Software NIS2
para cumplimiento y gestión de riesgos

NIS2 es la Directiva (UE) 2022/2555 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión. Obliga a las entidades importantes y esenciales a adoptar medidas de gestión de riesgos, a notificar los incidentes significativos y a registrarse, y atribuye la responsabilidad a la dirección. En Alemania, la ley alemana de transposición de NIS2 la ha incorporado a la ley del BSI (BSIG), cuya nueva versión está en vigor desde el 6 de diciembre de 2025.

Un software NIS2 representa las obligaciones de NIS2 en un modelo de datos — alcance, activos, requisitos, riesgos, medidas, incidentes de seguridad y evidencias — y los vincula entre sí. En esencia es un software ISMS que incorpora el catálogo de requisitos de NIS2: en lugar de mantener a mano la coherencia de hojas de cálculo, cada objeto se mantiene una sola vez y los informes y cuadros de mando se generan a partir de los datos.

Un software para la implantación de NIS2 no sustituye el trabajo, lo ordena: los requisitos de NIS2 están disponibles como catálogo, y cada uno se evalúa, se justifica y se respalda con evidencias. Los riesgos y las medidas están vinculados a los activos a los que afectan, con plazos y responsables asignados. Así se puede documentar el cumplimiento NIS2 e informar del estado en cualquier momento — sin que nadie tenga que consolidar hojas de cálculo.

Complaica da soporte a toda la implantación de NIS2: las diez medidas de gestión de riesgos según el § 30 BSIG, para los tipos de entidades afectados el Reglamento de Ejecución (UE) 2024/2690 con los art. 1–⁠14 y las 13 áreas temáticas de su anexo, la gestión de los incidentes de seguridad con los plazos de notificación según el § 32 BSIG y la vista para la dirección según el § 38 BSIG. Los catálogos se evalúan sobre su árbol de activos.

El § 30 BSIG enumera diez ámbitos que las medidas deben abarcar como mínimo: análisis de riesgos y políticas de seguridad, gestión de incidentes, continuidad de las actividades y gestión de crisis, seguridad de la cadena de suministro, seguridad en la adquisición, el desarrollo y el mantenimiento, evaluación de la eficacia, formación, criptografía, seguridad de los recursos humanos y control de accesos, así como autenticación multifactorial y comunicaciones seguras. Las medidas deben ser adecuadas, proporcionadas y eficaces, y su cumplimiento debe documentarse.

Desarrolla la Directiva NIS2. Los art. 1 y 2 establecen, junto con el anexo, los requisitos técnicos y metodológicos de las medidas de gestión de riesgos; los art. 3 y 4 determinan cuándo un incidente de seguridad se considera significativo; los art. 5 a 14 lo hacen para determinados tipos de entidades — desde los proveedores de servicios de DNS, pasando por los servicios de computación en nube y de centro de datos, hasta los prestadores de servicios de confianza. El Reglamento se aplica directamente solo a esos tipos de entidades.

El Reglamento de Ejecución (UE) 2024/2690 se aplica directamente solo a los tipos de entidades que él mismo menciona: proveedores de servicios de DNS, registros de nombres de dominio de primer nivel, proveedores de servicios de computación en nube y de centro de datos, proveedores de redes de distribución de contenidos (CDN), proveedores de servicios gestionados y de servicios de seguridad gestionados (Managed Service Provider, Managed Security Service Provider), proveedores de mercados en línea, de motores de búsqueda en línea y de plataformas de servicios de redes sociales, así como prestadores de servicios de confianza. A todas las demás entidades importantes y esenciales se les aplican las obligaciones de la BSIG; el Reglamento puede servirles de orientación, pero no es vinculante para ellas.

Los incidentes de seguridad significativos deben notificarse, según el § 32 BSIG, a la oficina de notificación conjunta del BSI y del BBK: con una alerta temprana, una notificación y un informe final y, a petición del BSI, además con informes intermedios. Complaica gestiona los incidentes de seguridad con marcas de tiempo, responsables y plazos, y registra cada paso con autor y fecha. La notificación en sí la presenta usted ante la oficina de notificación.

Ambos plazos cuentan desde el momento en que la entidad tiene conocimiento de un incidente de seguridad significativo. En un plazo de 24 horas debe presentarse la alerta temprana y, en un plazo de 72 horas, la notificación, que confirma o actualiza la información inicial. A más tardar un mes después de esa notificación sigue el informe final; si el incidente sigue en curso, lo sustituye un informe de situación.

Los proveedores de servicios y los suministradores se gestionan como activos y se vinculan con los procesos de negocio y los servicios que dependen de ellos. Por cada proveedor se pueden evaluar requisitos, identificar y tratar riesgos de proveedores y guardar evidencias. El grafo y la matriz de dependencias muestran qué servicio depende de qué proveedor.

Según el § 38 BSIG, la dirección debe implementar las medidas de gestión de riesgos, supervisar su implementación y participar periódicamente en formaciones. Por eso los cuadros de mando y los informes de Complaica están concebidos para la vista de la dirección: el grado de cumplimiento, los principales riesgos y las medidas abiertas en una sola página.

Cada requisito recibe un estado de implementación. Complaica lo acumula de abajo arriba — del requisito, pasando por el área temática, hasta la organización — y lo muestra en cuadros de mando: como valor total, por área temática, por sede y en comparación con el mes anterior. El grado de cumplimiento es un valor que Complaica calcula a partir de las evaluaciones que usted mismo realiza, no un indicador fijado por una autoridad.

La aplicabilidad se deriva del sector, el tamaño y la actividad. Están incluidas las entidades de los sectores de los anexos 1 y 2 de la BSIG — por ejemplo energía, transporte, salud, infraestructura digital, servicios TIC o industria manufacturera — por regla general a partir de 50 empleados o con más de 10 millones de euros de volumen de negocios anual y de balance anual; algunas entidades quedan incluidas con independencia de su tamaño. Con gusto comprobamos con usted si su empresa está afectada.

NIS2 es legislación, ISO 27001 una norma para el ISMS — en cuanto al contenido, ambas se solapan en muchos temas, desde la gestión de riesgos hasta el control de accesos. En Complaica, NIS2 e ISO 27001 se evalúan sobre el mismo modelo de alcance y utilizan los mismos activos, riesgos, medidas y evidencias. Lo mismo vale para TISAX, BSI IT-Grundschutz, DORA, RGPD e ISO 22301: lo que ya está documentado puede utilizarse — en la medida en que encaje por su contenido — para cada normativa a la que afecta.

Cubre una parte considerable de los requisitos del § 30 BSIG, pero no sustituye ni al registro ni a las obligaciones de notificación y evidencia. En Complaica ambas normativas utilizan los mismos activos, riesgos, medidas y evidencias; la diferencia aparece como lista de requisitos abiertos.

No. NIS2 es legislación, no una norma de certificación: no existe un certificado NIS2 ni para entidades ni para software. La entidad debe implementar las medidas y poder acreditarlo a petición de la autoridad de supervisión; si la obligación se cumple lo valora la autoridad competente. Complaica mantiene las evidencias disponibles en el objeto que acreditan.

Sí. Complaica está disponible como SaaS y on-premises: la variante SaaS se aloja en Alemania; on-premises opera usted el software de cumplimiento NIS2 en su propia infraestructura. La licencia cuesta lo mismo en ambos casos.

Sí. Complaica importa y exporta datos desde y hacia Excel, a través de la REST API y desde otras herramientas ISMS; la migración de sus datos es gratuita y la acompañan nuestros especialistas. Así evalúa la herramienta con su propio conjunto de datos en lugar de con datos de demostración.

A través de la REST API, sistemas de gestión de activos y CMDB como i-doit, GLPI, FNT Command y otros, así como Jira, SAP y Microsoft Azure. Los datos de la aplicación están disponibles mediante data marts para sistemas externos de análisis e informes, y a través de MCP puede conectarse un asistente de IA.

Para un alcance definido, los primeros informes de situación fiables suelen estar disponibles en pocas semanas — según la documentación existente y los recursos disponibles. Con contenido preparado y consultoría, las organizaciones pequeñas se sitúan en el extremo inferior.