Diagnóstico NIS2, ENS e ISO 27001
Tres marcos, un único diagnóstico.
Aplicabilidad y análisis de gap frente a NIS2, ENS e ISO 27001, revisión de la postura de seguridad de Microsoft 365 y un plan de acción priorizado para la dirección, en unos 10 días.
- Más de 15 años de experiencia
- Partner de Microsoft desde 2010
- Más de 200 grandes organizaciones como clientes
- Certificados en ISO 27001
- Equipo propio en Barcelona y Madrid
EL PUNTO DE PARTIDA
Ya no basta con tener seguridad
Clientes, dirección y auditores ya no preguntan si hay controles: piden evidencias de que funcionan.
NORMATIVA
NIS2 ya es exigible en Europa
Directiva UE 2022/2555: seguridad demostrable en 18 sectores. El plazo de transposición venció en octubre de 2024.
ESPAÑA
La ley española, todavía sin fecha
Anteproyecto aprobado en enero de 2025 y aún sin publicar. En julio de 2026, Bruselas llevó a España ante el TJUE.
CLIENTES
La exigencia llega por contrato
Las entidades obligadas trasladan NIS2 a sus proveedores: cuestionarios, cláusulas y auditorías de seguridad.
DIRECCIÓN
La dirección responde personalmente
El anteproyecto prevé sancionar e incluso inhabilitar temporalmente a los directivos por incumplimiento.
Montar un programa de seguridad lleva meses: quien espere a la ley para empezar llegará tarde.
¿Te afecta, directa o indirectamente?
Si te identificas con alguno de estos escenarios, el diagnóstico determina tu exposición real.
TAMAÑO Y SECTOR
Dentro del ámbito NIS2
50 empleados o más, o más de 10 M€, en sectores como energía, transporte, sanidad, TIC, alimentación o fabricación.
CADENA DE SUMINISTRO
Proveedor de una entidad obligada
Tus clientes deben evaluar a sus proveedores y te piden evidencias, aunque la ley no te obligue directamente.
SECTOR PÚBLICO
Cliente o proveedor de la Administración
El ENS (RD 311/2022) es obligatorio para el sector público y para quienes le prestan servicios.
CERTIFICACIÓN
Te piden garantías acreditadas
Homologaciones, licitaciones o clientes que exigen ISO 27001 como garantía de seguridad.
Avanzar en uno de los tres marcos cubre buena parte de los otros dos: el diagnóstico lo aprovecha.
Primero diagnóstico, después inversión
Antes de implantar controles: saber qué tienes, qué te falta y qué acciones generan más impacto.
SIN DIAGNÓSTICO
Invertir a ciegas
- Herramientas compradas antes de conocer el gap
- NIS2, ENS e ISO 27001 trabajados por separado
- Lo que ya cubre Microsoft 365, sin aprovechar
- Informes técnicos que la dirección no puede usar
- Sin saber si la empresa está dentro de NIS2
Resultado: más gasto y el mismo riesgo, sin medir
CON ITEQUIA
Un único mapa de prioridades
- Aplicabilidad NIS2 y categoría ENS determinadas
- Controles comunes a los tres marcos, unificados
- Configuración separada de la inversión nueva
- Semáforo ejecutivo pensado para la dirección
- Plan priorizado: quick wins e inversiones de fondo
Resultado: decisiones con datos, en unos 10 días
Tres marcos, un único diagnóstico
No son el mismo tipo de exigencia, pero comparten buena parte de sus controles.
OBLIGACIÓN LEGAL EUROPEA
NIS2
Sectores críticos con 50 empleados o más, o más de 10 M€, y sus proveedores por contrato. Se demuestra con evidencias.
ESQUEMA OBLIGATORIO
ENS
Sector público y sus proveedores. Auditoría según la categoría del sistema: básica, media o alta.
CERTIFICACIÓN VOLUNTARIA
ISO 27001
Cualquier organización. Auditoría de un tercero acreditado sobre el SGSI y sus controles.
Controles comunes a los tres marcos
Gestión del riesgo
Análisis y tratamiento del riesgo: lo exigen los tres marcos.
Accesos e identidad
Control de accesos y MFA, presentes en los tres.
Incidentes
Detección, respuesta y notificación.
Continuidad
Copias, recuperación y continuidad del servicio.
Qué analizamos
Un único trabajo de campo cubre los tres marcos, la plataforma tecnológica y los terceros.
NIS2
- Aplicabilidad y tipo de entidad
- Gobernanza y dirección
- Medidas de gestión de riesgos
- Notificación de incidentes
ENS
- Categorización del sistema
- Marco organizativo
- Marco operacional
- Medidas de protección
ISO 27001
- SGSI (cláusulas 4 a 10)
- Controles del Anexo A
- Preparación para certificar
Microsoft 365
- Identidad, MFA y acceso condicional
- Dispositivos y protección de datos
- Registros y auditoría de actividad
Terceros
Proveedores críticos
Cláusulas de seguridad
Evaluación de proveedores
Evidencias para clientes
¿Ya tienes ENS o ISO 27001? Partimos de lo que ya está certificado y analizamos solo el gap restante.
NUESTRA DIFERENCIA
Lo que ya tienes en Microsoft 365 cuenta
Buena parte del gap no exige comprar: exige configurar bien lo que ya está licenciado.
01
Configurar antes que comprar
MFA, acceso condicional, cifrado y auditoría de actividad: requisitos que un Microsoft 365 bien configurado ya cubre.
02
Configuración o inversión
El plan separa los ajustes sobre lo existente de las capacidades nuevas, con su impacto y su coste.
03
Licencias con criterio
Defender, Intune, Purview o Sentinel, solo donde el gap lo justifica, y con el partner que los implanta.
Diez días, cuatro pasos
Duración orientativa de 10 días laborables, según el tamaño y la complejidad de la organización.
01
DÍA 1
Lanzamiento
Reunión inicial, sistemas y procesos en alcance, y marcos aplicables a revisar.
02
DÍAS 2 A 5
Evidencias
Documentación, entrevistas con los responsables y revisión de la configuración técnica.
03
DÍAS 6 A 8
Análisis de gap
Contraste con cada marco y priorización de las carencias por riesgo, impacto y coste.
04
DÍAS 9 Y 10
Informe y cierre
Entrega del informe y sesión de cierre con el equipo técnico y con la dirección.
Qué recibes: un informe para decidir
Informe ejecutivo
Semáforo de riesgos que la dirección entiende sin tecnicismos.
Aplicabilidad
Dentro o fuera de NIS2, entidad esencial o importante, y categoría ENS.
Gap por marco
Nivel de conformidad actual frente a NIS2, ENS e ISO 27001.
Mapa de controles comunes
Lo que cubre los tres marcos a la vez, para no hacer tres veces el mismo trabajo.
Plan de acción priorizado
Por riesgo, impacto y coste, con los quick wins separados de las inversiones de fondo.
Recomendación del camino
Implantación, certificación o cumplimiento, con el orden y el esfuerzo estimado.
La certificación la otorga un tercero acreditado: el diagnóstico te dice qué te falta para llegar. La implantación de medidas, la preparación para certificar y la operación continua son servicios separados.
CÓMO SE CONTRATA
Precio cerrado, sin compromisos posteriores
Cada paso se decide con la información del anterior: el diagnóstico no obliga a contratar nada más.
01
Valoración inicial
Una sesión para confirmar los marcos aplicables, el tamaño y los sistemas en alcance.
02
Diagnóstico
A precio cerrado, según el tamaño y los marcos. Duración orientativa de 10 días laborables.
03
Implantación
Como proyecto, con el alcance y las prioridades que marca el plan de acción.
04
Operación
Cuota mensual con Itequia Cloud Operations: identidad, seguridad y Microsoft 365.
El informe y el plan de acción son tuyos, para ejecutarlos con quien decidas. Las licencias de Microsoft 365 y de seguridad, suministradas por Itequia, si se desea.
La diferencia con una consultora de cumplimiento
Un partner que también conoce y opera la tecnología.
01
Tres marcos, un único mapa
NIS2, ENS e ISO 27001 comparten controles: los unificamos en un único plan, sin pagar tres trabajos separados.
02
Seguridad que practicamos
Itequia está certificada en ISO 27001 y trabaja en entornos regulados: banca, farma, industria y sector público.
03
Especialistas en Microsoft
Revisamos qué parte del gap se cierra configurando el Microsoft 365 que ya tienes, y lo implantamos.
Qué obtienes
Saber si te afecta
Aplicabilidad NIS2 y categoría ENS, sin ambigüedad.
Un mapa del gap
Dónde estás frente a cada marco, en un único documento.
Prioridades claras
Quick wins separados de las inversiones de fondo.
Un mensaje para la dirección
Un semáforo ejecutivo para decidir y responder.
Menos gasto duplicado
Controles comunes y lo que ya cubre Microsoft 365.
Coste y plazo acotados
Precio cerrado y 10 días laborables orientativos.
Dónde encaja el diagnóstico
El diagnóstico es el punto de partida: funciona solo o como entrada al resto de servicios de Itequia.
VALIDAR LAS DEFENSAS
Auditoría de ciberseguridad
Auditoría técnica y pentesting de sistemas y aplicaciones.
DIAGNOSTICAR
Diagnóstico NIS2, ENS e ISO 27001
Aplicabilidad, gap por marco y plan de acción priorizado.
IMPLANTAR Y OPERAR
Itequia Cloud Operations
Microsoft 365, identidad, seguridad, Azure y licencias.
GOBERNAR LA IA
Gobernanza de la IA
Uso de la IA visible y bajo control: shadow AI y plan de acción.
Cada servicio se contrata por separado. Cumplimiento, seguridad y plataforma Microsoft con el mismo partner.
¿Por qué Itequia es la mejor opción para tus necesidades de desarrollo de software?
Con más de 15 años de experiencia en el sector digital, ofrecemos servicios de desarrollo de software eficientes y personalizados. Nuestra metodología ágil y herramientas de gestión garantizan entregas que se adaptan a tus necesidades.
Como Microsoft Solutions Partner, tenemos la competencia y experiencia para utilizar las tecnologías más avanzadas.
Contamos con un equipo de más de 50 profesionales humanos altamente cualificados compuesto por analistas, diseñadores, desarrolladores, testers, consultores y directores de proyecto.
Más de 15 años de experiencia
Preguntas frecuentes
¿Te piden evidencias de seguridad?
Cuéntanos qué te piden clientes, dirección o auditores, y qué marcos te preocupan.