La parte discreta del régimen
El plazo de registro previsto en el Decreto-Lei n.º 125/2025 ha dominado la conversación en los equipos de seguridad portugueses durante tres meses, algo comprensible - los plazos concentran la atención. También es algo desafortunado, porque el registro es lo menos exigente que pide el régimen.
Lo que empieza ahora es una obligación continua con tres componentes que funcionan de forma muy distinta a un trámite de presentación: una cadencia de notificación de incidentes que se mide en horas, una disposición sobre la responsabilidad de la dirección que recae a título personal y una relación de supervisión que, en el caso de las entidades esenciales, puede ejercerse de forma proactiva y no solo después de que algo salga mal.
Si se ha registrado en las dos últimas semanas, este es el artículo que debe entregar a quien sea ahora responsable de la obligación.
El reloj de notificación
NIS2 sustituyó las vagas obligaciones de notificación de incidentes de la directiva que la precedió por una cadencia concreta y por fases. A grandes rasgos: una alerta temprana en un plazo de 24 horas desde que se tiene conocimiento de un incidente significativo, una notificación más completa en un plazo de 72 horas que incluya una evaluación inicial de la gravedad y el impacto, y un informe final en el plazo de un mes.
Tres detalles operativos determinan si una organización puede cumplirlo realmente.
En primer lugar, el reloj empieza a contar desde que se tiene conocimiento, no desde la contención. Los equipos que instintivamente quieren entender un incidente antes de notificarlo incumplirán la ventana de 24 horas en los incidentes que tardan más de un día en caracterizarse, que son la mayoría de los graves.
En segundo lugar, «significativo» es un juicio, y los juicios deben quedar registrados. La decisión de que un incidente no fue significativo es una decisión que un supervisor puede examinar más adelante, y una organización que no puede demostrar cuándo tomó esa decisión y con qué fundamento está en una posición más débil que otra cuya decisión sobre el umbral está documentada en tiempo real.
En tercer lugar, los tres informes tienen que ser coherentes entre sí. Una notificación a las 72 horas que contradiga la alerta temprana de las 24 horas suscita preguntas sobre cuál de las dos era exacta, y un informe final que omita discretamente una afirmación anterior suscita todavía más.
La responsabilidad de la dirección no es una formalidad
Las disposiciones de NIS2 sobre los órganos de dirección son la parte que cambia el comportamiento en los consejos de administración en cuanto alguien las lee con atención. Los órganos de dirección deben aprobar las medidas para la gestión de riesgos de ciberseguridad, supervisar su aplicación y pueden ser considerados personalmente responsables de los fallos. También están obligados a recibir formación.
La consecuencia práctica es que la aprobación de las medidas de seguridad por parte del consejo pasa a ser un acto respaldado por evidencias y no una formalidad del libro de actas. Si un supervisor pregunta cuándo aprobó el órgano de dirección las medidas de gestión de riesgos vigentes, qué se le presentó y qué decidió, la respuesta tiene que ser más concreta que una línea en el acta.
Es una petición razonable y difícil de satisfacer a posteriori. Las organizaciones que se adelantan registran las decisiones de seguridad del consejo igual que registran cualquier otra decisión regulada: con el material presentado, la fecha y un registro que no pueda modificarse discretamente más tarde.
- Asigne un responsable con nombre propio para la alerta temprana de 24 horas, con autoridad para presentarla sin esperar a tener una visión completa
- Defina y documente ya su umbral de significatividad, antes de tener que aplicarlo bajo presión
- Registre las decisiones sobre el umbral de los incidentes que decida no notificar, con su fecha y su justificación
- Establezca una fuente única para los hechos que aparecerán en los tres informes, de modo que la coherencia sea estructural y no editorial
- Aplique un sello de tiempo a las aprobaciones de las medidas de seguridad por parte del consejo, junto con el material presentado
- Programe en el calendario las obligaciones anuales y periódicas - formación, actualización de la evaluación de riesgos, pruebas de continuidad - en lugar de tratarlas como trabajo de proyecto
Lo que piden los supervisores en la práctica
El supervisor de Portugal ha iniciado su actividad de auditoría, y el patrón visible hasta ahora coincide con la aplicación en otros lugares de la Unión. Los supervisores están comprobando si una organización puede presentar registros en lugar de descripciones, y si esos registros cuadran con la cronología que la organización describe.
Explicamos en detalle lo que está examinando el CNCS en El supervisor NIS2 de Portugal inicia sus primeras auditorías, y el panorama más amplio de la aplicación en la Unión en el seguimiento de la aplicación de NIS2. Leídos conjuntamente, describen una cultura de supervisión menos interesada en la calidad de la documentación que en si puede demostrarse que la documentación existía cuando afirma haber existido.
- Confirme que su registro está completo y que su punto de contacto es un buzón funcional supervisado
- Realice un ejercicio de simulación (tabletop) centrado específicamente en la alerta temprana de 24 horas, no en la respuesta técnica
- Compruebe que su registro de incidentes empieza en la detección y no en la creación del ticket
- Evalúe la cobertura actual de sus controles frente al decreto con el Simulador NIS2
Si el problema más difícil es que sus registros de incidentes, las aprobaciones del consejo y las decisiones sobre el umbral residen en sistemas que preferiría no entregar a un supervisor sin editar, tiene solución sin cambiar la forma de trabajar de su equipo. Puede anclar su primer conjunto de registros en pocos minutos.