Control de acceso NIS2 conforme al artículo 21(2)(i)+(j)
El artículo 21(2)(i) nombra las políticas de control de acceso. El artículo 21(2)(j) nombra la autenticación multifactor. El §11 del CIR las cubre juntas en siete subsecciones. Esta página recorre los deberes más amplios de política, de cuentas con privilegios y de identidad. La página dedicada a MFA cubre el §11.7.
La versión resumida
El control de acceso se sitúa en los puntos (i) y (j) del artículo 21(2). El punto (i) nombra 'seguridad de los recursos humanos, políticas de control de acceso y gestión de activos'. El punto (j) nombra 'la utilización de soluciones de autenticación multifactor o de autenticación continua, comunicaciones de voz, vídeo y texto seguras'. Ambos se aplican a toda entidad esencial e importante en toda la UE.
El CIR (UE) 2024/2690 §11 cubre ambas letras juntas, bajo el encabezado 'Control de acceso (artículo 21(2), puntos (i) y (j) de la Directiva (UE) 2022/2555)'. Divide el deber en siete subsecciones: la política en sí, la gestión de derechos, las cuentas con privilegios, los sistemas de administración de sistemas, la identificación, la autenticación y la autenticación multifactor. Esta página recorre del §11.1 al §11.6. Para el §11.7 en concreto, véase la página dedicada a MFA.
Alemania incorpora el deber de política al §30(2)(9) BSIG y el deber de MFA al §30(2)(10) BSIG. El módulo ORP.4 'Identitäts- und Berechtigungsmanagement' de IT-Grundschutz del BSI es una vía recomendada para implementarlo, no una base legal.
Artículo 21(2)(i) + (j) de la Directiva NIS2 (2022/2555)
i) la seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos; j) el uso de soluciones de autenticación multifactorial o de autenticación continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicaciones de emergencia en la entidad, cuando proceda.
Los puntos (i) y (j) son dos de las diez medidas del artículo 21(2). El (i) agrupa tres cosas, de las cuales el control de acceso es el elemento intermedio. El (j) se sitúa junto a él en la lista. El punto 11 del CIR cubre ambos conjuntamente.
CIR (UE) 2024/2690, anexo §11
Control de accesos [artículo 21, apartado 2, letras i) y j), de la Directiva (UE) 2022/2555].
El §11 del CIR tiene siete subsecciones: §11.1 política de control de acceso, §11.2 gestión de derechos de acceso, §11.3 cuentas con privilegios y cuentas de administración de sistemas, §11.4 sistemas de administración de sistemas, §11.5 identificación, §11.6 autenticación, §11.7 autenticación multifactor. Este reglamento vincula solo a los tipos de entidad enumerados en su art. 1 (DNS, TLD, nube, centros de datos, CDN, MSP, MSSP, mercados en línea, motores de búsqueda, redes sociales, servicios de confianza).
§30(2)(9) y (10) BSIG (Alemania)
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen, [...] 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
Alemania divide el punto (i)+(j) de la UE en dos números del BSIG. El §30(2)(9) lleva el control de acceso y la gestión de activos. El §30(2)(10) lleva MFA y las comunicaciones seguras. El fondo es la misma norma de la UE.
Política y gestión de derechos
Documente cómo funciona el acceso (lógico y físico) para el personal, los visitantes, los proveedores y los prestadores de servicios. Conceda, modifique y revoque derechos en función de la necesidad de negocio: necesidad de conocer, mínimo privilegio, separación de funciones. Cada derecho se asigna a una persona nombrada. La revocación se ejecuta ante un cambio de empleo, no en un ciclo semanal. El acceso de terceros (visitantes, proveedores) se rastrea.
Cuentas con privilegios y de administración
Las cuentas de administración reciben una identificación, autenticación y autorización fuertes. Solo cuentas de administración dedicadas, utilizadas únicamente para la instalación, configuración, gestión y mantenimiento. Los derechos de administración se adaptan individualmente y se restringen. Los sistemas de administración de sistemas se usan solo para la administración, están separados lógicamente del software de aplicación que no se usa para administrar y están protegidos mediante autenticación y cifrado.
Identidad y autenticación
Ciclo de vida de la identidad: IDs únicos, cada ID vinculado a una persona, supervisión y registro a lo largo del ciclo de vida. Los procedimientos de autenticación se ajustan a la política de control de acceso: fortaleza de la autenticación escalada a la clasificación del activo, procedimientos de cambio, bloqueo ante intentos fallidos, tiempos de espera de sesión, credenciales separadas para las cuentas con privilegios.
Necesidad de conocer, mínimo privilegio, separación de funciones
El punto 11.2.2(a) del CIR nombra las tres (la versión alemana dice need-to-use donde la inglesa dice least privilege). Necesidad de conocer: solo las personas que necesitan los datos obtienen los datos. Mínimo privilegio: los derechos se ajustan a la tarea, no al cargo. Separación de funciones: ninguna persona individual debería poder conceder, usar y auditar el mismo derecho. Si sus grupos de AD son 'TI' y 'todos los demás', no ha implementado ninguna de las tres.
Con privilegios no es solo normal con más derechos
Para los proveedores digitales que abarca el CIR, los puntos 11.3 y 11.4 elevan el listón específicamente para las cuentas de administración. Identificación fuerte. MFA nombrada en el propio §11.3, no solo en el §11.7. Cuentas dedicadas usadas solo para el trabajo de administración. Sistemas de administración de sistemas separados lógicamente del software de aplicación. La cuestión: una cuenta de administración comprometida compromete todo, así que las cuentas de administración reciben su propio régimen.
BSI / IT-Grundschutz ORP.4
El módulo ORP.4 'Identitäts- und Berechtigungsmanagement' de IT-Grundschutz del BSI cubre el ciclo de vida de la identidad, los derechos basados en roles, la separación de cuentas con privilegios, las reglas de contraseñas y las revisiones. Para las empresas es una recomendación. Solo para los organismos de la administración federal establece el § 44(2) BSIG que cumplir los requisitos mínimos de Grundschutz satisface el § 30.
Guía Técnica de Implementación de ENISA
La Guía Técnica de Implementación de ENISA para el CIR (UE) 2024/2690 recorre cada subsección del §11 en lenguaje operativo y la correlaciona con ISO/IEC 27001:2022 (entre otros A.5.15 a A.5.18, A.8.2, A.8.3 y A.8.5) y NIST CSF 2.0 (PR.AA). ENISA precisa que la correspondencia no es una medida de equivalencia, por lo que conviene contrastar una implantación de ISO 27001 ya existente con cada punto.
Leyes nacionales de transposición
Cada Estado miembro transpone el artículo 21(2)(i) y (j) a su propia ley (Países Bajos: Cyberbeveiligingswet; Austria: NISG 2026; Bélgica: su ley NIS2). La directiva fija un mínimo y los Estados miembros pueden ir más allá (art. 5 NIS 2), por lo que decide el texto nacional. También difiere: a qué norma de base apunta la autoridad reguladora nacional.
Tenemos grupos de AD, así que tenemos control de acceso.
Un comienzo, no el final. Para los proveedores digitales que abarca el CIR, los puntos 11.1 y 11.2 piden una política de derechos de acceso documentada, derechos asignados a personas nombradas, un procedimiento de revocación vinculado al cambio de empleo y un registro de auditoría de concesiones y revocaciones. Los grupos de AD le dan el mecanismo. No le dan la política, el registro de personas nombradas ni el procedimiento de altas-cambios-bajas.
Nuestros administradores usan su cuenta normal para el trabajo de administración, con sudo o 'ejecutar como administrador'.
Para los proveedores digitales que abarca el CIR, el punto 11.3.2(b) exige cuentas específicas usadas exclusivamente para la administración de sistemas, como la instalación, configuración, gestión o mantenimiento. Para todos los demás es una buena práctica, no una obligación legal. La cuenta normal de un administrador es para el correo, el calendario y Excel; una cuenta de administración separada, con su propio segundo factor, es para el trabajo con privilegios. Mezclar las dos significa que un correo de phishing puede llegar al rol de administración.
Sincronizamos los derechos de acceso cada lunes por la mañana.
Cerca, pero no es lo que pide el punto 11.2.2(b) del CIR: los derechos cambian al extinguirse o cambiar el empleo, no en un ciclo de calendario. Para la revisión de los derechos, el punto 11.2.3 dice 'a intervalos planificados', y ningún texto fija el intervalo. (Ambos vinculan a los proveedores digitales que abarca el CIR.)
Una configuración típica: Active Directory o Entra ID para las identidades, grupos de AD para el acceso a aplicaciones, un sistema de RR. HH. que emite tickets de onboarding a TI. Eso le da el mecanismo. El trabajo de política está en tres lugares.
Tres lugares que conviene revisar primero: una política de control de acceso escrita, actual y aprobada, cuentas de administración dedicadas y un procedimiento de altas-cambios-bajas impulsado por RR. HH. y no solo por TI (de lo contrario la cuenta de un contratista persiste porque RR. HH. nunca avisó a TI de que se fue).
- Directiva (UE) 2022/2555 (NIS2), artículo 21(2)(i) y (j): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión (CIR), anexo §11: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Ley del BSI (BSIG), §30(2)(9) y §30(2)(10) en su versión modificada por la Ley de Implementación de NIS2 y de Refuerzo de la Ciberseguridad
- Compendio IT-Grundschutz, módulo ORP.4 'Identitäts- und Berechtigungsmanagement': bsi.bund.de/grundschutz
- Guía Técnica de Implementación de ENISA para el CIR (UE) 2024/2690 (versión 1.0, junio de 2025)
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Access Control & HR Security
Write the staff, access and asset policy
Who gets into what, and what happens when someone leaves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
