Marcos de ENISA
La ENISA —la Agencia de Ciberseguridad de la UE— no expide una única certificación, como hacen algunos marcos de referencia. Publica orientaciones, metodologías de evaluación de riesgos y normas técnicas que se incorporan a la política y la legislación de la UE en materia de ciberseguridad, incluida la Directiva NIS2, que es donde la mayoría de las organizaciones se encuentran realmente con el trabajo de ENISA en la práctica: no como un requisito directo de ENISA, sino como la base de lo que los reguladores nacionales esperan ahora en virtud de la NIS2.
Esto hace que el «cumplimiento de la ENISA» sea un tema ligeramente distinto al cumplimiento de una norma formal como la ISO 27001. No se trata tanto de una simple lista de verificación como de comprender qué partes de las directrices de la ENISA se aplican realmente a su sector y a su tamaño, y cómo estas se traducen en las obligaciones específicas que su regulador nacional está haciendo cumplir en virtud de la legislación de la UE en materia de ciberseguridad.
Dónde tiene realmente repercusión
Si opera en un sector que abarca la NIS2 —energía, transporte, sanidad, infraestructura digital y una lista cada vez mayor de otros—, la cuestión práctica no es si las directrices de ENISA son relevantes en abstracto, sino si la aplicación nacional de la Directiva NIS2 en su país incluye requisitos específicos y exigibles que se remitan a dichas directrices, y cuáles son su plazo real y sus obligaciones de notificación.
Cómo lo abordaría yo
Comienzo por determinar qué es lo que realmente le afecta: el sector, el tamaño y qué transposición nacional de la Directiva NIS2 rige su organización, ya que las directivas de la UE se aplican de forma ligeramente diferente de un país a otro. A partir de ahí, se realiza un análisis de deficiencias en relación con las medidas específicas de gestión de riesgos y las obligaciones de notificación de incidentes que le son aplicables, basado en su infraestructura real y no en una plantilla genérica válida para toda la UE.
Si está tratando de averiguar qué es lo que realmente exigen a su organización las directrices de la NIS2 y la ENISA, analicémoslo juntos.