Guía · Derecho y obligaciones
NIS2 y copias de seguridad: lo que deben demostrar las empresas
En resumen: NIS2 menciona expresamente la gestión de copias de seguridad y la recuperación tras una emergencia como medida mínima. No basta con tener copias: una empresa debe poder demostrar que se hacen con regularidad, están protegidas y se pueden restaurar. La responsabilidad recae en la dirección.
Qué dice NIS2 sobre las copias de seguridad
La Directiva NIS2 (UE) 2022/2555 obliga a las empresas de sectores importantes a adoptar medidas de ciberseguridad. El artículo 21, apartado 2, enumera las medidas mínimas. La letra c recoge la continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis.
Otros dos puntos de la misma lista afectan directamente a las copias: la letra f exige políticas y procedimientos para evaluar la eficacia de las medidas, lo que para las copias significa probar la restauración. La letra h exige el uso de criptografía y cifrado cuando proceda.
El artículo 20 atribuye la responsabilidad a la dirección: los órganos de dirección deben aprobar las medidas, supervisar su aplicación y recibir formación al respecto. Las copias de seguridad son, por tanto, expresamente un asunto de la dirección.
A quién afecta
NIS2 se aplica a las empresas de los sectores de los anexos I y II de la Directiva, por ejemplo energía, transporte, sanidad, infraestructura digital, servicios de TI para otras empresas (servicios gestionados), residuos, química, alimentación, fabricación de productos críticos y servicios digitales. Por lo general están afectadas las medianas y grandes empresas de esos sectores, es decir, a partir de 50 empleados o con un volumen de negocios y un balance anual de más de 10 millones de euros. En algunos ámbitos, NIS2 se aplica con independencia del tamaño.
En Alemania, la ley de transposición de NIS2 incorpora la Directiva a la ley del BSI, y las entidades afectadas deben registrarse en el BSI, la Oficina Federal de Seguridad de la Información. Si su empresa está afectada y de qué manera debe comprobarse caso por caso; para ello, el BSI ofrece una comprobación en línea. En los demás Estados de la UE se aplican la ley nacional de transposición y la autoridad competente de cada país.
También sin NIS2: el RGPD ya exige en su art. 32 la capacidad de restaurar con rapidez los datos personales tras un incidente y la verificación periódica de las medidas. Muchos seguros de ciberriesgos preguntan lo mismo.
Qué quieren ver los auditores en las copias de seguridad
Las leyes fijan objetivos, no productos. En la práctica, sin embargo, las auditorías se reducen a las mismas preguntas:
| Pregunta del auditor | Qué sirve como evidencia |
|---|---|
| ¿Existe un plan de copias de seguridad? | Un plan por escrito: qué, con qué frecuencia, adónde, cuánto tiempo se conserva, quién es responsable (BSI IT-Grundschutz CON.3) |
| ¿Se hacen realmente las copias? | Registro de todas las copias con su resultado, sin huecos durante el periodo auditado |
| ¿Están protegidas frente a ataques? | Copia inmutable o desconectada, cifrado, copia fuera de la empresa |
| ¿Se pueden restaurar? | Pruebas de restauración documentadas con fecha, alcance y resultado |
| ¿Quién borró o cambió qué? | Registro trazable de supresiones y cambios en la conservación |
| ¿Se puede confiar en el registro? | Registro a prueba de manipulaciones, copia en un segundo lugar (BSI IT-Grundschutz OPS.1.1.5) |
Cinco pasos para copias demostrables
- Redactar un plan: definir sistemas, volúmenes de datos, frecuencia de copia, conservación y el tiempo máximo de inactividad tolerable de cada sistema. Qué debe incluir lo muestra la guía Plan de copias de seguridad.
- Varias copias en varios lugares: al menos una copia fuera de la empresa y otra inmutable; la regla 3-2-1-1-0 es una buena pauta.
- Probar la restauración con regularidad: no solo una vez al año a mano, sino de forma continua y documentada. Cómo hacerlo automáticamente lo explica el artículo Probar la restauración.
- Registrar todo lo que ocurre con las copias y proteger el registro frente a cambios posteriores.
- Informar: la dirección recibe periódicamente un informe comprensible y puede así demostrar que cumple su deber de supervisión.
Qué ocurre si falta
La Directiva prevé multas considerables: para las entidades esenciales, hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial; para las entidades importantes, hasta 7 millones de euros o el 1,4 %, en cada caso la cifra más alta. A menudo pesa más el propio daño: sin una restauración que funcione, una empresa queda paralizada durante días o semanas tras un ataque de ransomware.
Cómo ayuda AegisGrid
AegisGrid escribe en hasta ocho destinos en una sola ejecución, también inmutables y fuera de la empresa. El servidor de copias restaura automáticamente copias a modo de prueba y arranca máquinas virtuales en un sandbox aislado. Cada copia, restauración, comprobación y supresión queda anotada en un registro de evidencias encadenado y firmado a diario, que si lo desea se envía de inmediato a su SIEM. Cada mes se genera a partir de él un informe de evidencias firmado en PDF, para auditores y para la dirección.
Este artículo es una introducción general y no constituye asesoramiento jurídico. Ningún software hace por sí solo que una empresa cumpla NIS2; las copias de seguridad son un componente de un concepto global.
Preguntas frecuentes sobre NIS2 y copias de seguridad
¿Exige NIS2 un software de copias concreto?
No. NIS2 fija objetivos, no productos: gestión de copias de seguridad, recuperación tras una emergencia, evaluación de la eficacia y cifrado cuando proceda. Lo importante es que pueda demostrar la aplicación.
¿Con qué frecuencia hay que probar la restauración?
NIS2 no fija un plazo. Han dado buen resultado las muestras periódicas, por ejemplo semanales, y una prueba completa de los sistemas más importantes al menos una vez al año. Lo decisivo es que cada prueba quede documentada con su resultado.
¿Se aplica NIS2 también a los proveedores de servicios de TI?
Sí, los proveedores de servicios gestionados figuran entre los sectores de la Directiva. Además, sus clientes exigen cada vez más evidencias sobre la seguridad de la cadena de suministro.
Copias de seguridad demostrables
Le mostramos el registro y el informe de evidencias en sus propios sistemas, en inglés o en alemán.