La lección anterior terminó señalando el límite de la autonomía: Nimbus ha diseñado su calendario y su hoja de ruta mirando su propio riesgo, y eso está bien, pero hay cosas que no se eligen. Cuando una clínica pregunta si Nimbus cumple el RGPD, cuando un cliente institucional exige el Esquema Nacional de Seguridad o cuando un contrato de renovación condiciona la firma a una certificación ISO 27001, la conversación deja de ser sobre prioridades propias. Esta lección ordena el mapa: qué obliga de verdad, qué es voluntario, qué le aplica a una PYME española como Nimbus y qué no, y sobre todo cómo se traduce una frase escrita en lenguaje jurídico en trabajo concreto que alguien tiene que hacer un martes por la mañana.

Nota de validación. Esta lección es material formativo, no asesoramiento jurídico. La aplicabilidad concreta de cada norma depende del sector, del tamaño, de la actividad, de los clientes y de la jurisdicción, y las normas se modifican. Verifica siempre la versión vigente en las fuentes oficiales (BOE, EUR-Lex, AEPD, INCIBE, CCN) y valida el alcance con un profesional —abogado especializado, delegado de protección de datos o responsable de cumplimiento— antes de tomar decisiones.

1. Cuatro cosas que se confunden y no son lo mismo
2. El mapa normativo aplicable a Nimbus
3. NIS2 y su transposición: por qué una PYME puede quedar dentro
4. El Esquema Nacional de Seguridad (ENS)
5. LSSI-CE, normativa sectorial sanitaria y PCI DSS
6. Hacia dónde va la regulación: DORA y el Reglamento de IA
7. ISO/IEC 27001 en profundidad
8. Otros estándares y esquemas: cuándo elegir cada uno
9. De la obligación al trabajo real: requisito, política, control, evidencia
10. El cliente como regulador de facto
11. Reutilizar entre marcos: el marco de control unificado

El primer error de cualquier organización que se acerca a este terreno es meterlo todo en el mismo saco: «normativa». Pero una ley, un estándar certificable, un marco de referencia y una cláusula de contrato tienen naturaleza, consecuencias y coste distintos, y confundirlos lleva a dedicar esfuerzo donde no toca.

Tres precisiones que ahorran discusiones:

• Un estándar voluntario puede volverse obligatorio por contrato. ISO 27001 no la exige ninguna ley a Nimbus, pero si un cliente la pone como condición de renovación, su efecto práctico sobre la caja es idéntico al de una obligación legal.
• Cumplir un marco no acredita nada frente a un tercero. Nimbus usa CIS IG1 (04-03) y NIST CSF (02-01), y eso mejora su seguridad y ordena su trabajo, pero no es certificable: no existe un «certificado CIS». Sirve para explicar, no para acreditar.
• Ninguna norma legal exige controles concretos. El RGPD no dice «usa AES-256». Dice «medidas técnicas y organizativas apropiadas al riesgo». La traducción de esa frase a un control concreto la hace la organización y debe poder justificarla. Eso es precisamente el apartado 9.

La conclusión operativa para una PYME es tranquilizadora: de una lista que asusta, lo que obliga de verdad y sin condiciones son el RGPD, la LOPDGDD y la LSSI. El resto depende de decisiones de negocio (a qué clientes se vende) o de una verificación concreta (NIS2). Y esa verificación conviene hacerla por escrito y con fecha, porque «creíamos que no nos aplicaba» no es una defensa.

La Directiva (UE) 2022/2555, conocida como NIS2, sustituye a la NIS original y amplía enormemente el conjunto de organizaciones sujetas a obligaciones de ciberseguridad. Es una directiva, no un reglamento: no se aplica directamente, sino a través de la norma nacional que la transpone. Verifica el estado y el contenido exacto de la transposición española vigente, porque los detalles de ámbito, autoridad competente y régimen sancionador se fijan ahí.

Cómo se determina si una organización queda dentro. Dos criterios que se combinan:

1. Sector. NIS2 distingue sectores de alta criticidad (energía, transporte, banca, sanidad, agua, infraestructura digital, Administración pública, espacio) y otros sectores críticos (servicios postales, gestión de residuos, alimentación, fabricación, proveedores de servicios digitales, investigación).
2. Tamaño. Como regla general, entran las entidades medianas y grandes (a partir de 50 empleados o 10 millones de euros de volumen de negocio). Por debajo, en principio quedan fuera salvo excepciones, y las excepciones son la parte importante.

De ahí la clasificación en dos categorías, que determina la intensidad de la supervisión:

Por qué Nimbus, con 38 empleados, puede quedar dentro igualmente. Tres vías, y las tres son reales:

• Por ser proveedor de servicios digitales. Un SaaS multicliente puede encajar en las categorías de servicios digitales de los anexos. La calificación exacta depende de la definición que fije la transposición.
• Por criticidad, aunque sea pequeña. La directiva permite incluir entidades por debajo del umbral de tamaño cuando son el único proveedor de un servicio esencial en un Estado miembro o cuando una interrupción tendría impacto significativo. Un SaaS de reservas usado por decenas de centros sanitarios es un candidato razonable a esa valoración.
• Por arrastre de la cadena de suministro, que es la vía más probable y la más inmediata. NIS2 obliga expresamente a las entidades sujetas a gestionar los riesgos de sus proveedores. Si una de las clínicas clientes de Nimbus es una entidad sujeta —o pertenece a un grupo hospitalario que lo es—, trasladará a Nimbus por contrato las mismas exigencias. Nimbus no recibirá una carta de la autoridad: recibirá un anexo de seguridad de su cliente. Eso ya lo vimos desde el otro lado en 04-04, cuando Nimbus evaluaba a la consultora.

Obligaciones básicas de gestión de riesgos que la directiva enumera (artículo 21), y que el alumno reconocerá porque son el curso entero:

Notificación de incidentes. NIS2 establece un procedimiento escalonado para incidentes significativos: un aviso temprano en 24 horas, una notificación de incidente en 72 horas y un informe final en un mes, ante el CSIRT o la autoridad competente. Es un régimen distinto y adicional al del RGPD: un mismo ransomware puede exigir notificar a la autoridad de protección de datos por la brecha de datos personales y a la autoridad NIS2 por la interrupción del servicio. Verifica los plazos y destinatarios exactos en la norma vigente.

Responsabilidad de la dirección. Es la novedad que más cambia la conversación en una PYME: NIS2 hace a los órganos de dirección responsables de aprobar las medidas de gestión de riesgos y de supervisar su aplicación, y exige que se formen. Puede llevar aparejada responsabilidad personal y, en el marco de la directiva, la posibilidad de inhabilitación temporal de directivos en entidades esenciales. En términos prácticos: la seguridad deja de ser un asunto delegable en Lucía, y el tiempo que Marta dedica en el calendario de 06-01 pasa de buena práctica a obligación documentada.

El ENS, regulado por el Real Decreto 311/2022, establece la política de seguridad para el uso de medios electrónicos en el ámbito de la Administración española. Su relevancia para una empresa privada como Nimbus es indirecta pero muy concreta: si Nimbus quiere vender su SaaS a un centro de fisioterapia de la sanidad pública, a una universidad pública o a un ayuntamiento, el ENS entra en el contrato. Los operadores del sector privado que prestan servicios a entidades del sector público deben acreditar el cumplimiento en el ámbito de esa prestación.

Categorías del sistema. El ENS clasifica cada sistema en BÁSICA, MEDIA o ALTA según el impacto de un incidente sobre las cinco dimensiones de seguridad —disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad—. Fíjate en que amplía la tríada CIA de 01-01 con autenticidad y trazabilidad, lo que refuerza la importancia del registro de auditoría de C-07.

Las medidas se organizan en tres marcos —organizativo (org), operacional (op) y medidas de protección (mp)—, con auditoría de conformidad al menos cada dos años para las categorías que la requieren. La declaración o certificación de conformidad se publica y permite al cliente público acreditar que su proveedor cumple.

La lectura útil para Nimbus. El ENS no es hoy una obligación, es una decisión comercial: abre la puerta al sector público y cierra parte de la competencia, a cambio de un coste de adecuación y auditoría que para una categoría MEDIA no baja de varias decenas de miles de euros el primer ciclo. La buena noticia es que el trabajo se solapa mucho con ISO 27001 y con lo ya hecho en los módulos 4 y 5: el análisis de riesgos, la política, el control de accesos, el registro de actividad, el cifrado y las copias son los mismos. Lo que no se solapa es la forma documental: el ENS tiene su propia estructura, su propia declaración de aplicabilidad y su propio lenguaje, y traducir a ella lo ya hecho consume tiempo.

LSSI-CE (Ley 34/2002). Aplica a Nimbus por el simple hecho de operar un sitio web y una plataforma en línea con actividad económica. Sus obligaciones son modestas y su incumplimiento es de los más fáciles de detectar por una autoridad, porque se ve desde fuera:

• Información del prestador accesible: denominación social, NIF, domicilio, correo de contacto, datos registrales. Un aviso legal, en la práctica.
• Comunicaciones comerciales identificables como tales y con consentimiento previo, salvo la excepción de relación contractual previa con productos similares, siempre con posibilidad de oposición sencilla en cada comunicación.
• Cookies y tecnologías de seguimiento: información y consentimiento previo, sin patrones engañosos. Este punto se cruza con el RGPD y con la guía vigente de la AEPD sobre cookies —verifica la versión en vigor, porque los criterios se han actualizado varias veces—.
• Conservación de datos de conexión en los términos que fije la normativa aplicable.

Normativa sectorial sanitaria, por vía de los clientes. Nimbus no es un centro sanitario y no le aplica directamente la Ley 41/2002 de autonomía del paciente ni la normativa de historia clínica. Pero sus clientes sí están sujetos, y trasladarán las exigencias en el contrato: plazos de conservación de la documentación clínica, requisitos de acceso y trazabilidad, y limitaciones sobre quién puede ver qué. La consecuencia práctica es doble: el histórico de citas de una clínica no puede tratarse como un dato comercial cualquiera, y el contrato de encargado del tratamiento (06-03) es donde se resuelve quién responde de qué.

PCI DSS y por qué Nimbus reduce su alcance. PCI DSS es un estándar de la industria de medios de pago, exigido por contrato con la entidad adquirente y las marcas de tarjeta —no es una ley—. Aplica a quien almacena, procesa o transmite datos de titulares de tarjeta. Nimbus tokeniza los pagos en una pasarela externa (A-12): el navegador del cliente envía los datos de tarjeta directamente a la pasarela, que devuelve un token sin valor fuera de ese proveedor. Nimbus nunca ve el PAN.

Esto reduce drásticamente el alcance, pero conviene ser preciso, porque aquí se cometen errores caros:

• Reducir no es eliminar. Sigue existiendo un cuestionario de autoevaluación aplicable, típicamente de la familia SAQ A o SAQ A-EP según cómo se integre el formulario de pago. Determinar cuál corresponde es una cuestión técnica con consecuencias, y conviene confirmarlo con la entidad adquirente.
• La página que carga el formulario sigue estando en alcance. Si Nimbus sirve la página desde la que se introduce la tarjeta, un ataque a su SPA —un script inyectado, un skimmer de lado cliente— captura datos de tarjeta aunque Nimbus no los almacene. De ahí que la CSP de 05-03 y la integridad de los scripts de terceros no sean cosmética.
• Basta un despiste para volver a entrar en alcance: alguien que acepta un número de tarjeta por teléfono y lo apunta, un log que registra el cuerpo completo de una petición, un ticket de soporte con una captura. La regla operativa para Rubén es simple y absoluta: si llega un número de tarjeta por cualquier canal, se borra y se redirige al cliente a la pasarela.

Dos normas que hoy no aplican a Nimbus pero que marcan la dirección y conviene conocer, porque el patrón se repetirá.

• DORA — Reglamento (UE) 2022/2554 de resiliencia operativa digital. Dirigido al sector financiero (bancos, aseguradoras, gestoras) y, muy relevante, a sus proveedores TIC. Impone gestión de riesgos TIC, notificación de incidentes, pruebas de resiliencia y un régimen contractual muy detallado con los proveedores, incluido un registro de acuerdos y derechos de auditoría. Si Nimbus vendiera algún día a una aseguradora de salud, recibiría este régimen por contrato.
• Reglamento (UE) 2024/1689 de Inteligencia Artificial. Enfoque basado en riesgo, con prácticas prohibidas, sistemas de alto riesgo con obligaciones fuertes y obligaciones de transparencia para el resto, con aplicación escalonada. Hoy no alcanza a Nimbus. Le alcanzaría si añadiera, por ejemplo, un modelo que priorizara pacientes o predijera abandonos usando datos que revelan salud. Antes de construir esa funcionalidad habría que evaluar la calificación, no después.

El patrón común de la regulación europea reciente, y la razón de fijarse en él: se regula por riesgo y por sector, se extiende la responsabilidad a la cadena de suministro, se exige notificar y se responsabiliza a la dirección. Cualquier norma futura que alcance a Nimbus tendrá esa forma, y quien tenga hechos el análisis de riesgos, el inventario, la gestión de terceros y las evidencias partirá con casi todo el trabajo hecho.

Es la petición más frecuente que recibe una PYME tecnológica, así que merece detalle.

Qué es un SGSI. ISO/IEC 27001 no certifica que una empresa sea segura: certifica que tiene un Sistema de Gestión de la Seguridad de la Información —un conjunto de procesos documentados para identificar riesgos, decidir controles, aplicarlos, medirlos y mejorarlos— y que ese sistema funciona. Es una norma de gestión, hermana de ISO 9001. Entender esto evita la decepción clásica del que espera una lista de controles técnicos obligatorios.

Estructura de la norma. Las cláusulas 4 a 10 son los requisitos auditables; el Anexo A es el catálogo de controles de referencia.

El Anexo A contiene los controles de referencia, organizados en cuatro temas —organizativos, de personas, físicos y tecnológicos—. La versión de 2022 reestructuró el anexo respecto a la de 2013 y añadió controles sobre inteligencia de amenazas, seguridad en la nube, gestión de la configuración, prevención de fuga de datos y filtrado web. Verifica qué versión de la norma y qué edición del anexo aplica a tu certificación.

El papel del análisis de riesgos y la SoA. Aquí está el corazón de la norma y lo que la diferencia de una checklist: los controles no se eligen de una lista, se derivan del análisis de riesgos. Nimbus ya hizo ese análisis en 04-01. La Declaración de Aplicabilidad (SoA, Statement of Applicability) es el documento que recorre todos los controles del Anexo A y, para cada uno, declara si es aplicable o no, por qué, si está implantado, y dónde está la justificación. Es el documento que el auditor abre primero, porque revela en dos minutos si el SGSI es real o es papel. Extracto:

Dos detalles que separan una SoA creíble de una decorativa: las exclusiones se justifican con una razón de negocio, no con «no aplica», y los estados «parcial» aparecen. Una SoA con todo implantado y nada parcial es la señal más fiable de que nadie la ha rellenado con honestidad, y un auditor experimentado empezará precisamente por ahí.

Ciclo de certificación.

Qué cuesta y cuánto tarda de verdad en una empresa de 38 personas que ya ha hecho lo de los módulos 4 y 5:

La decisión honesta para Nimbus. Con 18.000 € de presupuesto anual y 440 horas de Lucía —de las que 300 ya están comprometidas en operar—, certificarse este año consumiría todo el presupuesto y desplazaría la hoja de ruta de 06-01. Y ahí está el argumento decisivo: hoy Nimbus reduciría más riesgo real gastando ese dinero en detección, copias inmutables y pentest que en un certificado. Un SGSI sobre unos controles a medio implantar produce un certificado que no se corresponde con la seguridad efectiva, que es justamente el antipatrón del «cumplimiento como sustituto» de 06-01.

La recomendación razonable, en tres pasos: (1) este año, hacer el trabajo de fondo y montar la matriz de trazabilidad de 06-04, que es el 70 % del SGSI aunque no se llame así; (2) el año siguiente, una autoevaluación contra ISO 27001 con un consultor durante dos días para saber exactamente dónde se está; (3) certificar cuando lo pague un contrato concreto, es decir, cuando exista un cliente identificado que condicione la firma al certificado. Certificarse antes es invertir a ciegas; certificarse entonces es una decisión de negocio con retorno calculable.

La diferencia entre ISO 27001 y SOC 2 confunde a mucha gente y conviene tenerla clara. ISO 27001 es un certificado internacional que dice «tiene un sistema de gestión conforme». SOC 2 es un informe de auditoría emitido por una firma de auditoría bajo normas estadounidenses, que describe controles y, en el Tipo II, verifica su funcionamiento a lo largo de un periodo (típicamente 6-12 meses). El Tipo I solo mira el diseño en una fecha, por lo que un cliente exigente pedirá siempre Tipo II. Un informe SOC 2 se entrega bajo acuerdo de confidencialidad y contiene detalle; un certificado ISO es una página. Ni uno sustituye al otro, y hacer los dos duplica el coste de auditoría pero no el de implantación, porque los controles subyacentes son en gran medida los mismos.

Criterios de elección, en orden: ¿lo exige alguien que paga? ¿Qué es lo estándar en el mercado del cliente objetivo? ¿Cuánto se solapa con lo que ya tenemos? ¿Podemos operarlo cada año o será un esfuerzo que se abandona tras el primer certificado? La última pregunta descarta más proyectos que las tres anteriores juntas.

Este es el apartado que convierte esta lección en algo utilizable, y el que prepara directamente 06-04. Toda obligación —legal, contractual o de estándar— recorre siempre el mismo camino de cuatro tramos:

Ejemplo desarrollado de principio a fin, con un requisito real y su recorrido completo:

Tramo 1 — Requisito. RGPD, artículo 32.1.b: garantizar «la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento», y 32.1.d: «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas». El mismo requisito aparece, con otras palabras, en NIS2 artículo 21 («evaluación de la eficacia de las medidas») y en el Anexo A de ISO 27001. Un solo trabajo, tres normas cubiertas.

Tramo 2 — Política. La organización decide qué significa eso para ella, en lenguaje normativo y con verbos de obligación:

Tramo 3 — Control. Lo que se implanta y quién responde: es C-14 del catálogo de 04-03, con propietario Lucía, frecuencia trimestral y método de verificación definido —restauración completa a entorno aislado con verificación de integridad—.

Tramo 4 — Evidencia. Lo que se enseña a un auditor, a un cliente o a la AEPD:

Fíjate en lo que hace buena a esta evidencia y que casi nadie incluye: registra una incidencia detectada y su acción correctiva. Un auditor que ve informes perfectos trimestre tras trimestre sospecha que la prueba es un trámite; uno que ve un fallo detectado y corregido concluye que el control funciona de verdad. Paradójicamente, la evidencia de que algo falló y se arregló vale más que la evidencia de que todo fue bien.

Ese recorrido de cuatro tramos es reproducible para cualquier obligación: si te llega un requisito y no sabes qué hacer con él, escribe los cuatro tramos y verás inmediatamente cuál falta. Casi siempre falta el cuarto.

Antes de que una autoridad pregunte nada, preguntará un cliente. Los cuestionarios de seguridad que las clínicas y las cadenas de gimnasios envían a Nimbus antes de firmar o renovar son, en la práctica, la auditoría más frecuente que sufre una PYME. En 04-04 Nimbus lo hacía en el papel de quien evalúa; ahora le toca el papel de quien responde.

La regla de oro: se responde con honestidad, y no se promete de más. Una respuesta falsa en un cuestionario que se anexa al contrato puede constituir incumplimiento contractual, y si un incidente lo destapa, agrava todo lo demás. Un «todavía no, previsto para el segundo trimestre» pierde menos contratos de lo que la gente teme y construye credibilidad cuando resulta ser cierto.

Cómo industrializar la respuesta, porque el primer cuestionario cuesta 20 horas y el quinto debería costar 3: se construye un dosier de seguridad reutilizable con las respuestas aprobadas, la arquitectura, las certificaciones y garantías, el resumen del pentest, la política de privacidad y el procedimiento de notificación de brechas. Cada cuestionario nuevo se responde copiando del dosier y solo se investiga lo que no está. El dosier lo mantiene Marta y se revisa cada seis meses. Esto se desarrolla en 06-04, donde se convierte en parte del sistema de evidencias.

La pesadilla de cualquier organización con varias exigencias simultáneas es hacer el mismo trabajo tres veces con tres vocabularios distintos. La solución es el marco de control unificado: un solo catálogo de controles propios —C-01…C-22 en Nimbus— con un mapeo a los requisitos de cada norma. Se implanta y se verifica una vez; se presenta tantas veces como haga falta.

Tres consecuencias prácticas de trabajar así, y las tres se notan en horas de trabajo:

• Se implanta una vez. C-14 satisface simultáneamente el artículo 32 del RGPD, el 21.2.c de NIS2, un control del Anexo A y una medida del ENS. Quien organiza el trabajo por normas hace cuatro proyectos; quien lo organiza por controles hace uno.
• Se responde rápido. Cuando llega un cuestionario o un auditor de un marco nuevo, no se empieza de cero: se mapea el catálogo existente y solo se trabaja el hueco real.
• Se ve el hueco de verdad. La tabla revela con claridad qué requisitos no cubre ningún control propio. Ese es el trabajo pendiente, y suele ser mucho menor de lo que la lectura de la norma sugiere.

Recordatorio de validación. El mapeo entre controles y artículos de esta tabla es orientativo y con fines formativos. La correspondencia definitiva —especialmente la que se presenta ante un auditor o una autoridad— debe revisarse con un profesional de cumplimiento y contra el texto vigente de cada norma, que cambia.

• Confundir «no me han dicho nada» con «no me aplica». La aplicabilidad de NIS2 o del ENS se determina analizando la norma y la actividad, no esperando una carta. Escríbelo, féchalo y guárdalo: es evidencia de diligencia.
• Perseguir la certificación antes que la seguridad. Un certificado sobre controles a medias es caro, frágil y no protege. Primero el control, luego el papel que lo demuestra.
• Creer que tokenizar los pagos elimina PCI DSS. Reduce el alcance de forma drástica; no lo elimina. La página que carga el formulario sigue estando en juego, y basta un número de tarjeta apuntado en un ticket para volver a entrar.
• Copiar una SoA de plantilla. Un auditor detecta en cinco minutos una SoA sin justificaciones propias: pregunta por qué se excluyó un control y no hay respuesta. Las exclusiones se justifican con razones de negocio.
• Prometer de más en un cuestionario de cliente. Se anexa al contrato. Un «no, todavía no» pierde menos negocio que un incumplimiento demostrado.
• Trabajar por normas en lugar de por controles. Es la forma más eficaz de multiplicar el coste por tres sin multiplicar la seguridad.
• Consejo: antes de decidir nada, haz la tabla del apartado 2 con una fila por norma y tres columnas —aplica sí/no, por qué, quién lo ha verificado y cuándo—. Cuesta dos horas y suele reducir la ansiedad a la mitad, porque casi todo lo que asustaba no aplica.
• Consejo: monta el dosier de seguridad al responder el primer cuestionario, no al quinto. El coste marginal en ese momento es cero y el ahorro posterior es enorme.
• Consejo: verifica siempre la versión vigente. ISO 27001 cambió su Anexo A en 2022; la guía de cookies de la AEPD se ha actualizado varias veces; NIS2 depende de la transposición nacional. Citar una versión antigua ante un auditor destruye credibilidad.

Ejercicio 1 — Clasificar exigencias

Marta recibe en la misma semana estas cinco peticiones. Clasifica cada una como norma legal, estándar certificable, marco de referencia o exigencia contractual, indica la consecuencia real de no atenderla y propón qué hace Nimbus con cada una en los próximos 30 días.

1. Un hospital público de Valencia quiere contratar el SaaS para su servicio de rehabilitación y su pliego exige conformidad con el ENS categoría MEDIA.
2. Una cadena de gimnasios envía un cuestionario de 90 preguntas y un anexo de seguridad que exige notificación de incidentes en 24 horas.
3. Un consultor le dice a Marta que «deberíais implantar NIST CSF».
4. La AEPD publica una nueva guía sobre el tratamiento de datos de salud en aplicaciones.
5. Un cliente estadounidense pide un informe SOC 2 Tipo II antes de firmar.

Ejercicio 2 — Recorrer los cuatro tramos

Toma este requisito: «Los accesos de terceros a los sistemas deben estar limitados en el tiempo, autorizados individualmente y revisados periódicamente». Recorre los cuatro tramos —requisito, política, control, evidencia— para Nimbus, sabiendo que el tercero en cuestión es la consultora de sistemas (A-19) y que por ahí entró el incidente de 02-06. Escribe el enunciado de política en lenguaje normativo, identifica los controles del catálogo y define la evidencia con la estructura del apartado 9.

Ejercicio 3 — La decisión de certificarse

Un cliente que representa el 18 % de la facturación de Nimbus comunica que a partir del próximo ejercicio exigirá ISO 27001 certificada a todos sus proveedores de software. Marta te pide un análisis de una página. Estructura la respuesta con: coste total del primer ciclo, impacto sobre la hoja de ruta de 06-01, alternativas intermedias que puedan satisfacer al cliente, y una recomendación con condiciones.

Ejercicio 1

La lectura conjunta es la lección del ejercicio: de cinco peticiones que llegan con la misma cara de urgencia, solo dos mueven dinero de verdad, una ya está hecha, una es lectura y análisis, y la restante depende de una decisión comercial. Clasificar antes de actuar ahorra semanas.

Ejercicio 2

Tramo 1 — Requisito. Aparece simultáneamente en: RGPD art. 28 y 32.1.b (encargados y confidencialidad), NIS2 art. 21.2.d (seguridad de la cadena de suministro), ISO 27001 Anexo A (relaciones con proveedores y gestión de derechos de acceso), ENS op.acc/op.ext, y CIS v8 controles 5, 6 y 15. Un requisito, cinco marcos.

Tramo 2 — Política, en POL-08 (Gestión de Proveedores) con referencia cruzada a POL-02:

Tramo 3 — Controles. Cuatro del catálogo de 04-03, ninguno nuevo: C-03 (acceso just-in-time de 8 h con revocación automática), C-01 (MFA obligatorio también para el tercero), C-09 (alerta de acceso administrativo fuera de ventana, que es la detección D-03) y C-22 (revisión trimestral de accesos y contratos). Propietarios: Lucía los técnicos, Marta los administrativos.

Tramo 4 — Evidencia:

Y el detalle que hace que esta evidencia sea buena, en la línea del apartado 9: incluye el hallazgo de las dos cuentas de ex-empleados de la consultora y su corrección. Es exactamente el fallo que produjo el incidente de 02-06, ahora detectado por un control que funciona en lugar de por una llamada de un cliente el día 20. Esa es la diferencia entre tener un control y tenerlo demostrado.

Ejercicio 3

Coste total del primer ciclo. 15.000-25.000 € en dinero y 300-450 horas internas, mayoritariamente de Marta, repartidas en 9-15 meses. Es decir: entre el 83 % y el 139 % del presupuesto anual de seguridad, y el equivalente a más de la mitad del margen de proyecto disponible.

Impacto sobre la hoja de ruta de 06-01. Devastador si se hace en paralelo. Certificar este año significa cancelar el pentest (8.000 €), la auditoría interna (2.500 €) y buena parte del cifrado y el MDM, y consumir las horas de dirección que sostienen las revisiones mensuales y trimestrales. Resultado probable: un certificado sobre una organización menos segura que la del año anterior. Ese es literalmente el antipatrón del cumplimiento como sustituto.

Alternativas intermedias que pueden satisfacer al cliente, en orden de coste:

1. Explicar qué hay y demostrarlo: matriz de trazabilidad completa, informe de auditoría interna, informe de pentest resumido, informes de restauración, cuadro de mando. Coste marginal: casi cero, porque es material que ya se produce.
2. Análisis de brechas contra ISO 27001 por un consultor (2-3 días, 2.500-4.000 €), entregando al cliente el plan de adecuación con fechas comprometidas. Muchos clientes aceptan un plan creíble con hitos verificables, sobre todo si Nimbus lleva años sin incidentes reportables.
3. Certificación con alcance acotado a la plataforma SaaS de producción, excluyendo funciones corporativas. Reduce coste y tiempo de forma significativa. Ojo: el alcance figura en el certificado, y un cliente atento leerá si su servicio está dentro.
4. Compromiso contractual de certificar en 18 meses con penalización si no se cumple. Convierte una barrera de entrada en un hito de proyecto y da tiempo a planificarlo bien.

Recomendación. Negociar la opción 2 combinada con la 4, y condicionar la decisión final a dos cosas verificables: que el cliente confirme por escrito que el certificado es condición de renovación y no una preferencia —conviene comprobarlo, porque a veces no lo es—, y que se calcule si ese 18 % de facturación, más los contratos que el certificado abriría, cubre los 20.000 € del ciclo y su mantenimiento anual de 3.000-4.000 €. Si ambas se confirman, certificar deja de ser un gasto de seguridad y pasa a ser una inversión comercial, y debe presupuestarse aparte del presupuesto de seguridad, no dentro. Esa distinción es la clave de todo el ejercicio: si sale del presupuesto de seguridad, Nimbus paga el certificado con riesgo real; si sale del presupuesto comercial, lo paga con el margen del contrato que lo justifica.

Has ordenado un terreno que suele producir más ansiedad que trabajo útil. Sabes distinguir las cuatro cosas que se confunden: la norma legal que no se elige y cuya infracción se sanciona, el estándar certificable que se decide y se audita, el marco de referencia que orienta pero no acredita, y la exigencia contractual que no obliga jurídicamente pero mueve dinero igual. Con las tres precisiones que evitan discusiones: un estándar voluntario se vuelve obligatorio por contrato, cumplir un marco no acredita nada ante un tercero, y ninguna norma legal exige controles concretos —la traducción la hace la organización y debe poder justificarla—.

Tienes el mapa aplicable a Nimbus, con la conclusión tranquilizadora de que lo que obliga siempre y sin condiciones son RGPD, LOPDGDD y LSSI-CE, mientras el resto depende de decisiones de negocio o de una verificación que conviene hacer por escrito y con fecha. Conoces NIS2: sus dos criterios de sector y tamaño, la diferencia entre entidades esenciales e importantes, las tres vías por las que una PYME de 38 personas puede quedar dentro —siendo la más probable el arrastre por la cadena de suministro, que llega en forma de anexo contractual y no de carta oficial—, sus obligaciones del artículo 21 que resultan ser el curso entero, su notificación escalonada de 24 h / 72 h / un mes distinta y adicional a la del RGPD, y la novedad que más cambia las cosas: la responsabilidad y la formación obligatoria de la dirección. Conoces el ENS, sus cinco dimensiones —que amplían la tríada CIA con autenticidad y trazabilidad—, sus categorías básica, media y alta, y su naturaleza de decisión comercial que abre la puerta al sector público. Y sabes qué exige la LSSI, qué llega por vía de la normativa sanitaria de los clientes y por qué tokenizar reduce pero no elimina PCI DSS, con el detalle crítico de que la página que carga el formulario sigue en juego.

Dominas ISO/IEC 27001 con el detalle que merece: qué es un SGSI y por qué certifica gestión y no seguridad, las cláusulas 4 a 10 y qué tiene ya Nimbus de cada una, el Anexo A reestructurado en 2022, el papel central del análisis de riesgos y de la Declaración de Aplicabilidad —con su extracto real y las dos señales que distinguen una SoA creíble: exclusiones justificadas con razones de negocio y estados «parcial» que aparecen—, el ciclo de certificación completo, y el coste honesto de 15.000-25.000 € y 300-450 horas en 9-15 meses. Con la conclusión que un curso complaciente no daría: hoy Nimbus reduciría más riesgo gastando ese dinero en detección, copias inmutables y pentest, y la recomendación de certificar cuando lo pague un contrato concreto. Sabes situar los demás esquemas —27017, 27018, 27701, 22301, SOC 2 Tipo II, CIS, NIST CSF, ENS— y la diferencia real entre un certificado ISO y un informe SOC 2 de periodo.

Y te llevas las dos herramientas que convierten todo esto en trabajo: el recorrido requisito → política → control → evidencia, desarrollado de principio a fin sobre el artículo 32 del RGPD hasta llegar a un fichero de evidencia con fecha, autor, hash y —lo que la hace valiosa— un fallo detectado y corregido; y el marco de control unificado, que mapea C-01…C-22 contra CIS, ISO, RGPD, NIS2 y ENS para implantar una vez y presentar muchas. Más el manejo del cliente como regulador de facto: siete respuestas tipo a cuestionarios, redactadas con honestidad y sin prometer de más, y el dosier reutilizable que convierte 20 horas en 3.

De todo el mapa que has recorrido queda una norma que aplica a Nimbus siempre, sin condiciones, sin umbrales de tamaño y sin depender de ningún cliente; que alcanza cada línea de la base de datos A-01 y cada fichero del bucket A-02; y que además tiene una particularidad que multiplica su exigencia: el historial de citas de una clínica de fisioterapia revela datos de salud, y eso lo convierte en una categoría especial del artículo 9. En Protección de Datos Personales y RGPD en la Práctica (06-03) bajamos al detalle: responsable frente a encargado y por qué Nimbus es las dos cosas a la vez, los principios del artículo 5 con la política de retención real, las bases jurídicas, los derechos y cómo se atienden de verdad —incluida la pregunta incómoda de cómo se borra a alguien que está dentro de una copia de seguridad—, el Registro de Actividades de Tratamiento, la Evaluación de Impacto, el contrato del artículo 28, las transferencias internacionales, y el incidente de 02-06 analizado paso a paso bajo el reloj de las 72 horas.