Cumplimiento normativo & GRC con evidencias defendibles

Sirve para auditoría real: diseñamos el flujo para que cada control tenga evidencia (registro), revisión (periodicidad), responsable (owner) y trazabilidad (requisito → control → evidencia).

Trabajamos el impacto en cadena de suministro: clasificación del proveedor, SLAs/controles, evidencias, reporting y obligaciones contractuales. Especial foco en DORA/NIS2 cuando aplica por rol y tipo de cliente.

Una sesión de diagnóstico (30–45 min) para entender alcance, jurisdicciones, servicios críticos, proveedores, clientes relevantes y documentación disponible. Con eso definimos quick wins y roadmap.

Depende de sector, actividad y tamaño (empleados / facturación), más casos especiales por criticidad. NIS2 no se afirma a ojo: se valida con las definiciones de la directiva y su trasposición nacional (en España, la ley de trasposición y sus desarrollos). Nosotros no emitimos dictamen jurídico, pero sí estimamos la probabilidad con criterios técnicos y alineamos el trabajo a las medidas de seguridad (artículo 21) y al reporting (artículo 23) para que, determine lo que determine el asesor legal, la evidencia esté lista.

Sí se solapan en buena parte de los controles (gestión de accesos, gestión de incidentes, continuidad, gestión de terceros, logging, formación). Lo trabajamos como una capa única de controles mapeada a varios marcos: un control — un registro — múltiples referencias normativas. El esfuerzo es definir bien una vez y mantener la evidencia; no se duplica, se reutiliza. Si quieres ver un comparativo, revisa nuestra guía ENS vs ISO 27001 vs NIS2 vs DORA.

Acompañamos. Preparamos la defensa (qué preguntará el auditor, qué evidencia mostrar, quién responde a cada punto), participamos en la auditoría como soporte y, tras el hallazgo, trabajamos los planes de acción con criterios realistas. El objetivo no es «pasar» — es que el sistema de gestión siga siendo útil al año siguiente, cuando toque la auditoría de seguimiento.