ISO 27001, NIS2 y RGPD en IT: controles, evidencias, plazos y un portátil perdido

Qué vas a conseguir

Entender qué te piden de verdad la norma, la directiva y el reglamento en el día a día de IT, y convertir el trabajo que ya haces (altas y bajas, parches, copias, cambios) en evidencias que un auditor acepta a la primera. Y saber qué hacer en las primeras horas cuando se pierde un equipo con datos personales.

Antes de empezar

• Esta guía no es asesoramiento jurídico: si algo se notifica o no lo deciden el DPO y Jurídico, con la información técnica que IT les da.
• Localiza a tres personas: el responsable de seguridad (CISO o responsable del SGSI), el delegado de protección de datos (DPO) y quien firma los riesgos en dirección.
• Ten a mano el inventario de sistemas, el registro de cambios y el de incidentes. Si no existen, son lo primero.

1. ISO 27001:2022: el SGSI en lo que toca a IT

ISO/IEC 27001 certifica un sistema de gestión (SGSI), no un nivel técnico. Las cláusulas 4 a 10 piden contexto, alcance, análisis de riesgos, objetivos, auditoría interna (9.2), revisión por la dirección (9.3) y mejora. El Anexo A de la versión 2022 tiene 93 controles en cuatro temas: organizativos (37), de personas (8), físicos (14) y tecnológicos (34). La transición desde la versión 2013 terminó en octubre de 2025.

• La declaración de aplicabilidad (SoA) lista los 93 controles, si se aplican, por qué, y cómo. Es el documento que el auditor abre primero; cada "aplicado" necesita una evidencia detrás.
• Una evidencia buena es fechada, completa y repetida: un informe de cada trimestre, no una captura del día anterior a la auditoría.
• La auditoría interna la hace alguien independiente del área auditada. Para un equipo pequeño, otro departamento o un externo.

2. NIS2: quién entra y qué cambia

La Directiva (UE) 2022/2555 amplía mucho la primera NIS. Entran las medianas y grandes entidades de los sectores de sus anexos: energía, transporte, banca, sanidad, agua, infraestructura digital, gestión de servicios TIC entre empresas (proveedores de servicios gestionados y de seguridad gestionada), administración pública, fabricación, alimentación, servicios postales y otros. Algunas entran sea cual sea su tamaño, como los proveedores de DNS.

• Responsabilidad de la dirección (artículo 20): el órgano de dirección aprueba las medidas, supervisa su aplicación, recibe formación y puede responder personalmente.
• Medidas (artículo 21): análisis de riesgos, gestión de incidentes, continuidad y copias, cadena de suministro, gestión de vulnerabilidades, formación, criptografía, control de acceso, inventario de activos y MFA. Un SGSI ISO 27001 cubre la mayor parte.
• Notificación de incidentes significativos (artículo 23): alerta temprana en 24 horas desde que se tiene conocimiento, notificación en 72 horas con una primera evaluación, y informe final en un mes desde la notificación.
• En España: en el momento de escribir esta guía (octubre de 2026), la ley de transposición, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, no se ha publicado en el BOE, y la Comisión Europea ha llevado el retraso al Tribunal de Justicia de la UE. Sigue vigente el Real Decreto-ley 12/2018 (la primera NIS), y el sector público y sus proveedores aplican el Esquema Nacional de Seguridad. Comprueba el BOE antes de citar plazos u obligaciones nacionales.
• Las entidades financieras siguen DORA, aplicable desde enero de 2025, que prevalece sobre NIS2 en lo que regula.

3. El RGPD desde IT

• Registro de actividades de tratamiento: lo lleva el DPO, pero IT aporta los sistemas, dónde están los datos, cuánto tiempo se guardan y qué medidas los protegen.
• Encargados del tratamiento (artículo 28): cada proveedor que trata datos personales por vuestra cuenta (SaaS, soporte externo, copias en la nube) necesita un acuerdo de encargo firmado y una lista de subencargados. Antes de dar de alta una herramienta nueva, no después.
• Brechas (artículo 33): se notifican a la AEPD en 72 horas desde que se tiene constancia, salvo que sea improbable que supongan un riesgo para las personas. Todas, notificadas o no, se documentan en el registro interno. La AEPD ofrece la herramienta Asesora Brecha para orientar la decisión.
• Conservación: los registros con datos personales (IP, usuario) también tienen plazo. Que esté definido y que la retención de Log Analytics o de Purview lo cumpla.
• Derecho de acceso: se responde en un mes, ampliable dos más en casos complejos. IT localiza los datos (buzón, sistemas de RR. HH., registros) con búsquedas de eDiscovery y los entrega por un canal seguro sin incluir datos de terceros.

4. La carpeta de evidencias

• Una carpeta por control, un archivo por periodo y un nombre que diga qué es y de cuándo. Lo que genera una herramienta se exporta con una tarea programada, no a mano.
• Una retención de Purview sobre el sitio evita que alguien borre la evidencia del año pasado.

5. La auditoría: "enséñame las revisiones de acceso y las copias probadas"

El auditor elige una muestra: dos trimestres y tres aplicaciones, y dos meses de copias.

1. Revisiones de acceso: el procedimiento (quién revisa, cada cuánto), la exportación de cada revisión con las decisiones, y los tickets de retirada de lo que se denegó, con fecha. La no conformidad más habitual es revisar y no retirar, o que el usuario se revise a sí mismo.
2. Copias probadas: el informe de trabajos del mes y el acta de restauración: qué se restauró, dónde, cuánto tardó frente al RTO, quién lo hizo y qué falló. Una restauración real de un servidor o una base de datos al trimestre vale más que doce capturas de "trabajo correcto".
3. Si falta algo, no lo fabriques: se registra como no conformidad menor con su acción correctiva. Una evidencia inventada convierte un hallazgo menor en uno grave.

6. El ticket: "he perdido el portátil en el tren"

Lunes, 09:10. Marta Gil, de RR. HH., perdió anoche su portátil PT-0231. Trabaja con nóminas. Desde este momento la organización tiene constancia y corren las 72 horas.

›Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"›Get-MgDeviceManagementManagedDevice -Filter "deviceName eq 'PT-0231'" | Select-Object DeviceName, UserDisplayName, IsEncrypted, ComplianceState, LastSyncDateTimeDeviceName   UserDisplayName   IsEncrypted   ComplianceState   LastSyncDateTimePT-0231      Marta Gil         True          compliant         27/10/2026 19:42:10

1. Contener: bloqueo y borrado remoto desde Intune (se ejecuta cuando conecte), revocar las sesiones de la usuaria y cambiar su contraseña.
2. Reunir los hechos para el DPO: BitLocker activo (XTS-AES 256 con TPM y PIN), cumplimiento correcto en la última sincronización, equipo apagado según la usuaria, datos de nóminas sincronizados desde OneDrive.
3. La evaluación la hacen el DPO y Jurídico: con cifrado fuerte y la clave sin comprometer, los datos son ininteligibles para quien encuentre el equipo, y lo habitual es concluir que es improbable un riesgo y no notificar a la AEPD. Se documenta igualmente en el registro de brechas.
4. Si BitLocker no estaba activo o no se puede demostrar, la conclusión cambia: notificación a la AEPD dentro de las 72 horas y, si el riesgo es alto, comunicación a las personas afectadas.

El informe de BitLocker de cada mes es la evidencia que decide este caso. Sin él, no puedes demostrar que el portátil estaba cifrado.

Siguientes pasos

• La guía de BitLocker y la de Intune para que el cifrado y su informe estén en todos los equipos.
• La guía de Microsoft Purview para la retención, las etiquetas y las búsquedas que piden el RGPD y la auditoría.
• La guía de Backup y DR/BCP para las pruebas de restauración que alimentan el control 8.13.
• La guía de Microsoft 365: Global Admin y PIM para las evidencias de acceso privilegiado.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.