Servicios NIS2

Del análisis de brechas al cumplimiento demostrable.

Diez servicios que cubren las diez medidas del artículo 21, la notificación del artículo 23 y la responsabilidad del artículo 20. Puedes contratarlos como proyecto cerrado, como programa anual o como servicio gestionado.

Solicitar evaluación Realizar diagnóstico

Cómo trabajamos

Cada servicio termina en evidencias.

Informes, políticas, registros, planes y cuadros de mando que resisten una inspección de la autoridad competente o una auditoría de un cliente. Sin evidencias no hay cumplimiento.

Q1 · Discovery

Análisis de brechas NIS2 (GAP)

Dónde estás hoy respecto al artículo 21 y qué hay que hacer primero.

Q1 · Discovery

Gobierno y responsabilidad directiva

Políticas, roles, comité de seguridad y formación del órgano de dirección.

Continuo

Gestión de riesgos y evaluación de eficacia

Análisis de riesgos vivo, métricas y auditorías internas que demuestran que los controles funcionan.

Q2 · Hardening

Hardening de infraestructura

MFA, cifrado, segmentación, EDR, control de acceso y backups inmutables en IT y OT.

Q2 · Hardening

Seguridad de la cadena de suministro

Evaluación de proveedores, cláusulas contractuales y seguimiento continuo.

Q3 · Simulacros

Gestión y notificación de incidentes

Procedimientos, playbooks, plantillas 24/72 h y simulacros con el CSIRT de referencia.

Q3 · Simulacros

Continuidad de negocio y gestión de crisis

BIA, planes de continuidad y recuperación, copias y pruebas documentadas.

Continuo

Vigilancia continua 24/7 (SOC/MDR)

Detección y respuesta gestionadas desde el centro de operaciones de Grupo Bomontec.

Q4 · Certificación

Evidencias, auditoría y supervisión

Registro de evidencias, auditoría de cumplimiento y acompañamiento ante la autoridad.

Continuo

Formación y ciberhigiene

Concienciación, simulacros de phishing y formación obligatoria para directivos.

01 · Q1 · Discovery

Análisis de brechas NIS2 (GAP)

Confirmamos si NIS2 te aplica y en qué categoría, inventariamos los activos y servicios críticos y medimos cada medida del artículo 21 frente a tu situación real. El resultado es un plan director priorizado por riesgo y esfuerzo.

Qué incluye

Determinación del ámbito: sector, tamaño, supuestos especiales y clasificación (esencial o importante).
Inventario de activos, servicios y dependencias críticas IT/OT.
Evaluación de riesgos inicial y análisis de brechas sobre las diez medidas del art. 21.
Plan director de seguridad con hitos, responsables y presupuesto orientativo.

Entregables

Informe GAP con nivel de cumplimiento por medida
Matriz de obligaciones NIS2 y evidencias necesarias
Plan director priorizado

Medidas NIS2 relacionadas

Art. 2 · ÁmbitoArt. 3 · ClasificaciónArt. 21.2.a · Análisis de riesgos

Solicitar evaluación

02 · Q1 · Discovery

Gobierno y responsabilidad directiva

NIS2 responsabiliza a la dirección. Diseñamos el marco de gobierno: políticas aprobadas por el consejo, funciones y responsabilidades, comité de ciberseguridad, cuadro de mando y el programa de formación exigido por el artículo 20.

Qué incluye

Política de seguridad y marco normativo interno aprobado por la dirección.
Asignación de roles: responsable de seguridad, propietarios de activos y comité.
Cuadro de mando ejecutivo con métricas de riesgo y cumplimiento.
Formación específica para consejeros y directivos (art. 20.2).

Entregables

Cuerpo normativo (políticas y procedimientos)
Actas y evidencias de aprobación y supervisión
Plan de formación directiva

Medidas NIS2 relacionadas

Art. 20 · GobernanzaArt. 21.2.a · PolíticasArt. 21.2.f · Eficacia de las medidas

Solicitar evaluación

03 · Continuo

Gestión de riesgos y evaluación de eficacia

Un análisis de riesgos documentado, metodología reconocida (ISO 27005, MAGERIT) y un ciclo de evaluación de la eficacia con auditorías internas, pruebas técnicas e indicadores que alimentan el cuadro de mando.

Qué incluye

Metodología de análisis y tratamiento de riesgos adaptada a la entidad.
Registro de riesgos, plan de tratamiento y declaración de aplicabilidad.
Programa de auditoría interna y pruebas de eficacia de controles.
Indicadores (KPI/KRI) y revisión periódica por la dirección.

Entregables

Análisis de riesgos y plan de tratamiento
Informe de auditoría interna
Cuadro de indicadores

Medidas NIS2 relacionadas

Art. 21.2.a · Análisis de riesgosArt. 21.2.f · Evaluación de la eficacia

Solicitar evaluación

04 · Q2 · Hardening

Hardening de infraestructura

Implantamos las medidas técnicas que cierran las brechas críticas: autenticación multifactor generalizada, cifrado de datos y comunicaciones, segmentación de red por capas, protección del puesto y del servidor, control de accesos privilegiados y copias inmutables.

Qué incluye

MFA en accesos remotos, correo, cuentas privilegiadas y aplicaciones críticas.
Segmentación IT/OT (VLAN, microsegmentación, zonas y conductos) con NeoFense y NeoHole.
Cifrado de datos en reposo y en tránsito; gestión de claves y certificados.
EDR/XDR, bastionado de sistemas y gestión de vulnerabilidades con escaneos mensuales y pentest.
Copias de seguridad inmutables con pruebas de restauración.

Entregables

Arquitectura de seguridad y guías de bastionado
Informe de vulnerabilidades y plan de remediación
Evidencias de configuración y pruebas

Medidas NIS2 relacionadas

Art. 21.2.e · Seguridad de redes y sistemasArt. 21.2.h · CriptografíaArt. 21.2.i · Control de accesoArt. 21.2.j · MFA

Solicitar evaluación

05 · Q2 · Hardening

Seguridad de la cadena de suministro

NIS2 obliga a gestionar el riesgo de proveedores directos y prestadores de servicios, en especial los de TIC. Clasificamos la cadena de suministro, evaluamos su ciberhigiene y trasladamos requisitos contractuales y de seguimiento.

Qué incluye

Inventario y clasificación de proveedores por criticidad.
Cuestionarios de evaluación, revisión de certificaciones y auditorías a proveedores críticos.
Cláusulas NIS2 en contratos: notificación de incidentes, derecho de auditoría, niveles de servicio.
Programa de seguimiento y re-evaluación periódica.

Entregables

Registro de proveedores y evaluación de riesgo
Modelo de cláusulas contractuales
Informe de seguimiento

Medidas NIS2 relacionadas

Art. 21.2.d · Cadena de suministroArt. 21.3 · Proveedores y evaluaciones coordinadas

Solicitar evaluación

06 · Q3 · Simulacros

Gestión y notificación de incidentes

Preparamos a la organización para detectar, contener y notificar en plazo: procedimiento de gestión de incidentes, criterios de significatividad, plantillas para la alerta temprana (24 h), la notificación (72 h) y el informe final (1 mes), y simulacros que validan el proceso de extremo a extremo.

Qué incluye

Procedimiento de gestión de incidentes y playbooks por escenario (ransomware, fuga de datos, DDoS, OT).
Criterios para calificar un incidente como significativo y árbol de decisión de notificación.
Plantillas y canal con el CSIRT de referencia (INCIBE-CERT, CCN-CERT) y la autoridad competente.
Simulacros de mesa y técnicos con la dirección; lecciones aprendidas.

Entregables

Procedimiento y playbooks
Kit de notificación 24 h / 72 h / 1 mes
Informe de simulacro

Medidas NIS2 relacionadas

Art. 21.2.b · Gestión de incidentesArt. 23 · Notificación

Solicitar evaluación

07 · Q3 · Simulacros

Continuidad de negocio y gestión de crisis

Analizamos el impacto en el negocio, definimos RTO/RPO por servicio crítico, diseñamos los planes de continuidad y recuperación ante desastres y los probamos con simulacros. Alineado con ISO 22301.

Qué incluye

Análisis de impacto en el negocio (BIA) y estrategias de continuidad.
Plan de continuidad, plan de recuperación ante desastres y plan de gestión de crisis.
Arquitectura de copias de seguridad inmutables y réplicas con NeoFrontHA.
Pruebas de restauración y simulacros de crisis con la dirección.

Entregables

BIA y mapa de dependencias
Planes de continuidad, DRP y crisis
Registro de pruebas

Medidas NIS2 relacionadas

Art. 21.2.c · Continuidad de las actividades

Solicitar evaluación

08 · Continuo

Vigilancia continua 24/7 (SOC/MDR)

Monitorización continua de la infraestructura IT y OT, correlación de eventos, caza de amenazas y respuesta a incidentes, integradas con el proceso de notificación NIS2 para que el reloj de las 24 horas empiece con la información correcta.

Qué incluye

Monitorización 24/7 de red, endpoints, identidades, cloud y OT.
Detección y respuesta gestionadas (MDR) con playbooks acordados.
Informes periódicos de amenazas, incidentes y métricas (MTTD, MTTR).
Integración con la gestión de incidentes y la notificación a la autoridad.

Entregables

Informe mensual de operación
Registro de incidentes y acciones
Evidencias para la autoridad y auditorías

Medidas NIS2 relacionadas

Art. 21.2.b · Gestión de incidentesArt. 21.2.e · Gestión de vulnerabilidadesArt. 23 · Notificación

Solicitar evaluación

09 · Q4 · Certificación

Evidencias, auditoría y supervisión

Organizamos las evidencias de cada medida, realizamos la auditoría final de cumplimiento y te acompañamos en inspecciones, requerimientos de información y auditorías de clientes. Si procede, preparamos la certificación ISO 27001 como base.

Qué incluye

Repositorio estructurado de evidencias por medida y obligación.
Auditoría de cumplimiento NIS2 con informe y plan de acciones correctivas.
Respuesta a requerimientos y acompañamiento en inspecciones.
Preparación de ISO 27001 / ENS cuando aporte valor.

Entregables

Repositorio de evidencias
Informe de auditoría de cumplimiento
Dossier para la autoridad competente

Medidas NIS2 relacionadas

Art. 21.2.f · EficaciaArt. 32-33 · SupervisiónArt. 24 · Certificación

Solicitar evaluación

10 · Continuo

Formación y ciberhigiene

Un programa de ciberhigiene para toda la plantilla y formación específica para el órgano de dirección, con simulacros de phishing trimestrales, métricas y evidencias de cumplimiento del artículo 20 y de la medida g del artículo 21.

Qué incluye

Formación para consejeros y directivos: obligaciones, riesgos y toma de decisiones.
Concienciación continua para empleados y proveedores.
Simulacros de phishing trimestrales con informe de resultados.
Guías de ciberhigiene básica y políticas de uso aceptable.

Entregables

Plan de formación y registros de asistencia
Informes de simulacros
Material de concienciación

Medidas NIS2 relacionadas

Art. 20.2 · Formación de la direcciónArt. 21.2.g · Ciberhigiene y formación

Solicitar evaluación

Nuestro proceso

Ciclo de protección

Discovery

Identificación de activos críticos y mapeo de dependencias técnicas en la infraestructura.

Hardening

Robustecimiento de sistemas y cierre de brechas de seguridad inmediatas y críticas.

Monitor

Vigilancia continua 24/7 mediante nuestro centro de operaciones avanzado.

Compliance

Mantenimiento legal y técnico para el cumplimiento normativo perpetuo de la directiva.

Primer paso

¿Listo para convertir NIS2 en una ventaja competitiva?

Realiza el diagnóstico gratuito o cuéntanos tu situación. Te devolvemos un primer criterio técnico y normativo en horario laboral.

Realizar diagnóstico Hablar con un especialista