NIS2 Article 21(2)(f): la medida de 'eficacia' que la mayoría de los equipos omite
Cuando un auditor abre tu expediente NIS2, no empieza por tus reglas de firewall. Empieza por la pregunta para la que casi nadie se prepara: demuestra que tus medidas de seguridad realmente funcionan.
Esa pregunta está en el Article 21(2)(f) — el requisito de "políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad". Es la más corta de las diez medidas y la que la mayoría de las organizaciones tratan como algo secundario. También es la que revela si las otras nueve son reales o solo documentación.
Si gestionas la seguridad de clientes como MSP o vCISO, aquí es donde resultas creíble o quedas en evidencia. Así funciona el bucle de eficacia en la práctica, y así construyes pruebas que un supervisor aceptará.
El Article 21(2)(f) es el bucle de auditoría, no una medida
Nueve de las diez medidas del Article 21 son cosas que haces: análisis de riesgos, gestión de incidentes, copias de seguridad, cifrado, control de acceso. La medida (f) es diferente. Es el mecanismo de retroalimentación que comprueba si esas nueve cumplen su función — y reintroduce los hallazgos en tu evaluación de riesgos.
La directiva no te pide evaluar la eficacia una vez y archivarla. Exige un proceso continuo: implementas una medida, la pruebas, encuentras la brecha, la corriges, vuelves a probar. Sin ese bucle, cualquier otra medida es una suposición.
Esto importa porque los supervisores no auditan intenciones. Auditan si tus medidas declaradas producen los resultados que afirmas. Una política de copias de seguridad que nunca se ha probado en restauración es, para un regulador, una afirmación no verificada.
Artículo 21 — 10 Medidas de Ciberseguridad NIS2
Artículo 21
10 Medidas de Ciberseguridad
Gobernanza & Estrategia
1Análisis de riesgos & políticas de seguridad de la información6Evaluación de la eficacia de las medidas de seguridadIncidentes & Continuidad
2Gestión de incidentes & notificación3Continuidad del negocio & recuperación ante desastresCadena de Suministro & Sistemas
4Seguridad de la cadena de suministro5Seguridad en el desarrollo de sistemas de redes e informaciónControles Técnicos
8Criptografía & cifrado10Autenticación multifactor & comunicaciones segurasPersonas & Activos
7Ciberhigiene & formación9Seguridad de RRHH & control de acceso
"Evaluar la eficacia" tiene un significado específico y verificable
La frase suena vaga hasta que la descompones en las cuatro cosas que un programa de evaluación debe producir.
Primero, un calendario de auditoría interna para el programa de seguridad de la información — alcance definido, cadencia definida, responsable designado. Segundo, indicadores medibles: KPI y KRI que muestren si las medidas evolucionan en la dirección correcta (cumplimiento de SLA de parches, cobertura de MFA, tiempo medio de detección). Tercero, revisiones periódicas de la dirección donde el liderazgo valida los hallazgos. Cuarto, al menos una capa de evaluación independiente — auditoría interna, un auditor externo, o una certificación de terceros como ISO 27001 o SOC 2.
NIS2 no fija una frecuencia. Pero "periódica y sistemáticamente" es el estándar, y los supervisores leen los hallazgos recurrentes como una señal. Un punto que aparece en dos auditorías consecutivas sin resolución indica que tu evaluación de eficacia es cosmética, no operativa. Ese único patrón hace más daño en una auditoría que la brecha original.
Las pruebas de penetración demuestran que las medidas técnicas funcionan
La autoevaluación te dice si redactaste la política. La prueba de penetración te dice si la política resiste el contacto con un atacante.
El Article 21(2)(f) no menciona las pruebas de penetración, pero son la forma más limpia de satisfacer el lado técnico de la evaluación de eficacia. El escaneo automatizado de vulnerabilidades detecta CVE conocidas. Una prueba de penetración valida si tus medidas resisten frente a un adversario que encadena varias debilidades — el modo de fallo que los escáneres pasan por alto.
Para los sistemas que soportan servicios esenciales, la línea base práctica es una prueba de penetración anual, más una nueva prueba tras cualquier cambio arquitectónico importante. Un proveedor SaaS que reconstruye su pila de autenticación y espera doce meses a la siguiente prueba programada tiene una brecha defendible. Un ejemplo concreto: un fabricante pasó limpio el escáner durante un año, luego una prueba de penetración descubrió que un appliance VPN obsoleto — fuera del alcance del escáner — daba derechos de administrador de dominio en dos saltos. Ese hallazgo es exactamente para lo que existe (f).
Combina la prueba con una política de divulgación coordinada de vulnerabilidades (coordinated vulnerability disclosure), publicada en tu sitio con un contacto de seguridad designado. No es un adorno opcional — es parte de cómo el Article 21(2)(e) sobre gestión de vulnerabilidades y (f) sobre eficacia se refuerzan mutuamente.
¿Se aplica la NIS2 a su organización?
1¿Opera su organización en un sector esencial o importante (energía, transporte, salud, infraestructura digital, etc.)?
Sí▼No▼2¿Tiene su organización 50 o más empleados, o un volumen de negocio anual superior a 10 millones de euros?
✗La NIS2 no se aplica directamente a su organización.
Sí▼No▼✓La NIS2 se aplica a su organización como entidad esencial o importante.
3¿Es su organización un operador de infraestructura crítica o un prestador cualificado de servicios de confianza?
Sí▼!La NIS2 podría aplicarse a su organización — solicite asesoramiento jurídico para confirmar su estatus.
1¿Opera su organización en un sector esencial o importante (energía, transporte, salud, infraestructura digital, etc.)?
Sí ↓No →2¿Tiene su organización 50 o más empleados, o un volumen de negocio anual superior a 10 millones de euros?
Sí ↓No →3¿Es su organización un operador de infraestructura crítica o un prestador cualificado de servicios de confianza?
Sí ↓No →✗La NIS2 no se aplica directamente a su organización.
✓La NIS2 se aplica a su organización como entidad esencial o importante.
!La NIS2 podría aplicarse a su organización — solicite asesoramiento jurídico para confirmar su estatus.
Se aplicaPosiblemente aplicaNo se aplica
Las brechas de eficacia se propagan al resto de tus obligaciones
Un bucle de eficacia débil no queda contenido. Se propaga.
Si pasas por alto un fallo de una medida en tu propio entorno, arrastras ese punto ciego a cada notificación de incidente que presentes — porque no puedes describir con precisión qué falló si nunca mediste si funcionaba. También socava tus obligaciones de cadena de suministro del Article 21(2)(d): si no puedes demostrar que tus propias medidas son eficaces, no puedes acreditarlo de forma creíble cuando el departamento de compras de un cliente lo pregunta. Y los miembros del consejo de administración están ahora en la línea de responsabilidad personal por fallos de gobernanza, de modo que un programa de eficacia que solo existe sobre el papel se convierte en su exposición, no solo en la tuya.
Escalada de sanciones NIS2 — Más allá de la multa
!Desencadenante
Incumplimiento detectado o incidente ocurrido
Una autoridad supervisora identifica una brecha de cumplimiento o una organización no cumple los requisitos NIS2
Las autoridades pueden imponer▼Sanciones no financieras1Órdenes de cumplimiento con plazos vinculantes
2Auditorías de seguridad obligatorias a tu cargo
3Divulgación pública de infracciones
4Instrucciones vinculantes sobre medidas de seguridad específicas
Escala hacia▼Consecuencias operativas y personales1Suspensión de certificaciones o licencias de operación
2Prohibición temporal de funciones directivas para individuos
3Identificación pública de personas físicas responsables
DesencadenanteNo financieroOperativo / personal
Qué deberían operacionalizar los MSP y vCISO este trimestre
Las organizaciones que gestionan bien (f) no hacen una auditoría más grande. Ejecutan un bucle más ajustado.
Construye un único registro de eficacia que vincule cada medida del Article 21 con su método de prueba, última fecha de prueba, resultado y responsable de la remediación. Establece la cadencia: monitorización continua para los KPI, revisión de dirección trimestral, evaluación independiente y prueba de penetración anuales. Cierra el bucle de forma visible — cada hallazgo recibe un ticket, un responsable y una fecha de reprueba, para que puedas mostrar a un regulador la brecha y la corrección en una misma vista.
El entregable que gana una auditoría no es un informe limpio. Es un hallazgo documentado de hace seis meses, la remediación y la reprueba que confirmó su cierre. Esa secuencia demuestra que el bucle es real.
Para tus clientes, esta es también la venta adicional más defendible que tienes. "Probamos si tus medidas funcionan y se lo demostramos a tu regulador" es un argumento más afilado que "gestionamos tu seguridad". La evaluación de eficacia es la única medida que convierte el trabajo de cumplimiento en garantía demostrable.
Si no estás seguro de dónde están hoy las brechas de eficacia de tus clientes, empieza con una evaluación de preparación estructurada que mida los controles actuales frente a las diez medidas del Article 21 — incluida la que la mayoría de los equipos se salta. Realiza un quick scan NIS2 gratuito para ver las brechas antes de que lo haga un auditor.
Para el desglose completo de las otras nueve medidas, consulta nuestra guía Article 21 diez medidas explicadas, y combínala con nuestro análisis de brechas paso a paso.