Todo marco serio de ciberseguridad empieza por el mismo documento: una política de seguridad de la información (PSI) escrita y aprobada por la dirección. La NIS2 la sitúa en primer lugar entre las medidas de gestión de riesgos de su artículo 21, y la ISO/IEC 27001 la convierte en un requisito de su cláusula 5.2. Security Policy Express guía a una pyme europea a través de un asistente en línea y genera una primera versión estructurada a su nombre: un borrador de trabajo para que sus asesores lo revisen, no asesoramiento jurídico.
La respuesta en un minuto, para un director general que no es especialista en informática.
Una política de seguridad de la información (a menudo abreviada PSI, o PSSI en francés) es el documento en el que la dirección declara por escrito cómo protege la empresa su información y sus sistemas informáticos, quién es responsable de cada cosa y qué normas debe seguir todo el mundo. Es breve en la parte superior (una declaración de política firmada por la dirección) y más detallada debajo (normas específicas por temas y procedimientos operativos). No es un manual técnico: es una decisión de la dirección, puesta por escrito, a la que puede remitirse el resto de su trabajo de seguridad.
La ISO/IEC 27001 asigna la política a la «alta dirección», y el artículo 20 de la NIS2 pide a los órganos de dirección de las entidades incluidas que aprueben las medidas de gestión de riesgos de ciberseguridad y supervisen su aplicación. Su proveedor informático puede ayudar a redactarla; solo la dirección puede hacerla suya.
Fuentes: Directiva (UE) 2022/2555, art. 20 · ISO/IEC 27001:2022, cláusula 5Las buenas prácticas distinguen tres niveles. La política enuncia principios y responsabilidades. Las políticas específicas por tema (control de accesos, copias de seguridad, criptografía, proveedores...) los traducen por ámbito. Los procedimientos describen quién hace qué, paso a paso, cuando ocurre algo. El control 5.1 de la ISO/IEC 27001 menciona expresamente tanto la política como las políticas específicas por tema.
Fuente: ISO/IEC 27001:2022, Anexo A, control 5.1Ningún texto europeo impone una plantilla única. El artículo 21, apartado 1, de la NIS2 exige medidas «adecuadas y proporcionadas», teniendo en cuenta la exposición de la entidad a los riesgos, su tamaño, y la probabilidad y la gravedad de los incidentes. Un fabricante de 40 personas y un hospital no redactarán la misma política, y no deberían hacerlo.
Fuente: Directiva (UE) 2022/2555, art. 21(1)Una política redactada una vez y archivada no protege nada. Los marcos prevén que se comunique al personal, que este la reconozca y que se revise a intervalos planificados y tras cambios significativos. Por eso su política debe incluir desde el primer día su propio ciclo de revisión, su responsable y su historial de versiones.
Fuente: ISO/IEC 27001:2022, cláusula 5.2 y control 5.1La mayoría de las pequeñas y medianas empresas ya aplican algunas reglas de seguridad. Lo que suele faltar es la versión escrita, aprobada y coherente que un regulador, un auditor, una aseguradora o un gran cliente puedan leer de verdad.
La NIS2 extiende las normas europeas de ciberseguridad a muchas empresas medianas de sectores como la industria, la alimentación, la gestión de residuos, el transporte o los servicios digitales. Para las entidades incluidas, las «políticas de análisis de riesgos y de seguridad de los sistemas de información» son la primera medida enumerada en el artículo 21, apartado 2.
La NIS2, artículo 21, apartado 2, letra d), exige a las entidades incluidas que aborden la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de sus relaciones con proveedores directos. Aunque esté fuera del ámbito, sus clientes más grandes pueden pedirle que muestre una política de seguridad escrita en sus cuestionarios para proveedores.
Redactar una política implica responder a muchas preguntas a la vez: ¿cuáles son nuestros activos críticos?, ¿quién decide?, ¿qué hacemos ante un ataque de ransomware?, ¿cuánto tiempo conservamos las copias de seguridad? Sin una estructura, el ejercicio tiende a aplazarse, trimestre tras trimestre.
Las plantillas descargadas suelen describir una organización con un responsable de seguridad, un centro de operaciones de seguridad y un presupuesto dedicado. Un documento que no coincide con la realidad es peor que ninguno: no se aplicará, y un auditor notará la distancia entre el papel y la práctica.
Un mismo documento responde a varios textos a la vez. Aquí se indica lo que dice realmente cada uno, con un enlace a la fuente oficial. Cada referencia enlaza con la fuente oficial; las transposiciones nacionales pueden añadir detalles.
Las entidades esenciales e importantes deben adoptar «medidas técnicas, operativas y organizativas adecuadas y proporcionadas» para gestionar los riesgos de ciberseguridad, con un enfoque basado en todos los riesgos. La lista del artículo 21, apartado 2, empieza con «a) políticas de análisis de riesgos y de seguridad de los sistemas de información». El artículo 20 añade que los órganos de dirección aprueban estas medidas, supervisan su aplicación y siguen la formación correspondiente.
La cláusula 5.2 exige a la alta dirección establecer una política de seguridad de la información adecuada a la finalidad de la organización, que proporcione un marco para los objetivos de seguridad e incluya compromisos de cumplir los requisitos aplicables y de mejora continua. Debe estar documentada, comunicarse internamente y ponerse a disposición de las partes interesadas que corresponda. El control 5.1 del anexo A amplía esto a las políticas específicas por tema, aprobadas, publicadas, reconocidas y revisadas.
El artículo 24, apartado 2, establece que, cuando sea proporcionado a las actividades de tratamiento, las medidas del responsable incluyen «la aplicación de políticas adecuadas de protección de datos». El artículo 32 exige medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo. Una política de seguridad es el lugar natural para documentar esas medidas.
Para determinados tipos de entidades digitales (por ejemplo, proveedores de computación en la nube, centros de datos y proveedores de servicios gestionados), la Comisión ha adoptado requisitos técnicos y metodológicos detallados. Su anexo empieza con una «política de seguridad de las redes y sistemas de información» y describe cómo se aprueba, documenta y revisa. Aunque su empresa no sea de esos tipos de entidad, el anexo es una referencia pública útil para estructurar una política.
Para las entidades financieras, DORA exige desarrollar y documentar una política de seguridad de la información que defina normas para proteger la disponibilidad, autenticidad, integridad y confidencialidad de los datos, los activos de información y los activos de TIC. Si es proveedor de TIC de un banco o de una aseguradora, espere que su cliente le pregunte cómo se compara su propia política.
Las agencias nacionales de ciberseguridad publican guías gratuitas sobre las que puede apoyarse una política. En Francia, la guía de higiene informática de la ANSSI establece 42 medidas esenciales para los responsables de la seguridad de los sistemas de información de una organización. ENISA, la Agencia de la Unión Europea para la Ciberseguridad, publica orientaciones que apoyan la aplicación de la NIS2 en toda la Unión.
El artículo 21, apartado 2, de la NIS2 enumera diez medidas mínimas. La letra a) es la propia política, pero una política bien construida es también el lugar donde las otras nueve encuentran a su responsable, su norma y su procedimiento. Así estructuramos el documento generado.
La declaración de la política, el alcance, las funciones y el método que utiliza para identificar y valorar los riesgos. Es la columna vertebral del documento.
Un procedimiento de gestión de incidentes: detección, clasificación, escalado, contención, notificación y lecciones aprendidas.
Gestión de copias de seguridad, recuperación ante desastres y gestión de crisis, tal como lo formula la directiva: quién decide, qué se restablece primero, con qué frecuencia se prueban las copias de seguridad.
Normas para elegir, contratar y supervisar a los proveedores de TI y de servicios, incluidas las cláusulas de seguridad que les exige.
Cómo se eligen y configuran los nuevos sistemas, cómo se aplican las actualizaciones, y cómo se gestionan y divulgan las vulnerabilidades.
Políticas y procedimientos para comprobar que las medidas funcionan: indicadores, revisiones internas, ejercicios y revisión por la dirección.
Las normas cotidianas (contraseñas, actualizaciones, concienciación frente al phishing) y un plan de formación, incluida la de la dirección, tal como exige el artículo 20, apartado 2, para los órganos de dirección.
Cuándo deben cifrarse los datos (portátiles, copias de seguridad, transferencias), qué protocolos son aceptables y quién gestiona las claves.
Altas, cambios de puesto y bajas; quién obtiene qué acceso y quién lo aprueba; un inventario de activos con sus responsables.
Cuándo se exige la autenticación multifactor o continua, y cómo se protegen las comunicaciones de voz, vídeo, texto y de emergencia.
Las referencias a la ISO/IEC 27001 son correspondencias indicativas elaboradas por nosotros para orientarle, no una correspondencia oficial publicada por la ISO ni por la Comisión Europea. Fuente de las diez medidas: Directiva (UE) 2022/2555, art. 21(2).
El documento generado sigue una estructura que reconocerá un auditor, una aseguradora o un cliente. Cada capítulo se completa con las respuestas que dé en el asistente, de modo que describe su empresa y no una ficticia.
El compromiso de la dirección, en unos pocos párrafos, firmado y fechado.
Quién decide, quién aplica y quién controla, incluso cuando la informática está externalizada.
Una forma sencilla y repetible de identificar, valorar y tratar los riesgos.
Saber qué se protege antes de decidir cómo.
Quién puede acceder a qué, y cómo se acredita.
La base técnica, redactada en lenguaje claro.
Dónde es obligatorio el cifrado y cómo se gestiona.
La seguridad en sus relaciones con proveedores informáticos y servicios en la nube.
El lado humano, desde la contratación hasta la salida.
Locales, salas técnicas y equipos fuera de la oficina.
Los principios, detallados en los procedimientos siguientes.
Cómo se mantiene viva y veraz la política.
Una política dice lo que debe ocurrir; un procedimiento dice quién lo hace, en qué orden y con qué registro. Estos cuatro son los que clientes y auditores piden ver con más frecuencia, y los que más importan el día en que algo sale mal.
Desde la primera alerta hasta el informe de cierre: cómo comunica el personal un evento sospechoso, quién lo clasifica, quién aísla los sistemas afectados, quién contacta con su proveedor informático, su aseguradora y las autoridades, y cómo se conservan las pruebas.
Cómo se solicita, aprueba, crea, modifica y elimina una cuenta. El procedimiento cubre altas, cambios de puesto y bajas, cuentas de administración, cuentas compartidas y de servicio, y la revisión periódica en la que un responsable confirma que cada persona sigue necesitando los accesos que tiene.
Cómo se describe, evalúa en cuanto a riesgo, aprueba, prueba, ejecuta y, si es necesario, revierte un cambio en un sistema de producción (una nueva aplicación, una regla de firewall, una actualización importante). En una pequeña empresa puede ser ligero: basta con un formulario breve y un registro, siempre que existan y se utilicen.
Qué se copia, con qué frecuencia, dónde, durante cuánto tiempo y, sobre todo, cómo se prueba la restauración. El procedimiento vincula las copias con los objetivos de recuperación de cada actividad crítica y describe la organización de crisis: quién decide, quién comunica, qué sistemas se reinician primero.
La política está redactada para la dirección y la informática. La política de uso aceptable (PUA) está redactada para todos los demás: el conjunto breve y legible de normas que cada empleado, temporal o colaborador acepta antes de usar la informática de la empresa.
Uso de cuentas y contraseñas, correo electrónico y mensajería, acceso a internet, uso personal tolerado o no, dispositivos móviles y teletrabajo, soportes extraíbles, servicios en la nube y herramientas de IA generativa, confidencialidad, notificación de incidentes, y qué puede supervisar la empresa y por qué.
El control 5.10 de la ISO/IEC 27001 exige identificar, documentar e implantar reglas para el uso aceptable de la información y de otros activos asociados. Mantener estas normas en un anexo separado facilita su lectura, su firma, su actualización y su incorporación a los documentos del contrato de trabajo.
Cuando la PUA menciona el registro o la supervisión de la actividad del personal, se aplica la normativa de protección de datos: los empleados deben ser informados (RGPD, art. 13), y los Estados miembros pueden adoptar normas más específicas para el ámbito laboral (RGPD, art. 88). Las autoridades de protección de datos, como la CNIL, publican orientaciones sobre lo que es aceptable.
Hacer vinculante la PUA para los empleados puede exigir formalidades nacionales. En Francia, por ejemplo (que debe confirmarse con su asesor a la vista del Código del Trabajo), normas de este tipo suelen anexarse al reglamento interno, que sigue un procedimiento fijado por el Código del Trabajo, incluida la consulta a los representantes del personal. Verifique con su asesor las normas de su país.
Fuentes: ISO/IEC 27001:2022, A.5.10 · Reglamento (UE) 2016/679, arts. 13 y 88 · CNIL · Légifrance, Código del Trabajo francés, arts. L1321-4 y L1321-5.
Una política describe una empresa que cambia: nuevo personal, nuevo software, nuevos proveedores, nuevas amenazas. Los marcos que citamos prevén que se mantenga actualizada. El documento generado incluye su propio calendario de revisión, su responsable y su tabla de versiones.
La primera versión la aprueba la dirección, con fecha y número de versión. Según el artículo 20, apartado 1, de la NIS2, los órganos de dirección de las entidades incluidas aprueban las medidas de gestión de riesgos de ciberseguridad; según la cláusula 5.2 de la ISO/IEC 27001, la alta dirección establece la política.
La política se publica internamente; cada usuario reconoce la política de uso aceptable. El control 5.1 de la ISO/IEC 27001 prevé que las políticas se comuniquen al personal pertinente y a las partes interesadas, y que estos las reconozcan.
El control 5.1 de la ISO/IEC 27001 pide revisarla a intervalos planificados y cuando se produzcan cambios significativos. Una revisión anual es una referencia razonable para una pyme; el Reglamento de Ejecución (UE) 2024/2690 también regula la revisión de la política para los tipos de entidades digitales que cubre.
Un incidente grave, una fusión, un nuevo centro, el paso a la nube o una nueva normativa son motivos para reabrir el documento sin esperar a la fecha de aniversario. Las lecciones aprendidas de los incidentes alimentan la siguiente versión.
Tabla de versiones, registro de aprobación, lista de cambios, acuses de recibo. El día en que un auditor, una aseguradora o un cliente lo pida, este historial demostrará que la política se aplica y no solo que está escrita. La cláusula 7.5 de la ISO/IEC 27001 regula esta información documentada.
Security Policy Express está diseñado como herramienta de autoservicio. Usted mantiene el control del contenido; la herramienta aporta la estructura, las preguntas y las referencias.
Un breve test pregunta por su sector, tamaño, actividades y clientes, e indica si es probable que le afecte la NIS2, qué otros textos pueden ser pertinentes y qué partes de la política importan más en su situación. Le remite a las herramientas oficiales de su autoridad nacional para obtener una respuesta definitiva.
Usted responde, con sus propias palabras, a una serie de preguntas guiadas capítulo por capítulo: su organización, sus actividades críticas, su proveedor informático, sus copias de seguridad, cómo gestiona las bajas, qué haría ante un ransomware. Cada pregunta explica por qué se formula y a qué artículo o control se refiere. Puede detenerse y retomar en cualquier momento.
La herramienta genera la política, los cuatro procedimientos y el anexo de uso aceptable a nombre de su empresa, a partir de sus respuestas. Cuando falta una respuesta, el documento lo indica explícitamente en lugar de rellenar el hueco con texto genérico. El resultado es un borrador de trabajo, que sus propios asesores (abogado, proveedor informático, delegado de protección de datos) deben revisar y validar antes de que la dirección lo apruebe.
Si desea ayuda para contrastar sus respuestas, adaptar el documento a un contexto concreto o preparar una auditoría, puede solicitar el apoyo de un consultor asociado. Este paso es opcional: el camino de autoservicio está completo sin él.
Importante: el documento generado es una base de trabajo. No constituye asesoramiento jurídico y, por sí mismo, no hace que su empresa cumpla la NIS2, la ISO/IEC 27001, el RGPD ni ninguna ley nacional. El cumplimiento depende de lo que realmente implante y sigue siendo responsabilidad suya.
Tres bloques, generados a la vez a partir del mismo asistente. La disponibilidad y las condiciones se anunciarán en el lanzamiento.
El documento principal, firmado por la dirección.
Lo que hace operativa la política.
Para orientarse en los textos.
Hay que distinguir dos situaciones: una obligación legal para las empresas incluidas en el ámbito de la NIS2 (o de DORA), y una buena práctica muy recomendable para todas las demás.
La NIS2 se aplica, con carácter general, a entidades públicas o privadas de un tipo enumerado en sus anexos I o II que sean medianas empresas o superen los límites de las medianas empresas, según la Recomendación 2003/361/CE de la Comisión (art. 2, ap. 1). Algunos tipos de entidad están cubiertos con independencia de su tamaño (art. 2, ap. 2). Las entidades se clasifican después como «esenciales» o «importantes» (art. 3), lo que afecta a la supervisión y a las sanciones, pero ambas deben aplicar el artículo 21.
Anexo I (sectores de alta criticidad): energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios de TIC (entre empresas), administración pública y espacio. Anexo II (otros sectores críticos): servicios postales y de mensajería, gestión de residuos, química, alimentación, industria (incluidos productos sanitarios, electrónica, equipos eléctricos, maquinaria y vehículos), proveedores digitales e investigación.
La NIS2 es una directiva: los Estados miembros debían transponerla antes del 17 de octubre de 2024 y aplicar las medidas desde el 18 de octubre de 2024 (art. 41). El estado y los detalles de la transposición difieren de un país a otro, y el derecho nacional puede precisar el contenido de las medidas. Verifique siempre la ley de su país y sus herramientas oficiales para determinar si su empresa está incluida.
Fuera de estos ámbitos, ninguna ley general europea exige a una pyme adoptar un documento llamado «política de seguridad de la información». Pero el RGPD se aplica a casi todas las empresas, los clientes preguntan cada vez más a sus proveedores por la seguridad, y una política escrita es el primer paso de cualquier marco reconocido. Es una decisión de prudencia, no una sanción legal.
Fuentes: Directiva (UE) 2022/2555, arts. 2, 3, 41 y anexos I y II · Recomendación 2003/361/CE de la Comisión · Comisión Europea, página de la Directiva NIS2 · Francia: ANSSI, página NIS 2 (MesServicesCyber).
Cada afirmación normativa o normalizada de esta página remite a una de estas fuentes. Los enlaces apuntan al editor oficial.
Esta página se ofrece con carácter informativo. No constituye asesoramiento jurídico. Los textos se citan en la versión publicada en EUR-Lex; las transposiciones nacionales y las guías de las autoridades pueden añadir requisitos.
El asistente de autoservicio está en preparación. Mientras tanto, para cualquier pregunta: contact@syaga.eu.