Errores previos que disparan el coste de adaptación NIS2

El coste de adaptación NIS2 no depende solo de las medidas técnicas que una empresa tenga que implantar. En muchos casos, el presupuesto se encarece antes incluso de empezar, por decisiones mal tomadas en la fase previa: un alcance poco claro, proveedores no evaluados, evidencias inexistentes o una visión demasiado parcial del negocio.

Para dirección, el problema no es únicamente pagar más. Es iniciar un proyecto con incertidumbre, retrabajos, urgencias y prioridades confusas. Cuando esto ocurre, la adaptación a NIS2 deja de ser un plan ordenado y se convierte en una sucesión de correcciones que consumen tiempo, presupuesto y capacidad interna.

Por qué una adaptación NIS2 puede encarecerse antes de arrancar

Muchas empresas comienzan preguntando “cuánto cuesta adaptarse a NIS2” sin haber aclarado antes qué parte de la organización entra en el análisis, qué servicios son críticos, qué proveedores intervienen o qué documentación existe ya.

Esa falta de base provoca presupuestos incompletos. Una propuesta puede parecer ajustada, pero si no contempla activos, centros, sociedades, sistemas, procesos o terceros relevantes, el coste real aparecerá más adelante.

El riesgo para la empresa es doble:

• Aprobar un presupuesto que no cubre todo lo necesario.
• Descubrir desviaciones cuando el proyecto ya está en marcha y hay menos margen para ordenar decisiones.

Si la empresa todavía no tiene claro si está dentro del ámbito de la directiva, conviene revisar primero criterios de aplicación y obligaciones. Puedes ampliar contexto en este artículo sobre empresas obligadas por NIS2 en Galicia o en esta guía sobre obligaciones NIS2 para empresas.

Error 1: definir el alcance por departamentos, no por servicios críticos

Uno de los errores más habituales es plantear la adaptación como un proyecto “de informática” o “del departamento de sistemas”. NIS2 afecta a la gestión del riesgo, la continuidad, los proveedores, la respuesta ante incidentes, la dirección y la capacidad de demostrar diligencia.

Si el alcance se limita al área técnica, quedan fuera elementos que pueden ser decisivos:

• Procesos operativos que dependen de sistemas externos.
• Servicios esenciales para clientes o producción.
• Delegaciones, plantas, almacenes o sedes conectadas.
• Aplicaciones corporativas gestionadas por terceros.
• Equipos directivos que deben tomar decisiones ante incidentes.
• Evidencias de aprobación, revisión y seguimiento.

El resultado suele ser un diagnóstico incompleto. Después aparecen preguntas que no estaban presupuestadas: ¿qué pasa con el ERP? ¿Y con la empresa de mantenimiento? ¿Quién gestiona las copias? ¿Qué servicio debe recuperarse primero si hay una interrupción?

Un buen punto de partida no es listar herramientas, sino identificar qué servicios sostienen la actividad y qué riesgos pueden afectar a su continuidad.

Error 2: no incluir a proveedores desde el principio

Los proveedores son uno de los grandes generadores de costes ocultos. Muchas empresas dependen de terceros para AACCENTIA, soporte, comunicaciones, mantenimiento industrial, software, logística, administración, monitorización o servicios gestionados.

Si esos proveedores no se incorporan al análisis inicial, el proyecto puede quedarse corto. Más adelante será necesario revisar contratos, solicitar información, pedir evidencias, analizar accesos, establecer requisitos mínimos o incluso replantear relaciones críticas.

Esto no significa convertir la adaptación en una auditoría exhaustiva de todos los proveedores desde el primer día. Significa clasificarlos con criterio:

• Qué proveedores tienen acceso a sistemas o datos sensibles.
• Cuáles participan en servicios críticos.
• Cuáles pueden provocar una interrupción relevante.
• Qué compromisos de seguridad, continuidad o notificación existen.
• Qué evidencias pueden aportar si se produce un incidente.

En NIS2, la cadena de suministro no es un asunto secundario. Si un proveedor clave falla, el impacto lo sufre la empresa. Y si no hay trazabilidad sobre cómo se ha evaluado ese riesgo, la dirección tendrá menos capacidad para justificar sus decisiones.

Error 3: iniciar el proyecto sin evidencias disponibles

Otro factor que encarece la adaptación es la falta de evidencias. No basta con afirmar que existen copias de seguridad, revisiones de accesos, procedimientos de incidentes o controles sobre proveedores. Hay que poder demostrarlo con documentos, registros, actas, informes, políticas, tickets, aprobaciones o pruebas.

Cuando una empresa no conserva evidencias, el consultor debe dedicar más tiempo a reconstruir la situación real. Esto retrasa el diagnóstico y puede obligar a repetir entrevistas, recopilar información dispersa o formalizar prácticas que ya existían, pero nunca se documentaron.

La falta de evidencias también complica la toma de decisiones. Dirección puede creer que una medida está implantada, mientras que operaciones sabe que depende de una persona concreta o de una rutina informal.

Algunos ejemplos habituales:

Si este punto preocupa a tu empresa, también puede ser útil revisar cómo preparar evidencias para demostrar diligencia, especialmente si ya existen controles pero están poco ordenados.

Error 4: pedir presupuestos sin una fotografía mínima de partida

Comparar propuestas sin información suficiente suele llevar a decisiones equivocadas. Una empresa puede recibir ofertas muy distintas no porque un proveedor sea “caro” y otro “barato”, sino porque cada uno ha entendido un alcance diferente.

Antes de solicitar un presupuesto conviene preparar una fotografía mínima:

• Actividad principal y servicios críticos.
• Número aproximado de sedes, sociedades o unidades afectadas.
• Sistemas clave y aplicaciones principales.
• Proveedores relevantes.
• Existencia o no de políticas de seguridad.
• Medidas ya implantadas, aunque sean parciales.
• Incidentes recientes o preocupaciones prioritarias.
• Relación con marcos como ISO 27001, si aplica.

Esto permite recibir propuestas más comparables y reducir desviaciones posteriores. Si ya estás en esa fase, puedes complementar esta lectura con el artículo sobre cómo comparar un presupuesto NIS2.

Error 5: confundir adaptación NIS2 con compra de tecnología

La tecnología puede ser necesaria, pero no debería ser el primer reflejo. Comprar herramientas sin conocer riesgos, prioridades y obligaciones internas puede disparar el coste sin resolver los problemas de fondo.

Una empresa puede invertir en monitorización, copias, antivirus avanzado o gestión de identidades y seguir teniendo debilidades relevantes si no ha definido responsabilidades, procedimientos, evidencias, gestión de proveedores o continuidad de negocio.

La pregunta no es “qué herramienta necesitamos”, sino:

Qué riesgo queremos reducir

Puede ser una interrupción de servicio, una pérdida de información, un acceso indebido, una dependencia excesiva de un proveedor o una respuesta lenta ante incidentes.

Qué control existe ya

Quizá la empresa ya tiene medidas útiles, pero no están documentadas, no se revisan o no se aplican de forma homogénea.

Qué evidencia quedará después

Toda medida relevante debería dejar algún tipo de prueba: informe, registro, configuración, aprobación, revisión, acta o resultado de prueba.

Este enfoque ayuda a priorizar inversiones y a evitar gastos que no aportan una mejora proporcional.

Error 6: no implicar a dirección hasta que hay decisiones difíciles

La adaptación a NIS2 requiere decisiones de negocio. Si dirección entra tarde, el proyecto puede avanzar en aspectos técnicos pero bloquearse cuando aparecen cuestiones de prioridad, presupuesto, riesgo aceptable o relación con proveedores.

La dirección no necesita entrar en el detalle técnico, pero sí debe participar en decisiones como:

• Qué servicios son más críticos.
• Qué nivel de interrupción sería asumible.
• Qué proveedores requieren mayor control.
• Qué riesgos se aceptan temporalmente.
• Qué medidas deben priorizarse por impacto.
• Qué evidencias se presentarán ante auditorías, clientes o terceros.

Cuando estas decisiones se posponen, el proyecto se encarece porque se rehacen análisis, se cambian prioridades o se retrasan medidas que dependían de aprobación interna.

Cómo reducir costes antes de pedir una propuesta

Antes de iniciar la adaptación, la empresa puede hacer un trabajo sencillo pero muy valioso. No se trata de resolver NIS2 internamente, sino de llegar mejor preparada a la conversación.

Una lista práctica para dirección:

• Delimitar qué sociedades, sedes y servicios deben analizarse.
• Identificar procesos críticos para continuidad y clientes.
• Listar proveedores con acceso a sistemas, datos o servicios esenciales.
• Recopilar políticas, contratos, informes y registros existentes.
• Revisar si hay relación con ISO 27001 u otros marcos de seguridad.
• Localizar evidencias de copias, accesos, incidentes y revisiones.
• Nombrar un interlocutor interno con visión transversal.
• Acordar qué áreas deben participar desde el inicio.
• Separar medidas urgentes de mejoras planificables.
• Evitar compras tecnológicas antes del análisis de riesgos.

Este trabajo previo no sustituye una consultoría especializada, pero permite que el presupuesto sea más realista y que el proyecto avance con menos fricción.

La adaptación NIS2 como inversión ordenada, no como gasto reactivo

El coste final de una adaptación NIS2 depende del tamaño, actividad, madurez, exposición, proveedores y complejidad operativa de cada empresa. Pero una parte importante del coste se decide antes de empezar: en cómo se define el alcance, cómo se identifican dependencias y cómo se recopilan evidencias.

Una empresa que llega con información ordenada puede priorizar mejor. También puede distinguir entre lo urgente, lo necesario y lo recomendable. Esto facilita decisiones de presupuesto más razonables y reduce la probabilidad de desviaciones.

Además, una adaptación bien planteada puede aportar valor más allá del cumplimiento: mejora la continuidad, refuerza la confianza de clientes, ordena responsabilidades y ayuda a competir en entornos donde la seguridad ya forma parte de las exigencias comerciales. Puedes leer más sobre este enfoque en el artículo sobre NIS2 como ventaja competitiva.

Si tu empresa está valorando contratar ayuda externa, el primer paso debería ser aclarar alcance, proveedores y evidencias antes de cerrar una cifra. En AACCENTIA podemos ayudarte a preparar un enfoque proporcionado y orientado a prioridades reales. Solicita un presupuesto NIS2 y revisamos contigo el punto de partida.