NIS2 art. 21: las 10 medidas que tu empresa debe implementar antes de octubre

El articulo 21 de la Directiva NIS2 (Directiva UE 2022/2555) establece 10 medidas de gestion de riesgos de ciberseguridad que las entidades esenciales e importantes deben implementar. No son opcionales. Son requisito legal.

1. Politicas de analisis de riesgos y seguridad de los sistemas de informacion. No basta con un documento generico. La directiva exige un analisis de riesgos documentado, actualizado y alineado con los activos criticos de la organizacion.

2. Gestion de incidentes. El art. 23 complementa con plazos concretos: alerta temprana en 24h, notificacion en 72h, informe final en un mes. Tu SOC necesita procesos automatizados para cumplir estos SLA.

3. Continuidad de actividades y gestion de crisis. Incluye gestion de copias de seguridad, recuperacion en caso de catastrofe y gestion de crisis. No es un plan que se redacta y se guarda en un cajon.

4. Seguridad de la cadena de suministro. Diligencia debida sobre proveedores TIC. Si tu plataforma GRC envia datos de auditoria a una API en Virginia, tienes un problema de cadena de suministro.

5. Seguridad en la adquisicion, desarrollo y mantenimiento de redes y sistemas. Incluye la gestion y divulgacion de vulnerabilidades.

6. Politicas y procedimientos para evaluar la eficacia de las medidas. Metricas, no narrativa. Evidencia continua, no puntual.

7. Practicas basicas de ciberhigiene y formacion en ciberseguridad. Aplica a toda la organizacion, incluido el C-level (art. 20.2).

8. Politicas sobre el uso de criptografia y cifrado. Cifrado en transito (TLS 1.3) y en reposo (AES-256) no son nice-to-have.

9. Seguridad de los recursos humanos, politicas de control de acceso y gestion de activos. RLS, principio de minimo privilegio, inventario de activos criticos.

10. Uso de soluciones de autenticacion multifactor o autenticacion continua. MFA no es opcional bajo NIS2.

La mayoria de plataformas GRC del mercado cubren parcialmente estas medidas. El problema es que muchas dependen de APIs externas (OpenAI, AWS) para su IA, lo que genera un conflicto directo con las medidas 4 y 8. Una plataforma con IA soberana, self-hosted en EU, elimina ese riesgo de raiz.