Las diez medidas del artículo 21 y su evidencia

El artículo 21 exige que las entidades gestionen los riesgos de sus redes y sistemas de información con un enfoque que cubra todos los peligros y que sea proporcionado: se tienen en cuenta la exposición al riesgo, el tamaño, la probabilidad de incidentes y su gravedad, y el estado de la técnica y el coste. Después, en su apartado 2, enumera diez medidas con letras de la (a) a la (j) que deben figurar como mínimo.

Dos consecuencias para quien evalúa. Una: no existe un nivel idéntico para todas; una entidad pequeña y una grande pueden estar bien con medidas distintas. Dos: la lista es un suelo, no un techo; la ley nacional y las normas técnicas pueden añadir detalle.

El mapa de medidas es una tabla de dos columnas: cada medida y la evidencia que dice sostenerla. Se construye al revés de como se piensa: no se parte de los documentos que hay, sino de las diez medidas, y se busca cuál tiene respaldo y cuál no. Una medida sin ninguna pieza es la brecha más clara que existe.

Consulta SELECT * FROM medidas_del_articulo_21 y SELECT * FROM evidencia_aportada y mira qué letras aparecen en la última columna.

Una política vigente es una política revisada dentro de su ciclo. La propia empresa se pone una regla: toda política o procedimiento se revisa cada 12 meses, y el corte de la revisión es el 30 de septiembre de 2026. Un documento cuya fecha queda más allá del ciclo no demuestra que la medida siga viva: demuestra que alguien la escribió hace tiempo.

Consulta SELECT * FROM criterio_de_revision y compara la fecha de cada pieza de tipo política.

Una política dice lo que debería ocurrir (diseño). Un registro operativo o un informe de prueba muestran lo que ocurrió (operación). Para dar una medida por demostrada hacen falta las dos cosas, o al menos una pieza que muestre aplicación real. Una política sin ningún registro es una promesa, no una evidencia de que funciona.

Mira el tipo de cada pieza y cuenta, por medida, de qué tipos tiene.

El mapa de medidas no tiene solo «cubierta» o «no cubierta». Sirve más distinguir tres estados: sin evidencia, cubierta solo en diseño y demostrada en operación. Los estados intermedios son los que más trabajo dan, porque la entidad suele creer que ya terminó.