Inicio / Cumplimiento / NIS 2 y UK NIS
Cumplimiento · Europa, EEE y Reino Unido
NIS 2 y UK NIS, en toda la planta, OT incluido
NIS 2 indica qué debe lograr, pero no cómo hacerlo en una sala de control. Hacemos que toda la planta cumpla, OT incluido, y lo adaptamos a cada transposición nacional de NIS 2 (como CyFun® en Bélgica) o a UK NIS y NCSC CAF.
La brecha OT
Por qué los programas NIS 2 dirigidos desde IT se detienen en la puerta de la planta
La mayoría de los programas NIS 2 parten de un SGSI concebido para oficinas y centros de datos. En una planta, las mismas medidas chocan con expedientes de seguridad, paradas programadas, sistemas propiedad de proveedores y ciclos de vida de 20 años. Las políticas de parches, MFA o copias de seguridad adecuadas para IT pueden ser inseguras o imposibles en un DCS o SIS.
Partimos de OT. Cada medida NIS 2 se implementa mediante controles IEC 62443 que los operadores y equipos de mantenimiento pueden aplicar realmente, mientras una base común del grupo satisface todos los regímenes nacionales a los que debe responder.
¿Opera en varios países? Una base común del grupo adaptada a cada transposición nacional (por ejemplo Bélgica y Polonia) y a UK NIS, en lugar de un proyecto por país.
Qué obtiene
Desde el alcance hasta las evidencias para los supervisores
- Clasificación de entidades (esenciales o importantes) y alcance por planta y país
- Una base común del grupo adaptada a cada régimen nacional, incluidos CyFun® en Bélgica y NCSC CAF en el Reino Unido
- Controles OT especificados con IEC 62443 e integrados en su SGSI ISO/IEC 27001 (A1 USMS)
- Procedimientos de notificación de incidentes adaptados a la respuesta de emergencia de su planta (D2)
- Formación de los órganos de dirección exigida por el artículo 20 (E2)
- Evidencias para las autoridades supervisoras y preparación de auditorías
NIS 2 en la sala de control
Medidas del artículo 21(2), implementadas mediante IEC 62443
Cómo vinculamos habitualmente cada medida NIS 2 a los elementos del programa de seguridad (SPE) de IEC 62443-2-1:2024 y las partes complementarias de la serie.
| NIS 2 art. 21(2) | Medida | Referencia IEC 62443 |
|---|---|---|
| (a) | Análisis de riesgos y políticas de seguridad de los sistemas de información | ORG programa de seguridad; evaluación de riesgos IEC 62443-3-2 |
| (b) | Gestión de incidentes | EVENT |
| (c) | Continuidad del negocio, gestión de copias de seguridad, recuperación ante desastres y gestión de crisis | AVAIL |
| (d) | Seguridad de la cadena de suministro | ORG; proveedores de servicios IEC 62443-2-4; IEC 62443-4-1 / -4-2 para productos |
| (e) | Seguridad en la adquisición, desarrollo y mantenimiento, incluida la gestión de vulnerabilidades | CM COMP; IEC 62443-3-3 |
| (f) | Evaluación de la eficacia de las medidas | ORG; verificación de SL y auditorías |
| (g) | Ciberhigiene básica y formación | ORG COMP |
| (h) | Criptografía y cifrado | DATA |
| (i) | Seguridad de recursos humanos, control de acceso y gestión de activos | USER CM |
| (j) | Autenticación multifactor y comunicaciones seguras | USER NET |
Correspondencia orientativa a nivel SPE. En cada proyecto relacionamos los requisitos individuales con su marco nacional (por ejemplo CyFun® o NCSC CAF).
Servicios relacionados
Cómo le ayudamos
NIS 2 y UK NIS / CSRB, en toda la planta
Clasificación de entidades, base común del grupo, correspondencia nacional y evidencias para los supervisores.
A1Sistema unificado de gestión de la seguridad
IEC 62443 integrada con ISO/IEC 27001: un sistema de gestión para IT y OT.
B4Análisis de brechas
Su situación frente a NIS 2 o UK NIS, IEC 62443-2-1 e ISO/IEC 27001, con una hoja de ruta adaptada a sus paradas programadas.
D2Respuesta a incidentes OT
Procedimientos alineados con la respuesta de emergencia de su planta y sus obligaciones de notificación NIS 2 o UK NIS.
Formación relacionada
¿Qué plantas están incluidas y bajo qué régimen?
Díganos dónde opera. Le propondremos un alcance y un primer paso práctico.
Referencias: Directiva (UE) 2022/2555 (NIS 2), artículos 20, 21 y 23; ley NIS2 belga de 26 de abril de 2024, en vigor desde el 18 de octubre de 2024 (Centro para la Ciberseguridad de Bélgica). Esta página ofrece información general y no constituye asesoramiento jurídico.