Cumplimiento normativo & GRC con evidencias defendibles

Ninguno de los cuatro se cumple con un certificado, y conviene decirlo claro porque es el malentendido más caro. NIS2 y DORA no certifican: se supervisan, y lo que te piden es evidencia de medidas y de reporte en plazo. El ENS sí exige certificación en las categorías media y alta. La ISO 27001 es voluntaria pero funciona como la prueba que más rápido acepta un cliente o una licitación, y cubre buena parte del artículo 21 de NIS2. El AI Act no certifica de forma general: obliga a clasificar tus sistemas por riesgo y, en los de alto riesgo, a acreditar gestión de riesgos y calidad de datos. En Hard2bit solemos partir del SGSI porque es el que más se reutiliza hacia los demás.

Pide lo que se puede comprobar, no adhesivos. Certificado ISO 27001 con su alcance leído —el alcance es donde se esconden las sorpresas—, declaración de aplicabilidad, última auditoría y sus no conformidades, procedimiento de notificación de incidentes con los plazos comprometidos, plan de continuidad con fecha de la última prueba, y su propio registro de subcontratistas. Si estás bajo DORA, además necesitas que acepte por contrato los derechos de auditoría y las cláusulas de salida. Un proveedor serio entrega esto en una semana; si tarda un mes, ya sabes algo útil.

Directamente puede que no, y en la práctica sí. DORA y NIS2 obligan a las entidades a controlar su cadena de suministro, así que la exigencia te llega por contrato aunque tú no estés en el ámbito de la norma. Es la vía por la que más empresas entran en el alcance sin esperarlo: el cliente es una entidad financiera o una administración y de repente hay que acreditar controles que nadie había pedido. La diferencia entre resolverlo y perder la cuenta suele ser haberlo preparado antes de que lo pregunten en el proceso de compra.

La directiva contempla hasta 10 millones de euros o el 2 % de la facturación mundial anual —la cifra que sea mayor— para entidades esenciales, y 7 millones o el 1,4 % para las importantes. Además sitúa la responsabilidad en el órgano de administración, que debe aprobar y supervisar las medidas. Dicho esto, en lo que llevamos visto el coste que aparece primero no es la multa: es el contrato que no se firma o la licitación que se pierde porque no hay evidencias que enseñar.

Depende de tres cosas y ninguna es el marco: el alcance —cuántos sistemas y sedes entran—, el punto de partida y si necesitas certificarte o solo demostrar. Una adecuación con un SGSI ya en marcha y un solo marco no se parece a partir de cero con ENS, ISO y NIS2 a la vez y varias filiales. Por eso lo primero que hacemos es un diagnóstico de alcance: sin saber qué te aplica y por qué, cualquier presupuesto es inventado.

Por el diagnóstico de alcance, no por la norma que más urge. Empezar por el marco equivocado significa rehacer el análisis de riesgos dos veces, y ese es el error que más tiempo cuesta de los que vemos. Una vez sabes qué te aplica, el orden habitual es levantar primero lo que se reutiliza —inventario, riesgos, accesos, proveedores, incidentes, formación— y después las obligaciones específicas de cada marco, que son las que no se obtienen como subproducto del sistema de gestión.

Sirve para auditoría real: diseñamos el flujo para que cada control tenga evidencia (registro), revisión (periodicidad), responsable (owner) y trazabilidad (requisito → control → evidencia). La documentación que no se apoya en registros reales se cae en la primera auditoría seria, y además no protege de nada.

Trabajamos el impacto en cadena de suministro: clasificación del proveedor, SLAs y controles, evidencias, reporting y obligaciones contractuales, con foco especial en DORA y NIS2 cuando aplica por rol y tipo de cliente. Si eres proveedor TIC de una entidad financiera, el registro de información y las cláusulas de salida dejan de ser papeleo y pasan a ser requisito de contrato.

Una sesión de diagnóstico de 30 a 45 minutos para entender alcance, jurisdicciones, servicios críticos, proveedores, clientes relevantes y documentación disponible. Con eso definimos quick wins y hoja de ruta. No hace falta que llegues con nada ordenado: parte del valor de la sesión es precisamente ordenarlo.

Depende de sector, actividad y tamaño (empleados y facturación), más casos especiales por criticidad. NIS2 no se afirma a ojo: se valida con las definiciones de la directiva y su transposición nacional. En Hard2bit no emitimos dictamen jurídico, pero sí estimamos la probabilidad con criterios técnicos y alineamos el trabajo a las medidas del artículo 21 y al reporting del artículo 23, para que, determine lo que determine la calificación, el trabajo técnico ya esté hecho.

Puede afectarte, sí. El reglamento distingue entre quien desarrolla un sistema de IA y quien lo utiliza, y a los usuarios les impone obligaciones propias, incluida la formación en IA del personal que lo maneja. El primer paso no es jurídico sino de inventario: saber qué sistemas de IA hay en la organización, quién los usa y para qué. En bastantes empresas esa lista no existe, y aparecen herramientas contratadas por áreas de negocio que nadie ha revisado.