NIS2: preparar evidencias de exposición externa
Hoja de trabajo para ordenar el alcance, las observaciones y su seguimiento. No determina la aplicabilidad normativa ni acredita cumplimiento.
1. Confirmar el contexto y la autorización
Identifica el servicio, sus responsables y la normativa que deba analizarse. La aplicabilidad depende del caso y de las normas pertinentes; no se deduce de una sola cifra de empleados o facturación.
Antes de una evaluación técnica, documenta el titular, los activos autorizados, las técnicas permitidas y la vigencia. Revisa por separado los activos de terceros y el procedimiento para revocar la autorización.
2. Registrar observaciones comprobables
Un contador de hallazgos o una etiqueta de gravedad no sustituyen la evidencia. Minimiza los datos personales o secretos capturados.
- Activo y relación con el perímetro autorizado.
- Fecha y hora de observación, método y fuente.
- Evidencia mínima necesaria y forma segura de reproducir la observación.
- Separación entre observación, inferencia y hallazgo confirmado.
- Cobertura y limitaciones de la evaluación.
3. Acordar prioridades y seguimiento
Asigna responsable, prioridad justificada, acción prevista y fecha de revisión. La frecuencia de comprobación y la conservación de evidencias deben responder al riesgo, las obligaciones aplicables y la capacidad operativa.
Al cerrar un hallazgo, conserva la comprobación de la corrección y sus límites. Un informe técnico cubre una parte del trabajo de seguridad; no certifica por sí solo cumplimiento.
4. Revisar la utilidad del resultado
Estas preguntas son una propuesta de trabajo, no una lista de requisitos legales exhaustiva ni una promesa sobre capacidades actuales de Ziaren.
- ¿Puede reproducirse la observación dentro del alcance autorizado?
- ¿Se han aclarado los falsos positivos y las incertidumbres?
- ¿Cada acción tiene responsable y criterio de cierre?
- ¿La información ayuda a decidir qué corregir primero?
Fuente normativa y límites
La Directiva (UE) 2022/2555 es una fuente para estudiar el marco NIS2. Deben revisarse también las normas aplicables al país, sector y servicio concretos. Esta guía no publica calendarios, sanciones ni plazos universales de retención.