Cuando se habla de «nueva normativa de ciberseguridad», en muchas empresas se traduce en un PDF más y una reunión de cumplimiento. En operación, el cambio es otro: hay que demostrar que la red, la identidad, el backup y la respuesta a incidentes existen de verdad, no solo en una política firmada.
En España, el marco que más está moviendo a organizaciones públicas y a su cadena de proveedores es la combinación del Esquema Nacional de Seguridad (ENS), la transposición de NIS2 y, en paralelo, certificaciones como ISO 27001. No son el mismo papel, pero convergen en lo mismo: visibilidad, trazabilidad y capacidad de reaccionar.
Qué suele fallar (y no es el firewall)
- Inventario incompleto: no se puede proteger lo que no está listado, sobre todo en sedes, Wi-Fi y acceso remoto.
- Identidad débil: VPN, Wi-Fi de invitados y cuentas de servicio sin revisión periódica.
- Segmentación de red de catálogo, no de tráfico real.
- Registros que no se retienen o que nadie mira hasta que hay un incidente.
- Proveedores conectados a la red interna sin el mismo nivel de control que el personal propio.
Por dónde empezar, si no hay un proyecto de 18 meses
Un enfoque razonable, el que usamos cuando el cliente no puede parar el negocio para «hacer normativa», es este orden:
- Mapa de activos y flujos: qué se conecta a qué, quién entra y desde dónde.
- Acceso: MFA, cuentas privilegiadas y cierre de servicios expuestos que ya no se usan.
- Segmentación y visibilidad: separar usuarios, servidores, OT/IoT e invitados; medir el tráfico este-oeste.
- Copia de seguridad y restauración probada, no solo «el backup corre».
- Un canal claro de incidente: quién llama a quién el sábado a las siete.
La normativa no exige magia. Exige poder explicar, con evidencias, que esos cinco puntos no dependen de una sola persona ni de un único equipo sin recambio.
Si estás revisando ENS, NIS2 o un plan director de seguridad y quieres contrastar el estado de la red y las comunicaciones, escríbenos desde Contacte. Preferimos una conversación concreta a un checklist genérico.
