NIS2 es la directiva europea que sube el listón de ciberseguridad a un montón de organizaciones. Este artículo no pretende cubrirla entera: se centra en la parte que un SOC resuelve de verdad, que es la de vigilancia, detección y respuesta. El resto de la adecuación es trabajo de consultoría, y lo aclaramos más abajo.
NIS2 clasifica a las organizaciones afectadas en entidades esenciales e importantes, según su sector y su tamaño. La energía, el agua, la sanidad, el transporte, las telecomunicaciones o la fabricación crítica entran de lleno. Pero hay un detalle que pilla a muchos por sorpresa: la norma también mira la cadena de proveedores. Muchas pymes no son entidades esenciales por sí mismas, pero entran de rebote por ser proveedoras de un sector que sí lo es y verse obligadas por contrato a cumplir. Si te han pasado un cuestionario de seguridad exigente, probablemente sea por esto.
NIS2 obliga a implantar medidas de gestión de riesgos. Dentro de ese paquete hay varias que van directas al terreno operativo de un SOC:
Vistas juntas, estas cuatro exigencias describen casi punto por punto lo que hace un centro de operaciones de seguridad todos los días.
Un SOC monitoriza sin descanso, también de noche y en festivos, que es cuando más se aprovecha un atacante. Recoge las señales de tus defensas, las cruza para detectar lo que una sola no vería y contiene el incidente antes de que se extienda. Y, muy importante para NIS2, deja rastro de todo: la línea temporal, las acciones tomadas y los informes con tiempos de detección y respuesta (MTTD y MTTR).
Esa evidencia con tiempos es la que te permite notificar dentro de plazo. Cuando la alerta temprana hay que darla en cuestión de horas, no puedes empezar entonces a reconstruir qué ha pasado: necesitas que alguien ya lo haya visto, acotado y documentado. Ahí está la diferencia entre llegar a tiempo o no.
Aquí conviene ser honesto. NIS2 es mucho más amplia que la vigilancia. Pide también gobernanza y responsabilidad de la dirección, análisis de riesgos, formación del personal, planes de continuidad y recuperación, y seguridad de la cadena de suministro. Nada de eso lo resuelve un SOC por sí solo.
La adecuación completa a NIS2 la hace una consultora, en nuestro caso Meta-Data, que arma el sistema de gestión, las políticas, el análisis de riesgos y el gobierno. El SOC cubre una pieza concreta y fundamental: la vigilancia, la detección y la respuesta. Son dos trabajos distintos que encajan, no uno que sustituya al otro. Si tu caso incluye entornos industriales, la vigilancia tiene su propia especialidad en el SOC industrial (OT).
Tener un SOC no te hace cumplir NIS2 por completo, pero te adelanta buena parte del trabajo y, sobre todo, te deja en condiciones de demostrarlo. Cuando llegue una inspección o un incidente que haya que notificar, ya tendrás la vigilancia funcionando y la evidencia ordenada. Lo demás lo completa la consultora, con el terreno operativo ya cubierto.
Si quieres ver cómo encaja todo, mira nuestra visión de cumplimiento o pide un diagnóstico de exposición gratuito.
No. Un SOC cubre bien la parte de vigilancia, detección y respuesta a incidentes, que es una de las medidas que exige NIS2. Pero la norma es más amplia (gobernanza, análisis de riesgos, formación, continuidad, cadena de suministro) y esa adecuación completa la lleva la consultora. Ver cumplimiento.
Los registros de las alertas tratadas, la línea temporal de cada incidente, las acciones de contención, los informes con tiempos de detección y respuesta (MTTD y MTTR) y la conservación de logs. Es el material que demuestra que vigilas, detectas y respondes.
NIS2 marca plazos cortos para los incidentes significativos: una alerta temprana en torno a las 24 horas y una notificación en torno a las 72 horas, con un informe final después. Tómalo con prudencia, porque el detalle depende de la trasposición de cada país; conviene confirmarlo con tu consultora.
Te enseñamos qué parte de NIS2 cubre un SOC con IA y qué evidencia dejaría por ti. Gratis y sin compromiso.
