Documentos NIS2: qué documentación necesita su empresa
NIS2 le obliga a documentar sus medidas de seguridad (§ 30(1), tercera frase, BSIG). La ley pide expresamente «políticas» (Konzepte) para el análisis de riesgos y la seguridad informática, la comprobación de la eficacia, la criptografía, y el personal, los accesos y la gestión de la informática. Para lo demás, a menudo basta una lista. La ley no prescribe ningún formato.
Qué exige la ley
Las entidades esenciales e importantes toman medidas en diez ámbitos (§ 30(2) BSIG). Dejan por escrito que lo hacen (§ 30(1), tercera frase, BSIG).
Para cuatro ámbitos, la ley habla expresamente de políticas: análisis de riesgos y seguridad informática (n.º 1), evaluación de la eficacia (n.º 6), criptografía (n.º 8), y personal, control de acceso y gestión de la informática (n.º 9).
La ley no fija cómo son los documentos, qué extensión tienen ni en qué software los guarda. Se ajustan al riesgo, al tamaño y a los costes de su empresa (§ 30(1), segunda frase, BSIG).
§ 30(1) y (2) BSIG · Art. 21 NIS 2
Los documentos de un vistazo
Estos seis documentos cubren los ámbitos en los que un texto escrito tiene sentido. La dirección aprueba cada uno.
| Documento | Qué dice |
|---|---|
| Política de seguridad de la información§ 30(2) n.º 1 | Cómo trata su empresa la seguridad de la información: objetivos, responsabilidades, cómo se evalúan los riesgos. |
| Plan de respuesta a incidentes§ 30(2) n.º 2 | Quién decide ante un incidente, a quién llama, cómo se comunican sin la informática y cómo notifica al BSI. |
| Plan de continuidad del negocio§ 30(2) n.º 3 | Qué tiene que seguir funcionando cuando falla la informática, y cómo restablece la actividad. |
| Normas para compras, mantenimiento y vulnerabilidades§ 30(2) n.º 5 | En qué se fija al comprar informática, cómo se instalan las actualizaciones y dónde pueden otros notificar las vulnerabilidades que encuentren. |
| Política de criptografía§ 30(2) n.º 8 | Dónde y cómo cifra, por ejemplo portátiles, correo electrónico y acceso remoto. |
| Política de personal, accesos y gestión de la informática§ 30(2) n.º 9 | Quién recibe qué acceso, cómo lo reciben las personas nuevas y lo pierden las que se van, y cómo gestiona su informática. |
Dónde basta una lista
Para otros ámbitos no necesita texto corrido. Una lista que mantenga al día muestra lo que hace.
| Lista | Qué dice |
|---|---|
| Sus activos§ 30(2) n.º 1 y 9 | Con qué trabaja su empresa: procesos, software, dispositivos, salas, redes, y quién los suministra. |
| Sus proveedores§ 30(2) n.º 4 | Quién trabaja para usted y qué ha acordado con ellos sobre seguridad. |
| Sus copias de seguridad§ 30(2) n.º 3 | Qué se copia, con qué, y cuándo se probó por última vez la restauración. |
| Sus formaciones§ 30(2) n.º 7 · § 38(3) | Quién asistió a qué formación y cuándo, plantilla y dirección. |
| Segundo factor y comunicación protegida§ 30(2) n.º 10 | Dónde protege un segundo factor el inicio de sesión y qué canales usa para la comunicación protegida. |
| Revisión por la dirección§ 30(2) n.º 6 · § 38(1) | Cuándo comprobó la dirección si las medidas funcionan, qué decidió y quién hace qué y para cuándo. |
Más para ciertos proveedores digitales
A proveedores como la nube, los centros de datos, los servicios gestionados y algunos otros servicios digitales se les aplica además el Reglamento de Ejecución (UE) 2024/2690. Su anexo describe muchos registros con más detalle.
Para todas las demás empresas, ese anexo no es vinculante. Puede servir de orientación.
§ 30(3) BSIG · Reglamento de Ejecución (UE) 2024/2690
A quién se aplica el Reglamento de EjecuciónQué significa esto para una empresa de 50 a 150 empleados
No necesita una colección de plantillas para cada detalle. Un documento por cada ámbito en el que hace falta un texto, y listas que mantiene al día para el resto.
Más importante que la extensión es que los documentos encajen con su empresa y que lo que dicen ocurra de verdad.
La ley no exige un certificado como ISO 27001. Aun así, puede respaldar sus pruebas.
§ 30(1), segunda y tercera frases, BSIG
Un ejemplo
Una empresa inventada: un fabricante de maquinaria de embalaje con 110 empleados. La fabricación de maquinaria figura en el Anexo 2 del BSIG, así que la empresa es entidad importante.
El responsable de TI anota con qué trabaja la empresa: ERP, software de diseño, control de la producción, correo electrónico, copias de seguridad. Junto a cada entrada, quién lo suministra.
Sus respuestas sobre los diez ámbitos generan los seis documentos. El plan de respuesta a incidentes dice que decide el gerente y que notifica el responsable de TI.
La empresa lleva los proveedores, las copias de seguridad y las formaciones como listas.
El gerente lee los documentos y los aprueba. Cuando se incorpora un nuevo proveedor de servicios, TI lo añade a la lista de proveedores.
Cómo lo hace el recorrido guiado
En el recorrido guiado de nisd2.eu, los documentos salen de sus respuestas.
Con sus respuestas se generan seis documentos: política de seguridad, plan de respuesta a incidentes, plan de continuidad del negocio, política de criptografía, política de personal, accesos y activos, y normas para compras, mantenimiento y vulnerabilidades.
Puede añadir sus propias disposiciones a cada documento.
Donde basta una lista, lleva una lista: su informática, sus proveedores, sus copias de seguridad, sus formaciones.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta. Después, su nombre y la fecha aparecen en cada documento.
La exportación reúne todo en un documento, que guarda como PDF en el navegador.
Preguntas frecuentes
¿Qué documentos exige NIS2?
El BSIG le obliga a documentar la implementación de sus medidas (§ 30(1), tercera frase). Nombra expresamente políticas para el análisis de riesgos y la seguridad informática, la eficacia, la criptografía, y el personal, los accesos y la gestión de la informática (§ 30(2) n.º 1, 6, 8 y 9).
¿Hay un formato prescrito?
No. La ley no fija ni el formato ni la extensión. Los documentos se ajustan al riesgo, al tamaño y a los costes de su empresa.
¿Tienen que firmarse los documentos?
El BSIG no prescribe una firma. Pero la dirección tiene que implementar y supervisar las medidas (§ 38(1) BSIG), y la directiva de la UE exige que las apruebe (art. 20(1) NIS 2). Por eso, una aprobación documentada de la dirección es la opción evidente.
¿Necesitamos una certificación ISO 27001?
La ley no la exige. Un certificado puede respaldar sus pruebas, pero no cubre automáticamente el BSIG.
Fuentes
- Ley del BSI (BSIG) §§ 30 y 38, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), arts. 20 y 21, EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690, art. 1 y anexo, EUR-Lex
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Risk Management
Write the security policy
A short policy that management approves.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
