Qué evidencias debe conservar una empresa para demostrar diligencia NIS2

Demostrar diligencia en NIS2 no consiste solo en tener políticas escritas o herramientas de ciberseguridad instaladas. Para una empresa, la clave está en poder acreditar que ha identificado sus riesgos, ha tomado decisiones razonables, ha asignado responsabilidades y conserva pruebas de que las medidas se aplican y se revisan. En la práctica, esto implica construir un sistema ordenado de evidencias que permita explicar qué se hizo, por qué se hizo y cómo se mantiene en el tiempo.

Por qué las evidencias son clave en NIS2

NIS2 refuerza la necesidad de una gestión activa del riesgo de ciberseguridad. Para la dirección, esto significa que ya no basta con delegar el asunto en el área técnica y esperar que todo funcione. La empresa debe poder demostrar que existe una gobernanza mínima, que los riesgos relevantes se conocen y que las medidas adoptadas son coherentes con la actividad, el tamaño, los servicios prestados y la exposición real.

Las evidencias son importantes por tres motivos. Primero, ayudan a ordenar internamente la gestión de la ciberseguridad. Segundo, permiten responder con más solvencia ante auditorías, clientes, aseguradoras, socios o requerimientos. Tercero, reducen la improvisación en caso de incidente, porque la empresa ya tiene identificados sus activos críticos, sus responsables y sus procedimientos.

En AACCENTIA trabajamos esta visión desde un enfoque práctico: entender el negocio, evaluar riesgos, priorizar medidas y documentar lo necesario sin convertir la adaptación NIS2 en una carga burocrática innecesaria. Si necesitas una visión inicial, puedes consultar nuestra página sobre adaptación NIS2 para empresas.

Qué significa demostrar diligencia en la práctica

Demostrar diligencia no equivale a prometer que nunca habrá un incidente. Ninguna organización puede garantizar una protección total. Lo razonable es acreditar que la empresa ha actuado con criterio, ha evaluado sus riesgos y ha implantado controles proporcionados.

Para un comité de dirección, esto se traduce en preguntas muy concretas:

• ¿Sabemos qué procesos son críticos para la continuidad del negocio?
• ¿Tenemos identificado quién decide y quién ejecuta en materia de ciberseguridad?
• ¿Se revisan los riesgos de forma periódica?
• ¿Se han documentado las medidas implantadas?
• ¿Tenemos control sobre proveedores relevantes?
• ¿Podemos demostrar formación, pruebas, revisiones y decisiones?
• ¿Existe un plan de respuesta ante incidentes y se ha probado?

La respuesta a estas preguntas debe estar respaldada por documentos, registros, actas, informes o pruebas verificables. Sin evidencias, incluso una buena medida puede resultar difícil de demostrar.

Evidencias básicas que conviene conservar

No todas las empresas necesitan el mismo nivel documental. Sin embargo, hay bloques de evidencias que suelen ser especialmente relevantes para mostrar una gestión razonable de la ciberseguridad.

1. Gobierno y decisiones de dirección

La dirección debe poder demostrar que la ciberseguridad forma parte de la gestión de la empresa. Esto puede incluir actas de reuniones, aprobación de políticas, asignación de responsabilidades, presupuestos aprobados, decisiones sobre prioridades y seguimiento de planes de acción.

No se trata de generar papeles por generar. Se trata de dejar rastro de que la organización ha tratado el riesgo de ciberseguridad como un riesgo empresarial, no solo técnico.

2. Análisis de riesgos

El análisis de riesgos es una de las evidencias más importantes. Debe mostrar qué activos, procesos, amenazas y vulnerabilidades se han tenido en cuenta, qué nivel de riesgo se ha estimado y qué medidas se han decidido.

Este documento debe mantenerse vivo. Si cambia la actividad, se incorporan nuevos sistemas, se externalizan servicios o se produce un incidente relevante, conviene revisarlo.

Puedes ampliar este enfoque en nuestro contenido sobre auditoría NIS2 para empresas en España.

3. Inventario de activos y servicios críticos

Una empresa debe saber qué necesita proteger. Esto incluye sistemas, aplicaciones, datos, infraestructuras, ubicaciones, servicios en la nube, dispositivos, redes y procesos de negocio dependientes de tecnología.

El inventario no debe ser una lista técnica incomprensible para dirección. Debe permitir responder a una pregunta sencilla: si esto falla, ¿qué impacto tiene en la operación, los clientes, la facturación, la reputación o las obligaciones contractuales?

4. Políticas y procedimientos aprobados

Las políticas son útiles cuando orientan decisiones reales. Entre las evidencias habituales pueden estar la política de seguridad, gestión de accesos, copias de seguridad, uso aceptable de sistemas, gestión de incidentes, continuidad de negocio, relación con proveedores y clasificación de la información.

La empresa debe conservar tanto la versión vigente como el historial razonable de cambios, aprobaciones y comunicaciones internas.

5. Registros de aplicación de controles

Una política sin registros de aplicación tiene poco valor probatorio. Por eso conviene conservar evidencias como revisiones de permisos, pruebas de restauración de copias, registros de formación, resultados de simulacros, análisis de vulnerabilidades, seguimiento de incidencias y verificación de medidas correctoras.

Estas evidencias ayudan a demostrar que la ciberseguridad se gestiona de forma continua.

Evidencias sobre proveedores y cadena de suministro

Uno de los puntos más sensibles para muchas empresas es la dependencia de proveedores tecnológicos, software, servicios cloud, mantenimiento, logística, soporte o procesos externalizados. NIS2 pone el foco en la cadena de suministro porque un incidente en un tercero puede afectar directamente a la continuidad de la empresa.

Conviene conservar evidencias como evaluaciones de proveedores críticos, cláusulas contractuales relacionadas con seguridad, acuerdos de nivel de servicio, requisitos de notificación de incidentes, revisiones periódicas y documentación sobre accesos concedidos a terceros.

Para dirección, la pregunta clave es: ¿sabemos qué proveedores pueden afectar a nuestra continuidad y qué garantías razonables les hemos pedido? Este análisis también puede convertirse en una ventaja competitiva, especialmente cuando clientes grandes empiezan a exigir más evidencias. Lo explicamos en el artículo sobre NIS2 como ventaja competitiva para la empresa.

Evidencias de continuidad de negocio

La continuidad de negocio conecta directamente la ciberseguridad con la cuenta de resultados. No basta con tener copias de seguridad si nadie ha probado que se pueden restaurar. Tampoco basta con tener un plan si no se ha comunicado ni ensayado.

Las evidencias útiles incluyen análisis de impacto, identificación de procesos críticos, responsables de activación, procedimientos de recuperación, pruebas de restauración, simulacros, incidencias detectadas y mejoras aplicadas.

Este bloque es especialmente relevante para CEOs y gerentes, porque permite valorar cuánto tiempo puede operar la empresa ante una caída, pérdida de datos, ransomware, indisponibilidad de proveedor o fallo de infraestructura.

Evidencias de formación y concienciación

El factor humano sigue siendo determinante. La empresa debería conservar registros de formación, comunicaciones internas, campañas de concienciación, asistencia, contenidos impartidos y acciones específicas para perfiles con mayor responsabilidad.

No hace falta convertir a toda la plantilla en experta técnica. Lo importante es demostrar que las personas conocen las pautas básicas, los canales de aviso y sus responsabilidades según el puesto.

Evidencias de incidentes y mejora continua

Cuando ocurre un incidente, la forma de gestionarlo deja una huella importante. Conviene conservar registros de detección, análisis, decisiones, comunicaciones internas, medidas de contención, recuperación, impacto, proveedores implicados y acciones de mejora.

Incluso los incidentes menores pueden aportar información valiosa. Una organización diligente no es la que oculta problemas, sino la que aprende de ellos y corrige debilidades.

Cómo organizar las evidencias sin crear burocracia

El principal error es acumular documentos dispersos que nadie revisa. Lo recomendable es crear un repositorio ordenado, con responsables, control de versiones y criterios claros de actualización.

Una lista práctica para empezar sería:

• Definir un responsable de coordinar las evidencias NIS2.
• Identificar procesos, activos y proveedores críticos.
• Revisar qué documentación ya existe y qué falta.
• Priorizar evidencias vinculadas a riesgos altos.
• Establecer una periodicidad de revisión.
• Relacionar cada evidencia con una medida o decisión.
• Conservar registros de aprobación, revisión y mejora.
• Preparar un resumen ejecutivo para dirección.

Este enfoque permite avanzar de forma gradual y defendible. Si tu empresa está en Galicia o en fase inicial de diagnóstico, puede resultarte útil nuestra guía sobre ciberseguridad para empresas en Vigo y Galicia.

Relación entre NIS2, auditoría e ISO 27001

NIS2, una auditoría de ciberseguridad e ISO 27001 no son lo mismo, pero pueden complementarse. ISO 27001 aporta una estructura reconocida para gestionar la seguridad de la información mediante un sistema de gestión. Una auditoría ayuda a identificar brechas, evidencias disponibles y medidas pendientes. NIS2 marca un marco de obligaciones y expectativas para determinadas entidades.

Para muchas empresas, el camino razonable es empezar con un diagnóstico, revisar evidencias existentes, priorizar acciones y preparar un plan de adaptación. No siempre es necesario implantarlo todo a la vez, pero sí conviene tener una hoja de ruta clara y trazable.

Conclusión

Demostrar diligencia NIS2 exige algo más que buenas intenciones. Requiere evidencias ordenadas sobre riesgos, decisiones de dirección, medidas aplicadas, proveedores, continuidad, formación e incidentes. La buena noticia es que muchas empresas ya tienen parte de esa información; el reto está en estructurarla, completarla y mantenerla actualizada.

Si quieres saber por dónde empezar, solicita un presupuesto NIS2, revisa nuestro checklist NIS2 o contacta con AACCENTIA desde la página de contacto.