Herramientas para NIS2 sin prometer cumplimiento.
La directiva NIS2 exige a entidades esenciales e importantes gestionar sus riesgos, implicar su gestión y reportar sus incidencias. TechWatchAlert proporciona herramientas para la parte de estas obligaciones que se refiere a vulnerabilidades, inventario, proveedores e incidentes, y produce la evidencia que solicita un auditor.
Lo que requiere NIS2
La Directiva (UE) 2022/2555, conocida como NIS2, se aplica a entidades esenciales e importantes en dieciocho sectores. La ANSSI calcula que en Francia hay unas 15.000 entidades afectadas. Tres artículos contienen la mayoría de las obligaciones.
- Artículo 20, gobernanza. Los órganos de gestión aprueban las medidas de gestión de riesgos, supervisan su aplicación y pueden ser considerados responsables de las infracciones. Sus miembros están obligados a seguir una formación.
- Artículo 21, gestión de riesgos. Diez áreas de medidas, que incluyen manejo de incidentes, seguridad de la cadena de suministro, manejo y divulgación de vulnerabilidades, evaluación de la efectividad de las medidas y gestión de activos.
- Artículo 23, comunicación de incidentes significativos. Una alerta temprana dentro de las 24 horas posteriores al conocimiento, una notificación de incidente dentro de las 72 horas y luego un informe final a más tardar un mes después de la notificación.
Para los proveedores de servicios digitales (computación en la nube, servicios gestionados y servicios gestionados de seguridad, centros de datos, DNS, mercados online, buscadores, redes sociales, servicios de confianza…), el Reglamento de Ejecución (UE) 2024/2690 detalla punto por punto estas medidas. Entre otras cosas, les exige obtener información sobre las vulnerabilidades a través de canales adecuados, incluidos los anuncios del CSIRT (punto 6.10 de su anexo).
Donde se encuentra Francia
La transposición pasa por el proyecto de ley sobre la resiliencia de las infraestructuras críticas y el fortalecimiento de la ciberseguridad, conocido como proyecto de ley “Résilience”. El Senado lo adoptó en marzo de 2025; al 23 de septiembre de 2026 aún no ha sido adoptado definitivamente. En julio de 2026, la Comisión Europea interpuso procedimientos contra varios Estados miembros que tardaron en transponer la directiva.
Sin esperar la ley, ANSSI publicó su marco ReCyF (Référentiel Cyber France) el 17 de marzo de 2026: 20 objetivos de seguridad, 15 para todas las entidades reguladas y 5 más para las entidades esenciales. No es obligatorio por defecto, pero una entidad que lo aplique podrá confiar en él durante una inspección.
A escala europea, la ENISA explota desde mayo de 2025 la base europea de vulnerabilidades (EUVD), prevista por el artículo 12 de la directiva.
Para qué proporciona herramientas TechWatchAlert
Cada módulo aborda una obligación específica y deja una huella fechada. Los registros nunca se reescriben: una decisión se cierra y otra la reemplaza, lo que mantiene el historial legible para un auditor.
| Módulo | que hace | Textos |
|---|---|---|
| Seguimiento, incluidos los CSIRT nacionales | Nueve fuentes de vulnerabilidad, incluidos avisos y alertas de CERT-FR y la base de datos EUVD de ENISA. La explotación reportada por KEV, CERT-FR o EUVD cuenta como explotación confirmada y la priorización predeterminada la coloca en primer lugar. | Arte. 21.2.e; Reglamento 2024/2690, punto 6.10 |
| Registro de riesgos aceptados | Aplazar un parche se convierte en una petición justificada: justificación, medidas compensatorias, fecha de revisión. La dirección lo aprueba o rechaza, nunca el propio solicitante cuando existe otro aprobador. Cuando llega la fecha, el riesgo vuelve a revisarse. | Arte. 20; Reglamento 2024/2690, punto 6.6 |
| Plazos de remediación y escalamiento | Una política de remediación por gravedad, reforzada cuando se confirma la explotación y ajustada a la criticidad de los activos. Cada CVE abierto tiene una fecha límite: un recordatorio antes, una alerta cuando se pasa por alto y luego una derivación al CISO. | Reglamento 2024/2690, puntos 6.6 y 6.10 |
| Criticidad de activos y revisiones de inventario | Cada proyecto y cada componente conlleva una criticidad (vital, importante, estándar, baja). La revisión periódica del inventario está certificada y fechada, y cada importación de SBOM se registra como evidencia. | Arte. 21.2.i; Reglamento 2024/2690, punto 12 |
| Registro de proveedores | Se alimenta de los proveedores de su pila y luego se califica: criticidad, contacto de seguridad, cláusulas contractuales, ubicación de datos, evaluaciones periódicas. Para cada proveedor: CVEs abierto, CVEs explotado, fechas de fin de vida útil. | Arte. 21.2.d y 21.3; Reglamento 2024/2690, punto 5 |
| Incidentes | Registro de incidencias, calificación, plazos computados (24 horas y 72 horas después de tener conocimiento, un mes después de la notificación), recordatorios, plantillas de informes precargadas para copiar y registro con marca de tiempo. | Arte. 23 |
| Informe para la gerencia | Indicadores por obligación y un informe PDF para la gestión: resumen, mapeo a los textos, anexos de registro. | Arte. 20 y 21.2.f |
Se asignan roles dentro de la organización: dirección, CISO, contacto de incidentes. De forma predeterminada, la gestión recae en los propietarios de la organización, el rol de CISO en la dirección y el contacto de incidentes en el CISO.
Lo que TechWatchAlert no hace
- Sin certificación. Ninguna herramienta es suficiente para alinear una organización con NIS2. TechWatchAlert produce evidencia; su organización y, cuando corresponda, ANSSI, saquen las conclusiones.
- Sin informes automáticos. La herramienta elabora el informe del incidente y mantiene un registro del mismo; usted es quien lo presenta a la ANSSI, a través de sus canales.
- Sin asesoramiento jurídico. Si su organización es una entidad esencial o importante y lo que la legislación francesa le exigirá, es una cuestión que corresponde a ANSSI y a sus asesores.
- No todo el artículo 21. Business continuidad y respaldos, criptografía, seguridad de recursos humanos, control de acceso a sus propios sistemas, capacitación: estas áreas se manejan en otros lugares.
Planes afectados
El espacio de cumplimiento está incluido en los planes Pro y Business; no está disponible en los planes Free y Team. Los avisos y alertas del CERT-FR y las entradas EUVD, por otro lado, son visibles en todos los planes: son datos de vulnerabilidad como cualquier otro. Compara los planes.
¿Y TechWatchAlert como proveedor?
Si está sujeto a NIS2, somos parte de su cadena de suministro (Artículo 21.2.d). Nuestro Página de seguridad reúne lo que normalmente solicita una evaluación de proveedores: alojamiento, subprocesadores y salvaguardas de transferencia, medidas implementadas, contacto de divulgación.
Preguntas frecuentes
¿TechWatchAlert hace que mi organización sea compatible con NIS2?
No, y ninguna herramienta puede hacerlo. TechWatchAlert proporciona herramientas para parte de las obligaciones (monitoreo, parches, inventario, proveedores, incidentes) y produce evidencia fechada. El cumplimiento de todas sus medidas lo evalúa su organización y, cuando corresponda, la ANSSI.
¿Deberíamos esperar a la ley francesa antes de empezar?
Esa elección es tuya. La directiva ya establece el marco, y el marco ReCyF de ANSSI está disponible desde marzo de 2026. Mantener sus registros a partir de ahora le brinda un historial para mostrar el día en que se aplican las obligaciones.
¿TechWatchAlert envía el reporte de incidente a ANSSI?
No. La herramienta calcula los plazos (24 horas y 72 horas después de tener conocimiento, un mes después de la notificación), te los recuerda, prepara plantillas precargadas y registra cada paso. La presentación sigue siendo su responsabilidad, a través de los canales de ANSSI.
¿NIS2 prohíbe proveedores estadounidenses como Cloudflare?
No. NIS2 le pide que evalúe los riesgos relacionados con sus proveedores, sin excluir una nacionalidad. En Francia, es la ley SREN (artículo 31) la que exige ofertas de tipo SecNumCloud para determinadas administraciones públicas que manejan datos sensibles. TechWatchAlert no está calificado para SecNumCloud y publica la lista de sus subprocesadores en su Página de seguridad.
¿Qué planes incluyen el espacio de cumplimiento?
Pro y Business. Los planes Free y Team no dan acceso a él, pero al igual que los demás muestran los avisos CERT-FR y las entradas EUVD vinculadas a su CVEs.
Planes Pro y Business
Su evidencia NIS2, donde ya vive su seguimiento.
Registro de riesgos aceptados, plazos de remediación, revisiones de inventario, proveedores, incidentes y un informe para la gestión, en la herramienta que ya rastrea tus vulnerabilidades. Comience con el plan Free; el espacio de cumplimiento se abre con el plan Pro.
- Subprocesadores publicados
- Construido y alojado en Francia
- Exporta tus datos en cualquier momento