina), pero CycloneDX se corresponde directamente con los flujos de trabajo de gestión de vulnerabilidades.
Los formatos CycloneDX y SPDX cubren esa necesidad.
Fundamentos de CRA SBOM, Lección 1.1: Qué contiene un SBOM: componentes, versiones e identificadores. También en: Lección 0.1; Lección 2.1; Lección 2.2; Lección 4.1
D
- D&O insurance
- Seguro de responsabilidad de administradores y directivos (D&O); un producto distinto del seguro cibernético, que cubre las reclamaciones de responsabilidad personal contra el órgano de dirección.
Y la responsabilidad personal del artículo 20(1) la cubre el seguro D&O, no el seguro cibernético: son productos diferentes.
Formación NIS2 para la dirección, Lección 4.1: El seguro no sustituye a las medidas de seguridad. También en: Lección 4.3- deductible
- El importe que el asegurado debe pagar de su bolsillo antes de que comience la cobertura.
- Digital infrastructure entities
- Los tipos de entidad a los que se aplica directamente el CIR 2024/2690 (las 'entidades pertinentes' de su artículo 1): proveedores de DNS, registros de nombres de dominio de primer nivel (TLD), proveedores de nube, centros de datos, redes de distribución de contenidos (CDN), proveedores de servicios gestionados (MSP), proveedores de servicios de seguridad gestionados (MSSP), mercados en línea, motores de búsqueda, redes sociales, prestadores de servicios de confianza. No es idéntico al sector 'infraestructura digital' de NIS 2, que también abarca los puntos de intercambio de internet y los proveedores de telecomunicaciones.
El CIR 2024/2690 (el Reglamento de Ejecución de la Comisión que aporta detalle técnico para las entidades de infraestructura digital) es más directo.
Formación en ejercicios de simulación NIS 2, Lección 0.1: Qué es un ejercicio de simulación y por qué NIS 2 lo exige- Direct reporting line
- La estructura organizativa que da al menos a una persona una línea directa con el órgano de dirección en materia de ciberseguridad, exigida para los tipos de proveedores cubiertos por el Reglamento de Ejecución (UE) 2024/2690 (anexo 1.2.3) y comprobada por los auditores.
Si la empresa sufre entonces un incidente, la ausencia de una línea de reporte directa es prueba de que el órgano de dirección no supervisaba debidamente el programa de ciberseguridad.
Formación NIS2 para la dirección, Lección 3.6: CISO y líneas de reporte hacia el consejo de supervisión- Directive
- Una ley de la UE que indica a cada país el resultado que debe alcanzar; cada país redacta su propia ley nacional para aplicarla.
El nombre formal es Directiva (UE) 2022/2555, la Directiva NIS2.
Formación NIS2 para la dirección, Lección 1.1: Qué es NIS2 y por qué existe. También en: Lección 0.1- Directors and officers liability insurance
- El producto que se vende para proteger a los miembros del consejo de administración frente a reclamaciones por mala gestión; normalmente cubre las reclamaciones de daños por incumplimiento de deberes, pero no las multas a la empresa ni los incumplimientos cometidos a sabiendas.
El secretario del consejo le reenvía el presupuesto de renovación del seguro de responsabilidad de administradores y directivos de la empresa.
Formación NIS2 para la dirección, Lección 4.2: Seguro D&O: qué cubre y las exclusiones cibernéticas- disaster recovery
- Los procedimientos y la infraestructura que vuelven a poner el negocio en línea tras un evento grave.
- DPO
- Delegado de protección de datos. La función regulada en los artículos 37 a 39 GDPR (designación, posición, funciones). Muy recomendable en cualquier ejercicio de simulación en el que intervengan datos personales.
DPO o contacto de protección de datos cuando hay datos personales de por medio.
Formación en ejercicios de simulación NIS 2, Lección 1.2: Asignación de funciones: quién debe estar presente- Due care
- El nivel de atención y diligencia que se espera que ejerza un administrador razonable.
Formular la pregunta y documentar que la formuló ya forma parte del estándar de diligencia debida.
Formación NIS2 para la dirección, Lección 1.3: Sanciones y la prohibición de dirigir. También en: Lección 1.7; Lección 1.8; Lección 3.2- Due diligence
- El trabajo previo que debe realizar antes de firmar algo con peso jurídico; el criterio que determina si su aprobación es defendible.
- Duty of legality
- El deber específico de un administrador de cumplir la ley aplicable, que prevalece sobre la Business Judgment Rule: no se admite ninguna valoración sobre si se debe cumplir un deber legal.
El principio se denomina deber de legalidad: un administrador debe cumplir la legislación aplicable, y no se admite ninguna decisión empresarial sobre si cumplir o no un deber legal.
Formación NIS2 para la dirección, Lección 1.8: La business judgment rule no le protege
E
- Early warning
- La primera fase de notificación, exigible en las veinticuatro horas siguientes a tener conocimiento de un incidente significativo.
Primera: la alerta temprana.
Formación NIS2 para la dirección, Lección 1.11: La cascada de notificación y los incidentes significativos. También en: Lección 3.8; Formación en ejercicios de simulación NIS 2, Lección 1.1; Formación en ejercicios de simulación NIS 2, Lección 2.1- Encryption at rest
- El cifrado de los datos almacenados (en disco, en una base de datos o en una copia de seguridad) para que un robo físico no los exponga.
El cifrado en reposo significa que los datos que residen en disco, en una base de datos o en una copia de seguridad están codificados de forma que quien robe el almacenamiento no pueda leerlos.
Formación NIS2 para la dirección, Lección 2.13: Medida 8 - Criptografía- Encryption in transit
- El cifrado de los datos en tránsito entre sistemas para que una interceptación no los exponga.
El cifrado en tránsito significa que los datos que se mueven entre sistemas están codificados de forma que quien intercepte el tráfico no pueda leerlos.
Formación NIS2 para la dirección, Lección 2.13: Medida 8 - Criptografía- ENISA
- Agencia de la Unión Europea para la Ciberseguridad. Recibe, junto con el CSIRT designado como coordinador, las notificaciones de vulnerabilidades e incidentes del artículo 14 CRA a través de la Plataforma Única de Notificación (operativa desde el 11 de septiembre de 2026). Conforme al artículo 23 de NIS 2, las entidades notifican a su CSIRT o a su autoridad competente, no a la ENISA; la ENISA recibe información sobre incidentes transfronterizos e informes de síntesis trimestrales de los organismos nacionales.
- ENISA registry
- El registro que la ENISA mantiene conforme al artículo 27 de NIS2 de proveedores de servicios de DNS, registros de nombres de dominio de primer nivel, entidades que prestan servicios de registro de nombres de dominio, proveedores de servicios de computación en nube, de servicios de centro de datos y de redes de distribución de contenidos, proveedores de servicios gestionados y de servicios de seguridad gestionados, así como proveedores de mercados en línea, de motores de búsqueda en línea y de plataformas de servicios de redes sociales, alimentado con la información de los puntos de contacto únicos.
- Essential entity
- Una gran empresa de un sector del anexo I, o determinados proveedores, como los proveedores de servicios de DNS, con independencia de su tamaño, sujetos a supervisión proactiva.
- §28(1), §61(5), §65(5) BSIG, NIS2 Directive Art. 3(1)
Si está clasificado como entidad esencial, el regulador puede auditarle cuando lo decida: sin motivo, sin incidente, sin necesidad de denuncia.
Formación NIS2 para la dirección, Lección 1.2: Quién está dentro del ámbito: entidades esenciales e importantes- Exclusion
- Una categoría de pérdida nombrada que la póliza no cubre (actos de guerra, vulnerabilidades preexistentes, sanciones).
El seguro reparte la pérdida financiera a posteriori, y solo la pérdida financiera, con sujeción a las exclusiones que redactaron los abogados de la aseguradora.
Formación NIS2 para la dirección, Lección 4.1: El seguro no sustituye a las medidas de seguridad. También en: Lección 4.2- exclusion clause
- La redacción contractual concreta que excluye de la cobertura una categoría de pérdida.
El caso Mondelez demuestra el patrón: incluso una póliza de cien millones de dólares puede denegarse al amparo de una sola cláusula de exclusión cuando la aseguradora decide que el ataque se califica como acto de guerra.
Formación NIS2 para la dirección, Lección 4.1: El seguro no sustituye a las medidas de seguridad. También en: Lección 4.4- exfiltration
- El acto de robar datos de sus sistemas; el punto en el que la contención puede convertirse en una obligación de notificación.
Tercera pregunta: ¿hubo exfiltración de datos?
Formación NIS2 para la dirección, Lección 3.10: Escenario - Phishing con éxito: ¿significativo o no?
F
- Fiduciary duty
- La obligación legal de un administrador de actuar en el mejor interés de la empresa.
- Final report
- La tercera fase de notificación, exigible a más tardar un mes después de la notificación del incidente, que abarca la causa raíz, la mitigación y el impacto transfronterizo.
Tercera: el informe final.
Formación NIS2 para la dirección, Lección 1.11: La cascada de notificación y los incidentes significativos. También en: Formación en ejercicios de simulación NIS 2, Lección 1.1; Formación en ejercicios de simulación NIS 2, Lección 2.1- forensics
- La investigación técnica de un incidente cibernético para determinar la causa, el alcance y el impacto.
Nueve: la contratación de análisis forense o asesoría jurídica externa en incidentes graves.
Formación NIS2 para la dirección, Lección 3.5: Lo que no puede delegar - la lista de verificación. También en: Lección 3.8; Lección 3.10; Lección 4.3
G
- Good-faith disclosure
- El acto de comunicar una brecha al regulador antes de que la descubra, lo que los reguladores ponderan como factor atenuante en las decisiones de ejecución.
La divulgación de buena fe suele dar lugar a una orden de subsanación o una advertencia, no a una multa.
Formación NIS2 para la dirección, Lección 3.11: Escenario - Descubrimiento de una brecha antes de la auditoría- Grype
- Un escáner de vulnerabilidades de código abierto de Anchore. Toma un SBOM como entrada y contrasta los componentes con la NVD, la GitHub Advisory Database y otras fuentes de vulnerabilidades. La herramienta que convierte un SBOM en una supervisión continua de vulnerabilidades, que apoya las obligaciones de gestión de vulnerabilidades del Anexo I, Parte II y le ayuda a detectar vulnerabilidades que pueden desencadenar una notificación conforme al artículo 14.
Grype de Anchore es la herramienta estándar para el bucle de supervisión.
Fundamentos de CRA SBOM, Lección 3.2: Mantener su SBOM actualizado y vigilar las vulnerabilidades. También en: Lección 2.1; Lección 4.1
H
- hardware token
- Un dispositivo físico (por ej. YubiKey) que genera o almacena un segundo factor de autenticación.
- Hash
- Una huella digital de longitud fija de un archivo calculada mediante un algoritmo como SHA-256. Incluir un hash para cada componente del SBOM permite verificar que el componente no ha sido alterado desde que se generó el SBOM. Tanto CycloneDX como SPDX admiten hashes por componente.
Un hash es una huella digital de longitud fija del archivo del componente.
Fundamentos de CRA SBOM, Lección 1.1: Qué contiene un SBOM: componentes, versiones e identificadores- Holding statement
- Un breve reconocimiento basado en hechos, emitido pronto, antes de conocerlos todos, que da tiempo para aclararlos bien sin dar la impresión de guardar silencio.
Segunda: emita una declaración provisional en un plazo de dos horas.
Formación NIS2 para la dirección, Lección 4.5: Las primeras 48 horas de comunicación de crisis- Hot wash
- La reunión de balance justo después del ejercicio. Misma sala, mismo día, alrededor de veinte minutos. Cuatro rondas: qué salió bien, qué salió mal, qué nos sorprendió, qué debe cambiar.
El asesoramiento corresponde al debrief en caliente después del ejercicio.
Formación en ejercicios de simulación NIS 2, Lección 1.3: La separación entre facilitador y participante. También en: Lección 2.2; Lección 2.3
I
- Impact
- Lo grave que sería si el suceso ocurriera: medido en dinero, tiempo de inactividad, clientes o daños.
Esa exposición se mide con dos números: la probabilidad (con qué frecuencia podría producirse un evento adverso) y el impacto (cuánto le costaría si ocurriera, medido en dinero, tiempo de inactividad, clientes o daño).
Formación NIS2 para la dirección, Lección 2.1: Riesgo = Probabilidad x Impacto- Important entity
- Una empresa de un sector del anexo I o II que está incluida en el ámbito de aplicación pero no es esencial: mediana en el anexo I, mediana o grande en el anexo II. Está sujeta a supervisión reactiva.
- §28(2), §62, §65(5) BSIG, NIS2 Directive Art. 3(2)
Si está clasificado como entidad importante, el regulador solo le audita cuando algo lo desencadena: un incidente, una denuncia, un informe.
Formación NIS2 para la dirección, Lección 1.2: Quién está dentro del ámbito: entidades esenciales e importantes- Improvement item
- Un punto de acción que surge del balance. Tiene una descripción, un responsable, un plazo, un enlace a la medida del artículo 21(2) en la que cierra una brecha y un criterio claro de finalización.
Cada uno se convierte en un elemento de mejora con un responsable, un plazo y un enlace a la medida pertinente del artículo 21(2).
Formación en ejercicios de simulación NIS 2, Lección 2.2: El balance en caliente (hot wash)- In scope
- Sujeto a los requisitos de la ley; la empresa entra dentro de los criterios de aplicación.
- Incident contact
- La persona que su empresa designa para la comunicación con el regulador en caso de incidente de seguridad. Dado el plazo de 24 horas para la alerta temprana, es una buena práctica planificar también su disponibilidad fuera del horario de oficina.
- Incident handling
- Los procedimientos para detectar, responder y recuperarse de incidentes de seguridad.
Incidentes y continuidad: (b) gestión de incidentes y (c) continuidad del negocio: copias de seguridad, recuperación y gestión de crisis.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general- Incident notification
- La segunda fase de notificación, exigible en las setenta y dos horas, con la gravedad, el impacto y los indicadores de compromiso.
Segunda: la notificación de incidente.
Formación NIS2 para la dirección, Lección 1.11: La cascada de notificación y los incidentes significativos. También en: Formación en ejercicios de simulación NIS 2, Lección 1.1; Formación en ejercicios de simulación NIS 2, Lección 2.1- incident response plan
- El procedimiento documentado para detectar, contener y recuperarse de un incidente de seguridad.
Si no conoce la respuesta a las tres antes de que se produzca la llamada, su plan de respuesta a incidentes ya ha fracasado.
Formación NIS2 para la dirección, Lección 2.7: Medida 2 - Gestión de incidentes. También en: Lección 3.8; Lección 4.6- Indemnification
- Una cláusula contractual que obliga a la parte culpable a compensarle por los costes que causó su fallo.
En concreto: plazos de notificación de incidentes, derechos de auditoría, indemnización.
Formación NIS2 para la dirección, Lección 3.9: Escenario - Brecha en un proveedor que afecta a sus datos de clientes- Indicators of compromise
- Artefactos técnicos (direcciones IP, hashes, dominios) que evidencian una brecha de seguridad.
Una evaluación actualizada que incluya la gravedad, el impacto y, cuando estén disponibles, los indicadores de compromiso.
Formación NIS2 para la dirección, Lección 1.11: La cascada de notificación y los incidentes significativos- Information security policy
- El documento de seguridad de máximo nivel, que se sitúa por encima de cualquier otra regla de seguridad de la empresa; el primer documento que lee el auditor.
El documento de nivel superior se llama política de seguridad de la información.
Formación NIS2 para la dirección, Lección 2.6: Medida 1 - Análisis de riesgos y políticas de seguridad de la información. También en: Lección 3.2- Initial compromise
- El primer momento en que un atacante entró en su entorno. Los operadores de ransomware suelen permanecer días, a veces semanas, en el entorno antes de cifrar nada. El punto de restauración correcto es anterior a ese momento, no solo anterior al cifrado.
Respuesta correcta: La copia de seguridad más reciente que sea anterior al compromiso inicial, confirmada como limpia por el equipo forense.
Formación en ejercicios de simulación NIS 2, Lección 2.1: Un escenario completo: ransomware en el ERP- Insider threat
- Un riesgo que se origina dentro de la organización: empleados, contratistas o socios.
Los ciberataques, las intrusiones físicas, los incendios, las inundaciones, los cortes de suministro eléctrico, los fallos de proveedores, las amenazas internas y el error humano están todos dentro del ámbito de aplicación.
Formación NIS2 para la dirección, Lección 1.10: Enfoque de todos los riesgos y estado de la técnica- integrity
- Los datos son exactos y no han sido manipulados; una pérdida es una corrupción.
- Intermediate report
- Una actualización de estado conforme al artículo 23(4)(c) NIS 2 enviada a petición del CSIRT. Sin plazo fijo. Usted responde cuando se lo solicitan.
El artículo 23(4)(c) dice que el CSIRT puede solicitar un informe intermedio cuando lo desee.
Formación en ejercicios de simulación NIS 2, Lección 1.1: La cascada de notificación del artículo 23 que su ejercicio debe ensayar- Internal controls
- Los procesos y salvaguardas que una empresa mantiene para asegurar el cumplimiento y gestionar el riesgo.
La acusación era que faltaban los controles internos y las divulgaciones exigidos por la ley.
Formación NIS2 para la dirección, Lección 1.8: La business judgment rule no le protege- ISMS
- Sistema de gestión de la seguridad de la información - el conjunto completo de políticas, procesos y personas que gestionan la seguridad.
El conjunto completo de documentos, personas y ciclos de revisión que los rodean es lo que su CISO llama un ISMS, un Sistema de Gestión de la Seguridad de la Información.
Formación NIS2 para la dirección, Lección 2.6: Medida 1 - Análisis de riesgos y políticas de seguridad de la información- IT-Grundschutz
- La metodología de ciberseguridad propia del BSI: un marco completo de módulos de seguridad (Bausteine) con orientaciones de implantación paso a paso. Para las empresas no es obligatoria: el BSI indica que una certificación IT-Grundschutz puede facilitar la acreditación del cumplimiento de NIS2, pero debe contrastarse con las medidas exigidas por el §30 BSIG y completarse cuando sea necesario. El §44(2) BSIG considera que los requisitos mínimos basados en Grundschutz cumplen el §30, pero solo para las entidades de la administración federal.
- BSI-Standards 200-1 through 200-4; §44(2) BSIG applies to federal administration entities only
J
- Joiner-mover-leaver
- El proceso de conceder accesos al incorporarse, ajustarlos al cambiar de rol y revocarlos al salir.
HH. y TI a lo largo de todo el ciclo de vida del empleado (incorporación, cambios de rol y baja) se llama proceso de incorporación-cambio-baja.
Formación NIS2 para la dirección, Lección 2.14: Medida 9 - Seguridad de RR. HH., control de acceso y gestión de activos
K
- Key management
- Generar, almacenar, rotar y destruir las claves criptográficas que hacen funcionar el cifrado; donde la criptografía falla con más frecuencia.
La gestión de claves decide si el cifrado es sólido o hueco.
Formación NIS2 para la dirección, Lección 2.13: Medida 8 - Criptografía- Key performance indicator
- Las métricas que muestran si las medidas de seguridad funcionan según lo previsto.
Las reuniones de reporte deben ser periódicas, documentadas y contener contenido específico: KPI, KRI, resumen de incidentes, estado del presupuesto, panorama de amenazas, y decisiones que requieran escalado.
Formación NIS2 para la dirección, Lección 3.6: CISO y líneas de reporte hacia el consejo de supervisión- Key risk indicator
- Las métricas que muestran dónde se sitúa la exposición cibernética de la empresa en un momento dado y cómo está evolucionando.
Las reuniones de reporte deben ser periódicas, documentadas y contener contenido específico: KPI, KRI, resumen de incidentes, estado del presupuesto, panorama de amenazas, y decisiones que requieran escalado.
Formación NIS2 para la dirección, Lección 3.6: CISO y líneas de reporte hacia el consejo de supervisión- key rotation
- Sustituir las claves criptográficas según un calendario para limitar el daño si una clave se ve comprometida.
- KPI
- Key Performance Indicator - mide el buen funcionamiento de un proceso de seguridad (por ej. el porcentaje de parches aplicados a tiempo).
Los KPI (Key Performance Indicators, indicadores clave de rendimiento) miden cómo de bien funciona un proceso (por ejemplo, qué porcentaje de parches se aplicaron a tiempo).
Formación NIS2 para la dirección, Lección 2.11: Medida 6 - Evaluación de la eficacia- KRI
- Key Risk Indicator - mide cuánto riesgo soporta la empresa en la actualidad (por ej. el número de vulnerabilidades críticas abiertas).
Los KRI (Key Risk Indicators, indicadores clave de riesgo) miden cuánto riesgo está asumiendo en este momento (por ejemplo, cuántas vulnerabilidades críticas están abiertas ahora mismo).
Formación NIS2 para la dirección, Lección 2.11: Medida 6 - Evaluación de la eficacia- KRITIS
- Los operadores de instalaciones críticas que superan los umbrales definidos en el reglamento BSI-KritisV (normalmente 500 000 personas atendidas). Los operadores KRITIS se clasifican automáticamente como entidades esenciales (en el BSIG: besonders wichtige Einrichtungen) y tienen obligaciones adicionales a las de NIS2 estándar: prueba de sus medidas cada tres años, sistemas de detección de ataques obligatorios y contenido adicional en los informes de incidentes (tipo de instalación y servicio crítico). Los plazos de notificación son los mismos que para otras entidades.
- §2 No. 22, §28(1), §31(2), §32(3), §39 BSIG; §2 No. 3 KRITISDachG; BSI-KritisV
L
- Layered insurance
- El enfoque de combinar pólizas D&O, cibernéticas y de defensa jurídica para cerrar las brechas entre ellas.
- Least privilege
- El principio según el cual cada usuario tiene solo el acceso que necesita para su trabajo - ni más, ni menos.
- Leitfragen
- El término alemán para las preguntas estructuradas del capítulo 3 de la ayuda para la formación, no vinculante, que el BSI ofrece a los órganos de dirección (§ 38 Abs. 3 BSIG).
Su auditor o consultor llamará a esta lista las Leitfragen del BSI.
Formación NIS2 para la dirección, Lección 3.1: Las preguntas que todo CEO debe responder- Lessons learned
- El documento escrito posterior a un incidente que registra la causa raíz y actualiza el plan; DER.2.1.A17 indica que la dirección debería (SOLLTE) ser informada de los incidentes cada año.
Tiene cinco partes, y el auditor comprueba si las cinco existen y se han probado: detección (cómo se da cuenta de que algo va mal), clasificación (cuán grave es y si cruza el umbral de notificación de la Lección 1.11), respuesta (quién hace qué y en qué orden), recuperación (cómo restablece el servicio, lo cual enlaza con la Medida 3, continuidad de negocio) y lecciones aprendidas (qué ocurrió, por qué y qué cambia como consecuencia).
Formación NIS2 para la dirección, Lección 2.7: Medida 2 - Gestión de incidentes- Likelihood
- Con qué frecuencia podría producirse un suceso adverso en un periodo determinado.
Esa exposición se mide con dos números: la probabilidad (con qué frecuencia podría producirse un evento adverso) y el impacto (cuánto le costaría si ocurriera, medido en dinero, tiempo de inactividad, clientes o daño).
Formación NIS2 para la dirección, Lección 2.1: Riesgo = Probabilidad x Impacto
M
- malware
- Software malicioso diseñado para dañar, interrumpir u obtener acceso no autorizado a los sistemas.
En 2017, la empresa alimentaria Mondelez fue golpeada por el malware NotPetya y sufrió daños por unos cien millones de dólares.
Formación NIS2 para la dirección, Lección 4.1: El seguro no sustituye a las medidas de seguridad- Management approval
- El acto formal por el que el órgano de dirección da su aprobación firmada a las medidas de gestión de riesgos de ciberseguridad, como exige el artículo 20(1), y que crea un registro fechado de consentimiento informado.
- Management body
- El equipo directivo de la empresa: el director general (CEO), los administradores, los miembros del consejo de administración y cualquier persona llamada por la ley o por los estatutos a gestionar el negocio y a representar a la empresa.
- § 2 No. 13 BSIG
La directiva crea responsabilidad personal para el órgano de dirección, razón por la cual se dirige directamente al equipo directivo y no solo a TI.
Formación NIS2 para la dirección, Lección 1.1: Qué es NIS2 y por qué existe. También en: Lección 0.1; Lección 1.5; Formación en ejercicios de simulación NIS 2, Lección 0.1; Formación en ejercicios de simulación NIS 2, Lección 1.2- Management body training
- El deber de formación creado por el artículo 20(2), distinto de la formación de concienciación que reciben sus empleados; una obligación personal para cada miembro del órgano de dirección.
- Management liability
- La responsabilidad personal de la dirección de la empresa (Geschäftsführung) frente a su propia empresa por el cumplimiento de NIS2 conforme al §38 BSIG. La dirección debe implantar las medidas de gestión de riesgos conforme al §30, supervisar su implantación y recibir formación periódica en ciberseguridad (§38(1) y (3)). El incumplimiento de los deberes de implantación y supervisión hace responsable a la dirección frente a la empresa por los daños causados culpablemente, conforme a las normas de derecho de sociedades de su forma jurídica (§38(2)). El deber de aprobar esas medidas se fija en el art. 20(1) NIS 2; el propio §38(1) menciona implantar y supervisar. Si la empresa puede renunciar a tales reclamaciones depende de ese derecho de sociedades; el §38 no dice nada al respecto. Esta es la disposición que traslada la ciberseguridad del departamento de TI a la sala del consejo.
- §38(1)-(3) BSIG
- management review
- Una evaluación periódica en la que el órgano de dirección revisa la postura de seguridad de la organización; la norma BSI-Standard 200-1 (apartado 4.3) la recomienda como parte de un sistema de gestión de la seguridad de la información.
El BSI Standard 200-1, Sección 7.4, fija esto como la única frecuencia anual obligatoria del marco: la revisión por la dirección formal en la que usted, el órgano de dirección, se sienta y evalúa si todo el programa de seguridad sigue funcionando.
Formación NIS2 para la dirección, Lección 2.4: Por qué la gestión del riesgo es continua. También en: Lección 2.11; Lección 3.3; Lección 5.1- Management review protocol
- El documento fechado y firmado que registra qué se revisó, qué se decidió y quién es responsable de cada acción de seguimiento de la revisión anual por la dirección.
La revisión por la dirección es un documento fechado y firmado (el protocolo de la revisión por la dirección) que registra qué se revisó, qué se decidió y quién es responsable de cada acción de seguimiento.
Formación NIS2 para la dirección, Lección 2.11: Medida 6 - Evaluación de la eficacia- Manager ban
- La facultad, conforme al artículo 32(5)(b) y solo para las entidades esenciales, de hacer que se prohíba temporalmente a la persona a nivel de director general o representante legal ejercer funciones de dirección en dicha entidad cuando los requerimientos del regulador se desatienden una vez vencido el plazo.
Si una entidad esencial no los cumple, el regulador puede solicitar una prohibición de ejercer como directivo temporal en virtud del artículo 32(5)(b), que dura hasta que se subsanen las deficiencias.
Formación NIS2 para la dirección, Lección 1.3: Sanciones y la prohibición de dirigir- Mandatory incident reporting
- Su deber legal de notificar al regulador un incidente significativo dentro de la secuencia de plazos de 24 horas / 72 horas / un mes definida en el artículo 23.
- MUK
- La cuenta empresarial central de Alemania para los servicios de la administración federal, autenticada mediante certificados ELSTER. Un requisito previo para el registro ante el BSI: las empresas deben crear primero una cuenta MUK y luego acceder al portal de registro del BSI a través de ella. Si todavía no tiene una cuenta MUK, no puede registrarse ante el BSI: este es el primer paso práctico antes de iniciar cualquier trabajo de cumplimiento.
- OZG, ELSTER
- Multi-factor authentication
- Una medida de seguridad que exige dos o más factores de verificación para acceder a un sistema.
Si aprobó la autenticación multifactor para los inicios de sesión del personal, usted utiliza autenticación multifactor.
Formación NIS2 para la dirección, Lección 1.5: Su deber de aprobar y supervisar. También en: Lección 1.9- Multi-factor authentication (MFA)
- Un inicio de sesión que exige dos o más factores de verificación, como una contraseña más un token de hardware o un teléfono; NIS2 lo pide cuando proceda (artículo 21(2)(j)), y el CIR menciona las cuentas con privilegios y la clasificación del activo al que se accede (11.3.2, 11.7.1).
- §30(2)(10) BSIG
La razón más importante por la que los secuestros de cuentas tienen éxito es que la autenticación multifactor no estaba activada.
Formación NIS2 para la dirección, Lección 2.15: Medida 10 - Autenticación multifactor y comunicaciones seguras
N
- NACE code
- La Clasificación Estadística de Actividades Económicas en la Comunidad Europea (Nomenclature statistique des Activités économiques dans la Communauté Européenne). NIS2 y el BSIG se refieren a los códigos NACE Rev. 2 solo para unos pocos tipos de entidad, como las actividades farmacéuticas, químicas y determinadas actividades de fabricación. La mayoría de los sectores se definen por el tipo de actividad. El BSI no le dice si usted está dentro del ámbito de aplicación; lo comprueba usted mismo.
- Regulation (EC) No 1893/2006 (NACE Rev. 2); NIS2 Annex I point 5 and Annex II point 5; Anlage 1 and 2 BSIG
- named insured
- La persona o entidad concreta que figura en una póliza como la protegida por la cobertura.
Esa reclamación personal debe defenderse mediante una póliza que le nombre a usted personalmente como asegurado nombrado.
Formación NIS2 para la dirección, Lección 4.3: Seguro cibernético vs D&O: productos diferentes, coberturas diferentes- nation-state
- Un país que realiza operaciones cibernéticas a través de sus servicios de inteligencia o militares.
La exclusión de actos de guerra o de ataque de un Estado-nación: Lloyd's endureció esta redacción en 2023 a raíz del caso Mondelez.
Formación NIS2 para la dirección, Lección 4.4: Exclusiones de póliza comunes a las que prestar atención- NIS2 Annex I: High-criticality sectors
- La lista de sectores cuyas entidades se clasifican como 'esenciales' (entidades esenciales) cuando superan los límites aplicables a las empresas medianas, es decir, son grandes empresas; las entidades medianas de estos sectores son entidades importantes. En el BSIG la clase esencial se denomina 'besonders wichtige Einrichtungen'. Incluye: energía (electricidad, petróleo, gas, hidrógeno, calefacción urbana), transporte (aéreo, ferroviario, por agua, por carretera), banca, infraestructuras de los mercados financieros, salud, agua potable, aguas residuales, infraestructura digital, gestión de servicios de TIC, administración pública y espacio.
- NIS2 Directive Annex I and Art. 3(1)(a), Anlage 1 and §28(1) BSIG
- NIS2 Annex II: Other critical sectors
- La lista de sectores cuyas entidades se clasifican como 'importantes' (wichtige Einrichtungen) cuando cumplen el umbral de tamaño. Incluye: servicios postales y de mensajería, gestión de residuos, fabricación y distribución de productos químicos, producción y distribución de alimentos, fabricación (productos sanitarios, electrónica, maquinaria, vehículos), proveedores digitales (mercados en línea, motores de búsqueda, redes sociales) y organizaciones de investigación.
- Directiva NIS2 anexo II, §28(2) BSIG
- NIS2 Directive
- La Directiva (UE) 2022/2555, la ley de ciberseguridad de toda la UE para las entidades esenciales e importantes.
- Directive (EU) 2022/2555
El nombre formal es Directiva (UE) 2022/2555, la Directiva NIS2.
Formación NIS2 para la dirección, Lección 1.1: Qué es NIS2 y por qué existe- NIS2UmsuCG
- La transposición nacional de la Directiva NIS2 en Alemania, oficialmente el 'Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung', llamada en los proyectos 'NIS-2 Implementation and Cybersecurity Strengthening Act'. Aprobada por el Bundestag el 13 de noviembre de 2025, publicada el 5 de diciembre de 2025 y en vigor desde el 6 de diciembre de 2025. Introduce un nuevo BSIG e incorpora las obligaciones de NIS2 al derecho alemán. Cuando el derecho alemán se refiere al 'cumplimiento de NIS2', se refiere al cumplimiento del BSIG.
- Act of 2 December 2025, BGBl. 2025 I Nr. 301
- non-conformance
- Un incumplimiento específico de un requisito legal; el nombre formal de un hallazgo.
Un hallazgo es una no conformidad: algo que la ley exige que usted no tiene o no hace.
Formación NIS2 para la dirección, Lección 3.7: Qué ocurre durante una auditoría del regulador- Non-delegable
- No puede transferirse a otra persona ni ser ejercido por otra persona en su nombre.
El deber de formación es personal e indelegable.
Formación NIS2 para la dirección, Lección 1.6: Su obligación de formación. También en: Lección 0.1; Lección 4.6- Non-delegable duty
- Un deber que la ley asigna al propio órgano de dirección: aprobar y supervisar las medidas de gestión de riesgos (art. 20(1)). El CISO o el equipo de cumplimiento pueden preparar y llevar a cabo el trabajo, pero la responsabilidad sigue siendo de la dirección.
Cuando la línea sea difusa, trate la decisión como indelegable y fírmela usted mismo.
Formación NIS2 para la dirección, Lección 3.5: Lo que no puede delegar - la lista de verificación- Notification clause
- La cláusula que le exige avisar a la aseguradora en un plazo muy ajustado; de lo contrario, corre el riesgo de perder la cobertura.
La cláusula de notificación tardía: anula la cobertura si presenta la reclamación a la aseguradora después del plazo estricto de la póliza.
Formación NIS2 para la dirección, Lección 4.4: Exclusiones de póliza comunes a las que prestar atención- notification window
- El plazo estricto dentro del cual debe comunicarse un siniestro al asegurador.
O
- Observation
- Un aspecto que el auditor señala como mejorable y que no constituye una infracción legal; por sí sola no conlleva ninguna sanción, pero la autoridad puede ordenar que se apliquen las recomendaciones de la auditoría (art. 32(4)(f) y 33(4)(f)), e ignorarla invita a un hallazgo la próxima vez.
Una observación es un área que queda por debajo de la buena práctica pero no infringe la ley.
Formación NIS2 para la dirección, Lección 3.7: Qué ocurre durante una auditoría del regulador- OFAC
- Office of Foreign Assets Control; la oficina del Tesoro estadounidense que administra las listas de sanciones.
El análisis de la OFAC se ejecutó en paralelo con la decisión de pago, no antes de ella.
Formación NIS2 para la dirección, Lección 4.6: Decisiones sobre el pago de ransomware- On-site inspection
- La visita física del equipo de auditoría del regulador a sus instalaciones, autorizada por el artículo 32(2)(a) para las entidades esenciales y el artículo 33(2)(a) para las entidades importantes.
El BSI envía una carta anunciando una inspección in situ.
Formación NIS2 para la dirección, Lección 3.7: Qué ocurre durante una auditoría del regulador- orphaned account
- Una cuenta de usuario activa que ya no pertenece a un empleado en activo - un hallazgo de auditoría frecuente.
- Out-of-band channel
- Una vía de comunicación de emergencia independiente de los sistemas habituales, que se usa cuando esos sistemas están comprometidos.
Un canal fuera de banda (una herramienta de mensajería separada, una línea telefónica dedicada) existe exactamente para ese momento.
Formación NIS2 para la dirección, Lección 2.15: Medida 10 - Autenticación multifactor y comunicaciones seguras- Oversight duty
- La obligación continua de verificar si las medidas aprobadas se están implementando realmente.
P
- patch
- Una actualización de software que corrige una vulnerabilidad conocida.
- Patch SLA
- El plazo por escrito para aplicar parches, fijado según el nivel de gravedad; el CIR pide aplicar los parches en un plazo razonable, con motivos documentados para cualquier excepción (6.6.1, 6.6.2).
Su equipo llama a esos plazos SLA de parcheo.
Formación NIS2 para la dirección, Lección 2.10: Medida 5 - Adquisición, desarrollo y mantenimiento- Personal civil liability
- El riesgo jurídico de un administrador de tener que pagar una indemnización con su patrimonio personal cuando el incumplimiento de un deber legal causa culpablemente una pérdida a la empresa.
- Personal data
- Cualquier información sobre una persona física identificada o identificable. Definida en el artículo 4(1) GDPR.
DPO o contacto de protección de datos cuando hay datos personales de por medio.
Formación en ejercicios de simulación NIS 2, Lección 1.2: Asignación de funciones: quién debe estar presente- personal liability
- La responsabilidad jurídica que recae sobre el administrador a título individual, además de sobre la empresa.
Y la responsabilidad personal del artículo 20(1) la cubre el seguro D&O, no el seguro cibernético: son productos diferentes.
Formación NIS2 para la dirección, Lección 4.1: El seguro no sustituye a las medidas de seguridad- Phishing simulation
- Correos de phishing falsos enviados periódicamente al personal para evaluar la concienciación; forman parte del programa de formación, con formación de seguimiento para quien haga clic.
¿Cuántas simulaciones de phishing le ha enviado su propia empresa a usted, personalmente, en los últimos doce meses?
Formación NIS2 para la dirección, Lección 2.12: Medida 7 - Ciberhigiene y formación- Privileged accounts
- Las cuentas de administrador, root y administrador de dominio con acceso elevado; requieren una política específica y su propia cadencia de revisión conforme al anexo 11.3 del CIR.
Por encima de eso, las cuentas privilegiadas (administradores, acceso root, administradores de dominio) necesitan sus propias reglas con controles más estrictos.
Formación NIS2 para la dirección, Lección 2.14: Medida 9 - Seguridad de RR. HH., control de acceso y gestión de activos- Proactive supervision
- El regulador puede auditarle sin un desencadenante específico (se aplica a las entidades esenciales).
La directiva denomina a esto supervisión proactiva en virtud del artículo 32.
Formación NIS2 para la dirección, Lección 1.2: Quién está dentro del ámbito: entidades esenciales e importantes- Product with digital elements
- Un producto de software o de hardware y sus soluciones de tratamiento de datos a distancia, incluidos los componentes introducidos en el mercado por separado (artículo 3(1) CRA). El CRA se aplica a aquellos cuya finalidad prevista o uso razonablemente previsible incluye una conexión de datos directa o indirecta a un dispositivo o a una red (artículo 2(1)). Abarca dispositivos físicos con firmware, software independiente, aplicaciones y sistemas operativos.
- Progress report
- Se utiliza conforme al artículo 23(4)(e) NIS 2 cuando el incidente aún no está resuelto en el plazo de un mes. El informe final se presenta una vez cerrado el incidente.
En su lugar envía un informe de situación.
Formación en ejercicios de simulación NIS 2, Lección 1.1: La cascada de notificación del artículo 23 que su ejercicio debe ensayar- Proportionality
- El principio del artículo 21(1) que ajusta lo que debe implantar a su tamaño, a su exposición al riesgo y a la probabilidad y la gravedad de los incidentes.
La proporcionalidad del artículo 21(1) ajusta la profundidad a su tamaño, sector y exposición al riesgo.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general- PURL
- URL de paquete. Un identificador estándar para componentes de software: `pkg:type/namespace/name@version`. Por ejemplo, `pkg:npm/%40angular/core@17.0.0`. Los PURL son el identificador único recomendado tanto en CycloneDX como en SPDX, y el ancla práctica para vincular un componente de SBOM a una entrada de base de datos de CVE.
Un PURL (Package URL) es la forma estándar de identificar un componente de manera única en distintos registros y bases de datos.
Fundamentos de CRA SBOM, Lección 1.1: Qué contiene un SBOM: componentes, versiones e identificadores. También en: Lección 2.1; Lección 2.2; Lección 4.1
R
- ransomware
- Software malicioso que cifra los datos y exige un pago por la clave de descifrado.
El 19 de marzo de 2019, un ransomware paralizó cuarenta plantas de producción de Norsk Hydro de la noche a la mañana.
Formación NIS2 para la dirección, Lección 3.8: Escenario - Un ataque de ransomware un viernes por la tarde. También en: Lección 4.4; Lección 4.6- RBAC
- Role-Based Access Control - permisos asignados por rol laboral, no individualmente.
- reactive supervision
- La facultad del regulador para auditar entidades importantes cuando lo desencadena un incidente, una denuncia o información.
- Recipients of services
- El término jurídico de la directiva para los clientes de la entidad.
El artículo 23(1) de la Directiva NIS2 establece que, cuando proceda, las entidades notificarán «sin demora indebida» a los destinatarios de sus servicios los incidentes significativos susceptibles de afectar negativamente a la prestación de dichos servicios.
Formación NIS2 para la dirección, Lección 1.12: El deber de notificación a los clientes- Recurring incidents
- Incidentes que, considerados por separado, no son significativos, pero que se producen al menos dos veces en seis meses, tienen la misma causa raíz aparente y juntos cumplen el criterio de pérdida financiera; cuentan como un único incidente significativo (artículo 4 del CIR).
- Recurring incidents rule
- La norma del artículo 4 del CIR (para los tipos de proveedores que cubre el CIR) que trata los incidentes pequeños con la misma causa raíz aparente, ocurridos al menos dos veces en seis meses, como un único incidente significativo si en conjunto superan el umbral financiero.
El artículo 4 añade la regla de incidentes recurrentes: dos o más incidentes en seis meses que compartan la misma causa raíz y que, en conjunto, crucen el umbral cuentan como un único incidente significativo.
Formación NIS2 para la dirección, Lección 3.10: Escenario - Phishing con éxito: ¿significativo o no?- Registration
- La presentación administrativa ante el regulador conforme al artículo 3(4) NIS2 (en Alemania, § 33 BSIG, con un plazo de tres meses desde que una empresa queda incluida en NIS2).
Si pierde ese plazo, lo primero que ve el regulador al abrir su expediente es un registro ausente, y eso, por sí solo, es una multa aparte.
Formación NIS2 para la dirección, Lección 1.4: La obligación de registro- Regulation
- Una ley de la UE que se aplica directamente en cada país sin transposición (por ej. GDPR, CIR).
NIS2 es una directiva, no un reglamento.
Formación NIS2 para la dirección, Lección 1.1: Qué es NIS2 y por qué existe- remediation
- El proceso de corregir una brecha o no conformidad detectada durante una auditoría o revisión.
Quinto: un hallazgo de auditoría que requiere subsanación.
Formación NIS2 para la dirección, Lección 3.3: Cuándo volver a aprobar. También en: Lección 3.7; Lección 3.10- Remediation order
- Una instrucción del regulador para corregir una brecha concreta en un plazo determinado (art. 32(4)(b) y (d)); puede ir acompañada o no de una multa.
La divulgación de buena fe suele dar lugar a una orden de subsanación o una advertencia, no a una multa.
Formación NIS2 para la dirección, Lección 3.11: Escenario - Descubrimiento de una brecha antes de la auditoría- Remediation plan
- La respuesta escrita de la empresa a los hallazgos: acción correctiva, responsable nombrado, plazo y prueba de finalización para cada punto.
Activa una orden de subsanación con un plazo.
Formación NIS2 para la dirección, Lección 3.7: Qué ocurre durante una auditoría del regulador- removable media
- Memorias USB, discos duros externos y soportes portátiles similares; requiere una política específica conforme al CIR.
- Residual risk
- El riesgo que queda después de implantar las medidas; aquello que aprueba cuando firma el registro de riesgos.
Lo que queda después de aplicar sus controles se llama riesgo residual.
Formación NIS2 para la dirección, Lección 2.3: Opciones de tratamiento del riesgo y apetito de riesgo. También en: Lección 3.4; Lección 3.5- Responsible disclosure
- El proceso publicado para que los investigadores de seguridad externos comuniquen errores a su empresa.
Hay una cuarta pieza en la misma cláusula: la divulgación de vulnerabilidades.
Formación NIS2 para la dirección, Lección 2.10: Medida 5 - Adquisición, desarrollo y mantenimiento- restore test
- El proceso de recuperar datos de una copia de seguridad para comprobar que funciona; una copia de seguridad sin probar no es una copia de seguridad.
- Reverse burden of proof
- La regla del derecho de sociedades alemán (por ejemplo, § 93(2) AktG) según la cual el administrador debe probar que actuó con diligencia, en lugar de que el demandante pruebe la negligencia.
En muchos países de la UE, incluida Alemania, se aplica la inversión de la carga de la prueba a la responsabilidad de los administradores.
Formación NIS2 para la dirección, Lección 1.7: Responsabilidad personal según el derecho de sociedades nacional- Risk acceptance
- Decidir convivir con un riesgo en lugar de corregirlo; conforme al CIR 2.1.1, lo acepta el órgano de dirección o, en su caso, un propietario del riesgo que rinda cuentas, con una información adecuada a la dirección.
- Risk analysis
- El proceso de identificar amenazas, evaluar la probabilidad y el impacto y determinar el tratamiento.
Fundamento: (a) análisis de riesgos y políticas de seguridad de la información, y (f) pruebas de eficacia.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general. También en: Lección 3.2- Risk analysis methodology
- El procedimiento documentado para identificar y puntuar riesgos; forma parte de las políticas de la medida 1 conforme al artículo 21(2)(a).
Primera, un método escrito que su empresa sigue para identificar y puntuar riesgos, la metodología de análisis de riesgos (la Lección 2.1 cubrió la ecuación que hay detrás).
Formación NIS2 para la dirección, Lección 2.6: Medida 1 - Análisis de riesgos y políticas de seguridad de la información- Risk appetite
- El nivel de riesgo que la empresa está dispuesta a asumir, fijado por el órgano de dirección como el límite dentro del cual opera el CISO.
Otra cosa que corresponde al CEO: el apetito de riesgo, el nivel de riesgo que la empresa está dispuesta a asumir en conjunto.
Formación NIS2 para la dirección, Lección 2.3: Opciones de tratamiento del riesgo y apetito de riesgo- Risk assessment
- La evaluación de las amenazas y su impacto potencial en la organización.
Si su evaluación de riesgos solo enumera ciberataques, no cumple el estándar de todos los riesgos.
Formación NIS2 para la dirección, Lección 1.10: Enfoque de todos los riesgos y estado de la técnica. También en: Lección 2.1- Risk management cycle
- El ciclo continuo de identificar, analizar, tratar y supervisar: nunca se detiene, porque las entradas cambian más rápido de lo que una revisión anual puede seguir.
Si no hay un proceso de desencadenamiento documentado, el ciclo de gestión del riesgo no está en marcha.
Formación NIS2 para la dirección, Lección 2.4: Por qué la gestión del riesgo es continua- Risk matrix
- La cuadrícula que cruza probabilidad e impacto; cada riesgo identificado se sitúa en ella, y la esquina superior derecha es donde comienza la tarea del órgano de dirección.
Después de esta lección será capaz de mirar una matriz de riesgo, encontrar la esquina que importa y saber dónde empieza la conversación sobre el presupuesto.
Formación NIS2 para la dirección, Lección 2.1: Riesgo = Probabilidad x Impacto- Risk register
- El documento formal que enumera los riesgos identificados, sus evaluaciones y las decisiones de tratamiento.
El visto bueno fechado, el registro de formación, las actas de las reuniones, el registro de riesgos con su firma: esas son las pruebas que utiliza para demostrar la diligencia debida.
Formación NIS2 para la dirección, Lección 1.7: Responsabilidad personal según el derecho de sociedades nacional. También en: Lección 2.1; Lección 3.5- Risk treatment
- La decisión sobre qué hacer con un riesgo identificado: evitarlo, mitigarlo, transferirlo o aceptarlo.
Sin él, cada decisión de tratamiento del riesgo se convierte en una discusión en lugar de un proceso.
Formación NIS2 para la dirección, Lección 2.3: Opciones de tratamiento del riesgo y apetito de riesgo- Risk-management measures
- Las reglas, las personas y las herramientas que utiliza su empresa para gestionar los riesgos para sus redes y sistemas de información y para limitar el impacto de los incidentes, establecidas en el artículo 21.
- §30(2) BSIG
¿Cumplen nuestras medidas de gestión de riesgos los requisitos de la ley, y están documentadas?
Formación NIS2 para la dirección, Lección 3.1: Las preguntas que todo CEO debe responder- Root cause
- La razón subyacente por la que se produjo un incidente.
Dos o más incidentes con la misma causa raíz aparente, ocurridos en un plazo de seis meses, que en conjunto cruzan el umbral financiero, se tratan como un único incidente significativo.
Formación NIS2 para la dirección, Lección 1.11: La cascada de notificación y los incidentes significativos- RPO
- Recovery Point Objective - la pérdida de datos máxima aceptable, medida en tiempo.
El RPO (Recovery Point Objective, objetivo de punto de recuperación) es cuántos datos puede permitirse perder.
Formación NIS2 para la dirección, Lección 2.8: Medida 3 - Continuidad del negocio- RTO
- Recovery Time Objective - el tiempo máximo aceptable para restaurar el servicio tras una interrupción.
El RTO (Recovery Time Objective, objetivo de tiempo de recuperación) es con qué rapidez debe estar de nuevo operativo.
Formación NIS2 para la dirección, Lección 2.8: Medida 3 - Continuidad del negocio
S
- sanctions law
- Las normas que prohíben pagar a determinadas personas y grupos; según las normas de EE. UU. con independencia de la intención, según las normas de la UE solo se queda exento si no se sabía ni había motivos razonables para sospechar una infracción (Reglamento (UE) 2019/796 del Consejo, artículo 10(2)). La primera comprobación jurídica antes de cualquier pago de rescate.
Respuesta correcta: "ahora no, y solo después de una revisión jurídica de la legislación de sanciones."
Formación NIS2 para la dirección, Lección 3.8: Escenario - Un ataque de ransomware un viernes por la tarde. También en: Lección 4.6- sanctions list
- Un registro publicado de personas, grupos y organizaciones que tienen prohibido recibir pagos.
La cuestión de las sanciones estuvo viva en todo momento.
Formación NIS2 para la dirección, Lección 4.6: Decisiones sobre el pago de ransomware- SBOM
- Lista de materiales de software. Un inventario legible por máquina de cada componente de software en un producto: nombres, versiones, proveedores e identificadores. Obligatorio para productos con elementos digitales según el Anexo I, Parte II, punto (1) del CRA.
Este curso enseña a elaborar, mantener y conservar un SBOM que cumpla el Reglamento (UE) 2024/2847.
Fundamentos de CRA SBOM, Lección 0.1: Qué es un SBOM y por qué el CRA lo hizo obligatorio- Scoping assessment
- La comprobación de si NIS2 le es aplicable y en qué categoría se encuadra. Puede realizarla usted mismo; un abogado puede apoyarle.
«¿Hemos completado una evaluación del ámbito de aplicación y en qué categoría estamos?»
Formación NIS2 para la dirección, Lección 1.2: Quién está dentro del ámbito: entidades esenciales e importantes- secure development
- Una norma documentada para desarrollar software con la seguridad integrada, no añadida después.
- Secured communications
- Comunicaciones de voz, vídeo y texto protegidas para un uso empresarial sensible; el artículo 21(2)(j) las enumera como una medida a aplicar cuando proceda.
La segunda mitad de la cláusula cubre las comunicaciones seguras.
Formación NIS2 para la dirección, Lección 2.15: Medida 10 - Autenticación multifactor y comunicaciones seguras- security control
- Una medida técnica u organizativa aplicada para gestionar un riesgo específico.
- Sign-off
- Su aprobación formal, como parte del órgano de dirección, de las medidas de ciberseguridad de la empresa, exigida por el artículo 20(1) de la Directiva NIS2. Un registro fechado es la manera de demostrarla.
Si no tiene ninguna prueba de que intentó comprender sus deberes (ningún registro de formación, ningún visto bueno documentado, ningún acta de reunión que muestre que formuló las preguntas), ese es el factor que inclina las tres capas en la dirección equivocada.
Formación NIS2 para la dirección, Lección 1.3: Sanciones y la prohibición de dirigir. También en: Lección 0.1; Lección 1.5; Lección 1.7; Lección 3.3; Lección 3.4- Significant incident
- Un incidente con un impacto significativo en los servicios de la entidad, notificable conforme al artículo 23. El artículo 23(3) lo define; el CIR 2024/2690 fija umbrales exactos solo para determinados tipos de entidad, como los proveedores de nube y de DNS.
- Art. 23(3) NIS2, §2 No. 11 BSIG, §32 BSIG, CIR 2024/2690 Art. 3 (for the entity types in its Art. 1)
El artículo 23 de la Directiva NIS2 exige que las empresas afectadas notifiquen los incidentes significativos a su CSIRT nacional o a la autoridad competente.
Formación NIS2 para la dirección, Lección 1.11: La cascada de notificación y los incidentes significativos. También en: Lección 3.1; Lección 3.10; Formación en ejercicios de simulación NIS 2, Lección 1.1- Size threshold
- El número de empleados, el volumen de negocios anual y el total del balance que determinan si una empresa entra en el ámbito de NIS2.
La mayoría de las empresas entran en el ámbito de aplicación a través de un sencillo umbral de tamaño: cincuenta o más empleados, o más de diez millones de euros tanto de volumen de negocios anual como de balance general anual.
Formación NIS2 para la dirección, Lección 1.2: Quién está dentro del ámbito: entidades esenciales e importantes- SPDX
- Software Package Data Exchange. Estándar ISO/IEC 5962:2021 para SBOM, surgido en la Linux Foundation. Orientado a las licencias: construido en torno al cumplimiento y la atribución de las licencias de código abierto. Disponible en formatos JSON, YAML, RDF y tag-value. Tanto CycloneDX como SPDX son formatos de uso común y legibles por máquina, y BSI TR-03183-2 los acepta. El propio CRA no nombra ningún formato en el Anexo I, Parte II, punto (1); la Comisión puede especificar uno (artículo 13(24)).
Los formatos CycloneDX y SPDX cubren esa necesidad.
Fundamentos de CRA SBOM, Lección 1.1: Qué contiene un SBOM: componentes, versiones e identificadores. También en: Lección 0.1; Lección 2.1; Lección 2.2; Lección 4.1- State of the art
- El nivel actual de buenas prácticas probadas, al que contribuyen las normas reconocidas; el artículo 21(1) nombra ambas cosas. El criterio con el que mide el auditor cambia cuando cambian las prácticas y las normas.
El artículo 21(1) exige medidas que «tengan en cuenta el estado de la técnica».
Formación NIS2 para la dirección, Lección 1.10: Enfoque de todos los riesgos y estado de la técnica- Statutory duty
- Una obligación que la ley le impone personalmente, en contraposición a una decisión empresarial ordinaria. El artículo 20 NIS2 crea obligaciones legales para el órgano de dirección.
La legislación mercantil de cada país de la UE otorga a la empresa un mecanismo para resarcirse de los daños frente a un administrador que incumplió un deber legal, algo que la ley le obliga a hacer personalmente, distinto de una decisión empresarial ordinaria.
Formación NIS2 para la dirección, Lección 1.7: Responsabilidad personal según el derecho de sociedades nacional. También en: Lección 1.8; Lección 4.2- Sufficient knowledge
- El criterio del artículo 20(2): conocimientos y habilidades suficientes para identificar los riesgos y evaluar las medidas y su impacto en los servicios. La ley no exige ni un examen ni una certificación.
- Supervisory board
- El órgano de supervisión en una estructura societaria dual que puede ejercer acciones contra los administradores.
Su consejo de supervisión se reúne a la mañana siguiente.
Formación NIS2 para la dirección, Lección 1.7: Responsabilidad personal según el derecho de sociedades nacional. También en: Lección 3.6- Supplier inventory
- La lista mantenida de todos los proveedores con aquello a lo que acceden y su clasificación de riesgo.
Una: un inventario de proveedores: quiénes son, qué hacen, a qué pueden acceder.
Formación NIS2 para la dirección, Lección 2.9: Medida 4 - Seguridad de la cadena de suministro- Supply chain
- La red de proveedores y prestadores de servicios de la que depende su empresa.
Cadena de suministro y sistemas: (d) seguridad de la cadena de suministro y (e) seguridad en cómo compra, desarrolla y mantiene los sistemas de TI, incluida la gestión de vulnerabilidades.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general. También en: Lección 2.9- Supply chain attack
- Un ataque dirigido a un fabricante a través de una dependencia o proveedor comprometido, en lugar de atacar directamente los sistemas propios del fabricante. SolarWinds y XZ Utils son ejemplos. El SBOM es su mapa para identificar qué componentes de la cadena de suministro están presentes y, por tanto, qué ataques a la cadena de suministro pueden alcanzar su producto.
El proveedor importa para la imagen de riesgo de ataque a la cadena de suministro.
Fundamentos de CRA SBOM, Lección 1.1: Qué contiene un SBOM: componentes, versiones e identificadores- Supply chain incident
- Un suceso de seguridad en un proveedor que puede crear una obligación legal para su empresa conforme a los artículos 21 y 23.
- Supply chain security
- El requisito de evaluar y gestionar los riesgos de ciberseguridad de su cadena de suministro, en especial los proveedores de servicios de TI, los proveedores de nube y cualquier proveedor con acceso a sus sistemas o datos. Las medidas pueden incluir requisitos de seguridad en los contratos con proveedores, la evaluación de las prácticas de los proveedores y su seguimiento a lo largo del tiempo; las condiciones contractuales solo son obligatorias para los tipos de entidad cubiertos por el CIR 2024/2690.
- §30(2)(4) BSIG
- Support period
- El tiempo durante el cual un fabricante proporciona actualizaciones de seguridad para un producto. El Artículo 13(8) del CRA exige que el período de soporte sea de al menos cinco años, o el tiempo de uso previsto si se espera que el producto se utilice menos de cinco años. El período de conservación del SBOM se extiende durante 10 años o hasta el final de este período de soporte, lo que sea más largo.
O el período de soporte, si este es más largo
Fundamentos de CRA SBOM, Lección 1.3: La regla de conservación de 10 años y quién obtiene acceso- Syft
- Un generador de SBOM de código abierto de Anchore. Examina imágenes de contenedores, sistemas de archivos y manifiestos de paquetes específicos de lenguajes. Genera salidas en CycloneDX o SPDX. La forma más rápida de generar un SBOM inicial para un producto existente.
Syft de Anchore produce CycloneDX 1.6 JSON de forma predeterminada:
Fundamentos de CRA SBOM, Lección 2.1: CycloneDX: el formato SBOM orientado a la seguridad. También en: Lección 3.1; Lección 4.1
T
- tabletop exercise
- Un recorrido estructurado de un escenario de incidente realista con las personas que responderían.
Un ensayo sobre el papel contra un escenario se llama ejercicio de simulación.
Formación NIS2 para la dirección, Lección 2.7: Medida 2 - Gestión de incidentes. También en: Lección 5.1; Formación en ejercicios de simulación NIS 2, Lección 0.1- Technical and organisational measures
- La abreviatura de cumplimiento universal (TOMs) para la combinación de herramientas, procesos y reglas que requiere cada medida.
Su CISO las denominará medidas técnicas y organizativas, o TOMs.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general- Technical documentation
- El conjunto de documentos que un fabricante debe compilar y conservar según el Artículo 31 del CRA y el Anexo VII. Incluye el SBOM, la evaluación de riesgos, las decisiones de diseño seguro, los resultados de las pruebas y la declaración UE de conformidad. Deben conservarse durante 10 años después de que el producto se comercialice, o durante el período de soporte, lo que sea más largo.
Esta lección aborda el período de retención, el lugar del SBOM dentro del paquete más amplio de documentación técnica y quién puede solicitarlo y en qué condiciones.
Fundamentos de CRA SBOM, Lección 1.3: La regla de conservación de 10 años y quién obtiene acceso. También en: Lección 4.1- The ten measures
- Las diez categorías enumeradas en el artículo 21(2), que representan el alcance mínimo de la UE de las medidas de gestión de riesgos que toda empresa incluida debe tener.
- Third-party liability
- La parte de una póliza que paga a personas ajenas a la empresa cuando el fallo de esta les causó un daño.
- Top-level dependency
- Un componente que su producto importa o enlaza directamente. El mínimo del CRA en el Anexo I, Parte II, punto (1) exige que el SBOM cubra al menos estos. Si su código tiene `import requests` o `<dependency>spring-boot</dependency>`, esos son dependencias de nivel superior.
Esta lección explica la diferencia entre las dependencias de nivel superior y las dependencias transitivas, el motivo por el que existe esa distinción en la norma y por qué la mejor práctica se aparta del mínimo legal.
Fundamentos de CRA SBOM, Lección 1.2: Dependencias de primer nivel vs dependencias transitivas. También en: Lección 4.1- Training duty
- La obligación legal, conforme al artículo 20(2) NIS2, de que cada miembro del órgano de dirección debe recibir personalmente formación en ciberseguridad.
El deber de formación es personal e indelegable.
Formación NIS2 para la dirección, Lección 1.6: Su obligación de formación. También en: Lección 0.1- Transitive dependency
- Un componente incorporado por una de sus dependencias de nivel superior, no por su código directamente. Log4Shell (CVE-2021-44228) fue una dependencia transitiva en miles de aplicaciones cuyos equipos desconocían su presencia. El mínimo del CRA no exige listarlas, pero las mejores prácticas sí lo hacen.
Esta lección explica la diferencia entre las dependencias de nivel superior y las dependencias transitivas, el motivo por el que existe esa distinción en la norma y por qué la mejor práctica se aparta del mínimo legal.
Fundamentos de CRA SBOM, Lección 1.2: Dependencias de primer nivel vs dependencias transitivas. También en: Lección 4.1- Transposition
- El proceso por el cual cada país de la UE transpone una directiva de la UE a su propio derecho nacional.
Este SÍ es un reglamento, por lo que se aplica directamente en los 27 Estados miembros sin transposición, pero solo a los proveedores digitales enumerados en su artículo 1: proveedores de servicios de DNS, registros de nombres de dominio de primer nivel, proveedores de servicios de computación en nube, de servicios de centros de datos y de redes de distribución de contenidos (CDN), proveedores de servicios gestionados y de servicios de seguridad gestionados, mercados en línea, motores de búsqueda en línea, plataformas de servicios de redes sociales y prestadores de servicios de confianza.
Formación NIS2 para la dirección, Lección 1.1: Qué es NIS2 y por qué existe. También en: Lección 0.1- Transposition law
- La ley nacional que un país promulga para transponer una directiva de la UE.
V
- VEX
- Vulnerability Exploitability eXchange. Una declaración adjunta a un SBOM que documenta si un CVE conocido afecta realmente a su producto y por qué. CycloneDX lo admite de forma nativa. El CRA no menciona VEX, pero una declaración de 'no afectado' con una justificación registra por qué una vulnerabilidad conocida no necesitó corrección (Anexo I, Parte II).
CycloneDX cuenta con soporte nativo de VEX.
Fundamentos de CRA SBOM, Lección 2.2: SPDX y la elección de su formato. También en: Lección 1.2; Lección 2.1; Lección 3.2; Lección 4.1- Vulnerability
- Una debilidad en un sistema que podría ser explotada por una amenaza.
Cadena de suministro y sistemas: (d) seguridad de la cadena de suministro y (e) seguridad en cómo compra, desarrolla y mantiene los sistemas de TI, incluida la gestión de vulnerabilidades.
Formación NIS2 para la dirección, Lección 1.9: Las diez medidas: visión general- Vulnerability handling
- El proceso continuo de detectar, evaluar y parchear vulnerabilidades conocidas.
El Artículo 21(2)(e) de la Directiva NIS2 exige "seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de información, incluida la gestión y divulgación de vulnerabilidades" (gestión de vulnerabilidades).
Formación NIS2 para la dirección, Lección 2.10: Medida 5 - Adquisición, desarrollo y mantenimiento
W
- Without undue delay
- Tan pronto como sea razonablemente posible; el criterio jurídico para la rapidez de la notificación a los clientes.
El artículo 23(1) de la Directiva NIS2 establece que, cuando proceda, las entidades notificarán «sin demora indebida» a los destinatarios de sus servicios los incidentes significativos susceptibles de afectar negativamente a la prestación de dichos servicios.
Formación NIS2 para la dirección, Lección 1.12: El deber de notificación a los clientes
Fuentes
- BSIG, Ley sobre la Oficina Federal de Seguridad de la Información y sobre la seguridad de las tecnologías de la información de las entidades (versión de 2 de diciembre de 2025): https://www.gesetze-im-internet.de/bsig_2025/
- Directiva NIS2 (UE) 2022/2555, Diario Oficial de la Unión Europea: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, Diario Oficial de la Unión Europea: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), Diario Oficial de la Unión Europea: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
- Reglamento (UE) 2016/679 (GDPR), Diario Oficial de la Unión Europea: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- BSI, estándares IT-Grundschutz BSI-200-1 a BSI-200-4
- BSI, IT-Grundschutz Kompendium (edición vigente)
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
