NIS2 y gestión de vulnerabilidades

El artículo 20 de la Directiva es de gobernanza: los órganos de dirección aprueban las medidas de gestión de riesgos de ciberseguridad, supervisan su aplicación y responden si la entidad incumple. También deben recibir formación suficiente para evaluar esos riesgos. Es decir, la gestión de vulnerabilidades deja de ser un asunto solo técnico: el informe del analista es la forma en que la dirección ve lo que debe aprobar y supervisar.

Consulta articulos y lee las filas de los artículos 20 y 21.2.e.

El artículo 21.2.e incluye en las medidas la gestión y la divulgación de las vulnerabilidades. En la práctica, eso se traduce en actividades concretas: recibir avisos de los fabricantes, evaluar y priorizar, corregir dentro de unos plazos, informar a la dirección y, además, tener un canal por el que terceros puedan comunicar lo que encuentren. Consulta procedimiento_vulnerabilidades.

La Directiva exige medidas «adecuadas y proporcionadas», pero no fija un número de días para parchear. Los plazos son decisión de la organización y quedan como política: en plazos_politica están los de Hontanar Aguas. Lo que sí se juzga después es que se cumplan o que cada retraso tenga una justificación aprobada.

Cruza hallazgos_abiertos con esos plazos y cuenta cuántos hallazgos ya los han superado.

Cuando un incidente es significativo, el artículo 23 marca tres hitos desde el momento en que se tuvo constancia de él: una alerta temprana en 24 horas, la notificación del incidente en 72 horas y un informe final a más tardar un mes después de esa notificación. El plazo no empieza cuando termina la investigación, sino cuando la entidad lo supo.

Lee el expediente incidente. La alerta temprana ya salió a tiempo. Calcula cuándo vence la notificación.

Un compañero afirma que «NIS2 obliga a parchear lo crítico en siete días». Los siete días de la tabla plazos_politica son una decisión interna de Hontanar Aguas. La Directiva pide proporcionalidad y procedimientos, y deja a cada Estado miembro y a cada organización la concreción. Citar un plazo como si fuera legal es el tipo de error que un auditor señala.