Mapa de activos NIS2: cómo identificar lo crítico antes de invertir

Una empresa no puede proteger bien lo que no tiene identificado, ni priorizar inversiones si no sabe qué sistemas, datos, procesos y proveedores sostienen su actividad. Por eso, el mapa de activos NIS2 no debería verse como un inventario técnico más, sino como una herramienta de dirección para decidir qué es crítico, quién responde por ello y qué dependencias pueden comprometer la continuidad del negocio.

Qué es un mapa de activos NIS2 y por qué importa a dirección

Un mapa de activos NIS2 es una visión estructurada de los elementos que permiten operar a la empresa: aplicaciones, infraestructuras, datos, personas clave, servicios externos, sedes, procesos y relaciones con proveedores.

Su objetivo no es hacer una lista interminable de ordenadores o servidores. Su valor está en conectar cada activo con una pregunta de negocio: ¿qué ocurre si esto falla, se cifra, se manipula o deja de estar disponible?

Para dirección, este mapa permite tomar mejores decisiones sobre:

• Qué procesos deben recuperarse antes si hay un incidente.
• Qué sistemas necesitan más control, monitorización o respaldo.
• Qué proveedores son realmente críticos.
• Qué responsables deben participar en la adaptación a NIS2.
• Dónde tiene sentido invertir primero.
• Qué evidencias conviene conservar para demostrar diligencia.

En un proyecto de adaptación NIS2 para empresas, este trabajo suele ser una de las bases para el análisis de riesgos, la continuidad de negocio, la gestión de proveedores y la planificación presupuestaria.

El error habitual: confundir activos con dispositivos

Muchas organizaciones empiezan por una hoja de cálculo con equipos, IP, licencias o aplicaciones. Es un punto de partida, pero se queda corto.

Desde una visión ejecutiva, un activo no es solo “un servidor”. También puede ser:

• El sistema que gestiona pedidos.
• La base de datos de clientes.
• El portal de proveedores.
• El ERP financiero.
• La plataforma de control logístico.
• El conocimiento operativo de un equipo concreto.
• El contrato con un proveedor tecnológico esencial.
• La documentación necesaria para operar en contingencia.

Si el mapa solo recoge tecnología, la empresa puede pasar por alto dependencias críticas. Por ejemplo, un proceso comercial puede depender de una aplicación SaaS, de una integración con el almacén, de un proveedor externo y de una persona que conoce cómo resolver incidencias. Si cualquiera de esas piezas falla, el impacto puede ser relevante.

Activos, procesos y propietarios: la conexión que cambia la conversación

La clave del mapa de activos NIS2 es relacionar cada activo con un proceso de negocio y con un propietario.

No basta con saber que existe una aplicación. Dirección necesita saber:

• Qué proceso soporta.
• Qué área la utiliza.
• Quién toma decisiones sobre ella.
• Quién valida los requisitos de seguridad.
• Quién autoriza cambios o excepciones.
• Qué impacto tendría su indisponibilidad.

Esta conexión evita que la ciberseguridad quede aislada en el departamento técnico. Si un sistema soporta facturación, operaciones, producción, atención al cliente o cumplimiento contractual, el propietario del proceso debe participar en la valoración del riesgo.

Un mapa útil no dice solo “tenemos este activo”. Dice “este activo sostiene este proceso, depende de estas piezas, tiene este responsable y requiere este nivel de protección”.

Dependencias: dónde se esconden los riesgos que no se ven

Las dependencias son una de las partes más importantes del mapa. Muchas interrupciones no se producen porque falle el activo principal, sino porque falla algo que lo sostiene.

Puede tratarse de:

• Un proveedor de software.
• Una plataforma cloud.
• Un acceso remoto.
• Una integración entre aplicaciones.
• Un sistema de identidad.
• Una línea de comunicaciones.
• Un servicio gestionado.
• Una persona o equipo con conocimiento crítico.
• Una sede o centro logístico.
• Un procedimiento manual alternativo que no está probado.

NIS2 refuerza la necesidad de una visión más amplia del riesgo, especialmente cuando hay servicios esenciales, proveedores relevantes o cadenas de suministro tecnológicas. Si este punto preocupa en tu empresa, puede ser útil revisar también el enfoque de gestión de proveedores y cadena de suministro bajo NIS2.

La pregunta de dirección no debería ser solo “¿tenemos seguridad en este sistema?”, sino “¿de qué depende este proceso para seguir funcionando?”.

Cómo clasificar activos críticos sin complicar el modelo

No todas las empresas necesitan un modelo complejo. Lo importante es que sea comprensible, mantenible y útil para decidir.

Una clasificación inicial puede valorar tres dimensiones:

Con esta base, los activos pueden clasificarse como críticos, importantes o de soporte. La categoría no debe decidirse solo por criterios técnicos, sino por impacto en negocio, obligaciones contractuales, continuidad y reputación.

Qué información mínima debe contener el mapa

Un mapa de activos NIS2 no tiene que empezar siendo perfecto. Es preferible una primera versión completa al 70% y validada por las áreas clave que un inventario técnico exhaustivo que nadie utiliza.

Como mínimo, debería incluir:

1. Nombre del activo o servicio
   Identificación clara, sin códigos incomprensibles para dirección.

2. Proceso de negocio asociado
   Por ejemplo: facturación, producción, logística, atención al cliente, compras o gestión financiera.

3. Propietario funcional
   Área o responsable que conoce el impacto del activo en la operación.

4. Responsable técnico o proveedor
   Quién administra, mantiene o presta el servicio.

5. Datos tratados
   Información sensible, datos personales, datos operativos, información financiera o propiedad intelectual.

6. Dependencias relevantes
   Sistemas, integraciones, accesos, comunicaciones, proveedores o sedes necesarias.

7. Impacto de indisponibilidad
   Consecuencias si el activo no está disponible durante horas o días.

8. Medidas existentes
   Copias de seguridad, control de accesos, monitorización, contratos, procedimientos o planes de contingencia.

9. Nivel de prioridad
   Clasificación que permita decidir qué revisar primero.

10. Evidencias disponibles
    Documentos, registros, contratos, actas, pruebas o revisiones que demuestren control.

Este último punto es relevante porque NIS2 no se limita a implantar medidas; también exige capacidad de demostrar que se han evaluado riesgos, tomado decisiones y mantenido controles razonables.

Priorización: convertir el mapa en un plan de acción

El mapa no debe quedarse en una foto estática. Su utilidad aparece cuando se convierte en un plan.

Una vez identificados los activos y procesos críticos, dirección puede priorizar preguntas como:

• ¿Qué activos críticos no tienen propietario claro?
• ¿Qué procesos dependen de un único proveedor?
• ¿Qué sistemas no tienen recuperación suficientemente probada?
• ¿Qué accesos privilegiados no están revisados?
• ¿Qué activos críticos no aparecen en contratos o acuerdos de servicio?
• ¿Qué evidencias faltan para justificar decisiones?
• ¿Qué inversiones reducen más riesgo por cada euro invertido?

Este enfoque ayuda a evitar compras desordenadas. Antes de aprobar herramientas, conviene saber qué se quiere proteger, por qué es prioritario y qué riesgo se reduce. También permite preparar mejor un presupuesto NIS2 porque conecta inversión con impacto operativo.

Relación con ISO 27001, auditoría y continuidad

El mapa de activos también encaja con marcos como ISO 27001, auditorías internas y planes de continuidad. No son trabajos separados: todos necesitan una base común de activos, riesgos, responsables y evidencias.

Para una auditoría, el mapa ayuda a explicar el alcance y justificar prioridades. Para continuidad de negocio, permite identificar procesos esenciales y tiempos razonables de recuperación. Para análisis de riesgos, aporta contexto sobre impacto y exposición. Para proveedores, muestra dependencias externas que no deberían quedar sin control.

En empresas con sedes, filiales o actividad regional, esta visión también puede ayudar a coordinar criterios comunes. Si tu organización está en Galicia, puede interesarte complementar esta lectura con el análisis sobre NIS2 en empresas de Galicia o con el contexto de ciberseguridad empresarial en Vigo y Galicia.

Cuándo revisar el mapa de activos

El mapa debe mantenerse vivo. No hace falta revisarlo cada semana, pero sí cuando cambian los riesgos o la organización.

Conviene actualizarlo cuando:

• Se incorpora una nueva aplicación crítica.
• Cambia un proveedor tecnológico relevante.
• Se externaliza un proceso.
• Se abre una sede o línea de negocio.
• Se integran empresas, plataformas o sistemas.
• Se detecta un incidente o casi incidente.
• Se modifica el modelo de acceso remoto.
• Se aprueban inversiones relevantes en tecnología.
• Se revisa el plan de continuidad.
• Se prepara una auditoría o evaluación NIS2.

También es recomendable revisarlo tras escenarios como ransomware, no solo para mejorar defensas técnicas, sino para entender qué activos condicionan la recuperación. Sobre este punto, puede ser útil leer cómo preparar la empresa ante ransomware en el contexto NIS2.

Un entregable sencillo, pero con valor de gobierno

Un buen mapa de activos NIS2 no tiene que ser sofisticado para ser útil. Debe ser claro, trazable y comprensible para quienes toman decisiones.

Su principal valor es ordenar la conversación: qué tenemos, qué sostiene el negocio, quién es responsable, de qué depende, qué impacto tendría un fallo y qué debemos priorizar.

Cuando esa información está documentada, la empresa puede avanzar con más seguridad en análisis de riesgos, planes de continuidad, revisión de proveedores, auditorías y decisiones de presupuesto. Y, sobre todo, puede demostrar que la ciberseguridad se gestiona desde el gobierno de la organización, no solo desde la tecnología.

Si tu empresa necesita empezar a ordenar activos, procesos, responsables y prioridades, puedes utilizar nuestro checklist NIS2 como punto de partida para identificar brechas y preparar los siguientes pasos.