Cómo realizar la evaluación de riesgos de NIS2 utilizando IA

Resumen

Aprenderá a utilizar la IA para realizar una evaluación de riesgos NIS2 exhaustiva y alineada con el Artículo 21. Esta guía cubre el enfoque multirriesgo exigido por la Directiva, la identificación de riesgos tanto cibernéticos como no cibernéticos, la aplicación del principio de proporcionalidad, la creación de una metodología de riesgos adaptada a su tipo de entidad, la elaboración de registros de riesgos detallados, el análisis de su panorama de amenazas y el mapeo del tratamiento de riesgos con las diez áreas de medidas del Artículo 21.

A quién va dirigido

Esta guía es para:

• Gestores de riesgos y CISOs responsables de los procesos de evaluación de riesgos NIS2

• Responsables de cumplimiento que crean o actualizan marcos de gestión de riesgos para NIS2

• Consultores de seguridad que realizan evaluaciones de riesgos NIS2 para clientes en sectores críticos

• Gestores de TI que necesitan traducir los requisitos del Artículo 21 en planes de tratamiento de riesgos accionables

• Miembros del órgano de dirección que deben aprobar las medidas de gestión de riesgos y comprender su responsabilidad personal según el Artículo 20

Antes de empezar

Necesitará:

• Una cuenta de ISMS Copilot (prueba gratuita disponible)

• Su determinación de alcance NIS2 (clasificación de entidad esencial o importante). Consulte Cómo comenzar con la implementación de NIS2 usando IA si aún no lo ha completado

• Un inventario de sus sistemas de información, redes y servicios críticos

• Su documentación actual de evaluación de riesgos (si existe)

• Aprobación del órgano de dirección para el proceso de evaluación de riesgos (Artículo 20)

Comprensión de los requisitos de evaluación de riesgos de NIS2

Lo que exige el Artículo 21

El Artículo 21(1) de la Directiva NIS2 exige que las entidades esenciales e importantes adopten medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos para la seguridad de las redes y sistemas de información que dichas entidades utilizan para sus operaciones o para la prestación de sus servicios. Estas medidas deben basarse en un enfoque multirriesgo y deben tener como objetivo proteger las redes y los sistemas de información y su entorno físico de incidentes.

El enfoque multirriesgo significa que su evaluación de riesgos debe abordar:

• Ciberamenazas: Ransomware, phishing, amenazas persistentes avanzadas, DDoS, compromiso de la cadena de suministro, amenazas internas

• Amenazas físicas: Acceso físico no autorizado, robo de equipos, sabotaje, vandalismo

• Amenazas ambientales: Desastres naturales, inundaciones, incendios, cortes de energía, eventos climáticos extremos

• Factores humanos: Errores humanos, ingeniería social, formación insuficiente, dependencia de personas clave

• Riesgos de la cadena de suministro: Compromiso de proveedores, dependencia de un único proveedor, vulnerabilidades de terceros

• Fallos técnicos: Fallos de hardware, defectos de software, agotamiento de capacidad, errores de configuración

El principio de proporcionalidad

El Artículo 21(1) establece explícitamente que las medidas deben ser proporcionadas a:

• El grado de exposición de la entidad a los riesgos

• El tamaño de la entidad

• La probabilidad y gravedad de los incidentes

• El impacto social y económico de los incidentes

Esto significa que un pequeño proveedor de servicios gestionados clasificado como entidad esencial tendrá expectativas de control diferentes a las de un gran proveedor de energía, aunque ambos deban abordar las diez áreas de medidas. Su evaluación de riesgos debe documentar cómo se ha aplicado la proporcionalidad.

Cómo transforma la IA la evaluación de riesgos NIS2

La evaluación de riesgos tradicional para NIS2 requiere una profunda experiencia en múltiples dominios de amenazas, conocimiento específico del sector y la capacidad de mapear cientos de riesgos con medidas de control. ISMS Copilot acelera esto mediante:

• Inteligencia de amenazas específica del sector: Generando panoramas de amenazas adaptados a su sector específico basados en informes de ENISA y patrones de ataque del mundo real

• Identificación integral de riesgos: Garantizando la cobertura multirriesgo mediante la generación sistemática de escenarios de riesgo en todas las categorías de amenazas

• Puntuación consistente: Aplicando criterios de probabilidad e impacto de manera consistente en cientos de escenarios de riesgo

• Mapeo de controles: Mapeando automáticamente los riesgos identificados con las áreas de medidas del Artículo 21 correspondientes y controles específicos

• Generación de registros de riesgos: Produciendo registros de riesgos estructurados y listos para auditoría en minutos en lugar de semanas

Paso 1: Defina su metodología de evaluación de riesgos

Por qué la metodología es lo primero

Antes de identificar cualquier riesgo, debe establecer y documentar su metodología de evaluación de riesgos. Las autoridades de supervisión verificarán que exista una metodología, que haya sido aprobada por el órgano de dirección y que se haya aplicado de forma coherente a todos los riesgos evaluados.

Construcción de la metodología con IA

1. Generar el marco de la metodología:

   "Crea una metodología integral de evaluación de riesgos NIS2 para una organización del sector [sector] clasificada como entidad [esencial/importante] con [número de empleados] empleados. La metodología debe: adoptar un enfoque multirriesgo según lo exige el Artículo 21(1), incluir etapas de identificación, análisis, evaluación y tratamiento de riesgos, definir escalas de probabilidad e impacto (5 puntos), incluir criterios de cálculo y aceptación de riesgos, abordar el principio de proporcionalidad y ser apta para la aprobación de nuestro órgano de dirección."

2. Definir criterios de impacto adaptados a NIS2:

   "Crea criterios de evaluación de impacto específicos para NIS2 que cubran cinco dimensiones: (1) interrupción operativa de servicios esenciales/importantes, (2) pérdida financiera, incluidas posibles sanciones regulatorias de hasta [10M/7M] EUR o [2%/1,4%] de la facturación, (3) impacto en otras entidades y sectores (efectos en cascada), (4) número de usuarios/destinatarios afectados y (5) impacto reputacional y social. Proporciona una escala de 5 puntos con ejemplos concretos para cada dimensión relevantes para una organización del [sector]."

3. Definir criterios de probabilidad:

   "Crea criterios de evaluación de probabilidad de riesgo para nuestra evaluación de riesgos NIS2. Incluye una escala de 5 puntos (Rara/Improbable/Posible/Probable/Casi segura) con: definiciones basadas en frecuencia, definiciones basadas en la capacidad de la amenaza y ejemplos específicos del sector. Referencia datos actuales del panorama de amenazas de ENISA para nuestro sector [sector]."

4. Establecer umbrales de aceptación de riesgos:

   "Define criterios de aceptación de riesgos para el cumplimiento de NIS2. El apetito de riesgo de nuestra organización es [conservador/moderado/agresivo]. Crea: una matriz de riesgos (5x5) con niveles de riesgo codificados por colores, umbrales de aceptación por nivel de riesgo (aceptar/mitigar/transferir/evitar), reglas de escalada para riesgos por encima de la tolerancia y niveles de autoridad de aprobación (propietario del riesgo/CISO/órgano de dirección) para cada decisión de tratamiento."

Paso 2: Identifique y catalogue sus activos

Qué incluir en su inventario de activos

La evaluación de riesgos NIS2 requiere una comprensión profunda de las redes y los sistemas de información que su organización utiliza para las operaciones y la prestación de servicios. Su inventario de activos debe cubrir:

Categoría de activo

Ejemplos

Relevancia NIS2

Activos de información

Datos de clientes, datos operativos, datos de configuración, credenciales

Confidencialidad, integridad, disponibilidad de servicios

Hardware

Servidores, equipos de red, sistemas OT/ICS, endpoints, dispositivos IoT

Protección del entorno físico, control de acceso

Software

Sistemas operativos, aplicaciones, firmware, sistemas SCADA/DCS

Gestión de vulnerabilidades, seguridad en la adquisición

Infraestructura de red

Routers, switches, firewalls, VPNs, redes inalámbricas

Seguridad de red, segmentación, monitorización

Servicios en la nube

Proveedores de IaaS, PaaS, SaaS, CDN, DNS

Seguridad de la cadena de suministro, riesgo de terceros

Personas

Personal clave, administradores, contratistas externos

Seguridad de RR.HH., control de acceso, formación

Instalaciones

Centros de datos, oficinas, emplazamientos industriales, salas de control

Entorno físico, continuidad del negocio

Servicios

Servicios esenciales/importantes prestados, servicios de apoyo

Disponibilidad del servicio, evaluación del impacto de incidentes

Generación de su inventario de activos con IA

1. Crear la plantilla de inventario:

   "Genera una plantilla integral de inventario de activos para la evaluación de riesgos NIS2 en una organización del [sector]. Incluye columnas para: ID de activo, Nombre del activo, Categoría de activo, Descripción, Propietario del activo, Criticidad del negocio (1-5), Dependencias (ascendentes/descendentes), Ubicación, Relevancia del área de medida NIS2 y Medidas de protección actuales. Rellena previamente con activos típicos para una entidad del [sector]."

2. Identificar dependencias de servicios críticos:

   "Para nuestra organización del [sector] que presta [describir servicios esenciales/importantes], mapea las dependencias críticas entre nuestros servicios y los activos subyacentes. Crea un árbol de dependencias que muestre: qué activos soportan qué servicios, puntos únicos de fallo y rutas de impacto en cascada si se comprometen activos específicos. Esto es fundamental para la evaluación del impacto de incidentes de NIS2."

3. Clasificar activos por criticidad:

   "Aplica clasificaciones de criticidad de negocio a nuestro inventario de activos para la evaluación de riesgos NIS2. Los criterios de clasificación deben considerar: el impacto en la prestación del servicio esencial/importante si el activo se compromete, requisitos de tiempo de recuperación, sensibilidad regulatoria e interconexión con otros activos críticos. Asigna niveles de criticidad (Crítica/Alta/Media/Baja) con justificación para cada uno."

Paso 3: Analice su panorama de amenazas

Creación de un perfil de amenazas específico del sector

NIS2 requiere un enfoque multirriesgo, pero las amenazas específicas que enfrenta su organización dependen en gran medida de su sector, ubicación geográfica y entorno tecnológico. ENISA publica informes anuales sobre el panorama de amenazas que proporcionan inteligencia sectorial.

1. Generar su panorama de amenazas:

   "Crea un análisis integral del panorama de amenazas para nuestra organización del [sector] para la evaluación de riesgos NIS2. Incluye: (1) Ciberamenazas: principales vectores de ataque dirigidos a nuestro sector (con ejemplos recientes), agentes de amenazas más relevantes (patrocinados por estados, cibercriminales, hacktivistas, internos) y amenazas emergentes. (2) Amenazas físicas: acceso no autorizado, robo de equipos, sabotaje. (3) Amenazas ambientales: desastres naturales relevantes para nuestra [ubicación], riesgos de la red eléctrica, riesgos relacionados con el clima. (4) Amenazas humanas: patrones de ingeniería social en nuestro sector, indicadores de amenazas internas, dependencia de personas clave. (5) Amenazas de la cadena de suministro: patrones comunes de ataque a la cadena de suministro en nuestro sector, riesgos de dependencia. Referencia datos del panorama de amenazas de ENISA cuando sea aplicable."

2. Evaluar las capacidades de los agentes de amenazas:

   "Para cada categoría de agente de amenazas relevante para nuestra entidad del [sector], evalúa: motivación (financiera, espionaje, interrupción, ideológica), nivel de capacidad (de oportunista a avanzado), métodos de ataque típicos, patrones de objetivos para nuestro sector e incidentes históricos que afecten a organizaciones similares. Presenta esto como una matriz de perfil de agentes de amenazas."

3. Identificar escenarios de ataque específicos del sector:

   "Genera 20 escenarios de ataque realistas específicos para una organización del [sector] para la evaluación de riesgos NIS2. Cada escenario debe incluir: agente de la amenaza, vector de ataque, activos objetivo, impacto potencial en servicios esenciales/importantes, evaluación de probabilidad y efectos en cascada sobre otras entidades o sectores. Incluye escenarios tanto cibernéticos como no cibernéticos para satisfacer el requisito multirriesgo."

Paso 4: Realice la evaluación de riesgos

Identificación de riesgos

Una vez establecidos su inventario de activos y su panorama de amenazas, identifique sistemáticamente los riesgos considerando cómo cada amenaza podría explotar vulnerabilidades en cada activo crítico y cuál sería el impacto en sus servicios esenciales o importantes.

1. Generar el registro de riesgos inicial:

   "Utilizando el inventario de activos y el panorama de amenazas que hemos desarrollado, genera un registro de riesgos integral para nuestra evaluación de riesgos NIS2. Para cada entrada de riesgo incluye: ID de riesgo, Título del riesgo, Descripción del riesgo (amenaza + vulnerabilidad + impacto), Activo(s) afectado(s), Categoría de amenaza (cibernética/física/ambiental/humana/cadena de suministro), Área(s) de medida del Artículo 21 de NIS2 afectada(s), Controles existentes, Probabilidad residual (1-5), Impacto residual (1-5), Puntuación de riesgo, Nivel de riesgo, Propietario del riesgo y Tratamiento recomendado. Genera al menos 40 riesgos que cubran todas las categorías de amenazas para una organización del [sector]."

2. Garantizar la cobertura multirriesgo:

   "Revisa nuestro registro de riesgos para comprobar su integridad multirriesgo. Verifica que tengamos una cobertura adecuada en: ciberamenazas (mínimo 15 riesgos), amenazas físicas (mínimo 5 riesgos), amenazas ambientales (mínimo 5 riesgos), riesgos de factores humanos (mínimo 5 riesgos), riesgos de la cadena de suministro (mínimo 5 riesgos) y riesgos de fallos técnicos (mínimo 5 riesgos). Identifica cualquier brecha y genera entradas de riesgo adicionales para cubrirlas."

3. Evaluar impactos en cascada e intersectoriales:

   "Para los 10 riesgos con mayor puntuación en nuestro registro, analiza los posibles impactos en cascada: (1) cómo este riesgo podría afectar a otras entidades que dependen de nuestros servicios, (2) cómo la interrupción de nuestros servicios podría propagarse por nuestro sector, (3) si el impacto podría cruzar a otros sectores NIS2. Este análisis de impacto en cascada es fundamental para determinar la importancia de los incidentes según NIS2."

Evaluación y puntuación de riesgos

1. Aplicar una puntuación consistente:

   "Revisa y valida las puntuaciones de riesgo en nuestro registro de riesgos. Para cada riesgo, verifica que: la evaluación de probabilidad refleje la inteligencia de amenazas actual para nuestro sector, la evaluación de impacto considere las cinco dimensiones de impacto relevantes para NIS2 (interrupción operativa, pérdida financiera, efectos en cascada, usuarios afectados, impacto social) y el cálculo de la puntuación de riesgo siga nuestra metodología aprobada. Marca cualquier inconsistencia y recomienda ajustes."

2. Crear un mapa térmico de riesgos:

   "Genera una visualización de mapa térmico de riesgos para nuestro registro de riesgos NIS2 que muestre: la distribución de los riesgos por niveles de probabilidad e impacto, la agrupación de riesgos por categoría de amenaza e identificación de los principales grupos de riesgos que requieren tratamiento prioritario. Formatea como una tabla HTML con celdas codificadas por colores."

Paso 5: Desarrolle planes de tratamiento de riesgos alineados con el Artículo 21

Mapeo de riesgos con las áreas de medidas del Artículo 21

Cada riesgo de su registro debe estar vinculado a una o más de las diez áreas de medidas del Artículo 21(2), y sus planes de tratamiento deben especificar los controles que abordan cada riesgo. Esto crea el rastro de auditoría desde la identificación del riesgo hasta la implementación del control.

1. Mapear riesgos con controles:

   "Para cada riesgo en nuestro registro de riesgos, mapea el tratamiento recomendado con áreas de medidas específicas del Artículo 21(2) de NIS2: (a) análisis de riesgos y políticas de seguridad, (b) gestión de incidentes, (c) continuidad del negocio y recuperación ante desastres, (d) seguridad de la cadena de suministro, (e) seguridad de redes y sistemas de información incluyendo gestión de vulnerabilidades, (f) evaluación de efectividad, (g) ciberhigiene y formación, (h) criptografía, (i) seguridad de RR.HH., control de acceso y gestión de activos, (j) autenticación multifactor y comunicaciones seguras. Para cada mapeo, especifica el conrol concreto a implementar y la reducción de riesgo esperada."

2. Crear planes de tratamiento de riesgos:

   "Para los 20 riesgos principales en nuestro registro que superan nuestro umbral de aceptación, genera planes detallados de tratamiento de riesgos. Cada plan debe incluir: ID de riesgo, Decisión de tratamiento (mitigar/transferir/evitar), Controles específicos a implementar, Responsable, Cronograma de implementación, Riesgo residual esperado tras el tratamiento, Requisitos de recursos y Criterios de éxito. Asegúrate de que los tratamientos sean proporcionados al tamaño de nuestra organización y a su exposición al riesgo según exige el Artículo 21(1) de NIS2."

3. Documentar decisiones de aceptación de riesgos:

   "Para los riesgos que entran dentro de nuestro umbral de aceptación, genera declaraciones formales de aceptación de riesgos. Cada declaración debe incluir: ID de riesgo, Descripción del riesgo, Puntuación de riesgo actual, Justificación de la aceptación (incluyendo el razonamiento de proporcionalidad), Condiciones para la reevaluación, Autoridad de aceptación (propietario del riesgo u órgano de dirección) y Fecha de revisión. Estas declaraciones deben ser aprobadas por la autoridad competente según nuestra metodología de riesgos."

Aplicación del principio de proporcionalidad a los tratamientos

NIS2 no exige controles idénticos para todas las organizaciones. Sus tratamientos deben ser proporcionados a su exposición específica al riesgo.

"Revisa nuestros planes de tratamiento de riesgos para verificar el cumplimiento de la proporcionalidad. Nuestra organización tiene [número de empleados] empleados, una facturación anual de [facturación] EUR y opera en el sector [sector] como entidad [esencial/importante]. Para cada tratamiento propuesto, evalúa si es: (1) proporcionado a nuestro tamaño y recursos, (2) proporcionado a la probabilidad y gravedad del riesgo, (3) alineado con el estado del arte para nuestro sector, y (4) rentable en relación con la reducción de riesgo lograda. Marca cualquier tratamiento que pueda ser desproporcionadamente costoso o insuficiente y recomienda alternativas."

Paso 6: Documentar y presentar la evaluación de riesgos

Creación del informe formal de evaluación de riesgos

1. Generar el informe:

   "Crea un Informe formal de Evaluación de Riesgos NIS2 para nuestra organización. Estructura el informe así: (1) Resumen ejecutivo con hallazgos clave y principales riesgos, (2) Alcance y Metodología (referenciando nuestra metodología aprobada), (3) Resumen del Inventario de Activos, (4) Análisis del Panorama de Amenazas, (5) Registro de Riesgos con detalles completos de puntuación, (6) Mapa Térmico de Riesgos, (7) Planes de Tratamiento para riesgos que superan el umbral, (8) Declaraciones de Aceptación para riesgos aceptados, (9) Mapeo de Riesgos con las Áreas de Medidas del Artículo 21(2), (10) Evaluación de Proporcionalidad, (11) Recomendaciones y Próximos Pasos, (12) Anexos (registro completo, perfiles de amenazas, inventario). Este informe se presentará al órgano de dirección para su aprobación."

2. Crear el resumen para el órgano de dirección:

   "Crea un resumen ejecutivo de 3 páginas de los resultados de nuestra evaluación de riesgos NIS2 para el órgano de dirección. Céntrate en: los 10 riesgos principales y su impacto en el negocio, áreas con mayor exposición, inversiones necesarias para el tratamiento de riesgos, cronograma para implementar tratamientos prioritarios y las obligaciones específicas de aprobación y supervisión del órgano de dirección. Incluye una recomendación clara para una resolución del órgano de dirección que apruebe el plan de tratamiento de riesgos."

Paso 7: Establecer la monitorización continua de riesgos

Gestión de riesgos continua

El cumplimiento de NIS2 no es un ejercicio de una sola vez. Su evaluación de riesgos debe revisarse y actualizarse periódicamente y siempre que ocurran cambios significativos.

1. Definir el ciclo de revisión:

   "Crea un calendario de revisión y actualización de la evaluación de riesgos para el cumplimiento continuo de NIS2. Define: (1) Frecuencia de revisión regular (se recomienda trimestral para entidades esenciales, semestral para entidades importantes), (2) Eventos desencadenantes que requieran reevaluación inmediata (nuevas amenazas, incidentes, cambios organizativos, cambios en la cadena de suministro, actualizaciones regulatorias), (3) Roles responsables de la monitorización y escalada, (4) Proceso para actualizar el registro y los planes de tratamiento, (5) Cadencia de informes al órgano de dirección."

2. Crear procedimientos de vigilancia de amenazas:

   "Crea un procedimiento de monitorización de inteligencia de amenazas para nuestra organización del [sector] para apoyar la evaluación continua de riesgos NIS2. Incluye: fuentes a monitorizar (ENISA, avisos de CSIRT nacionales, ISACs sectoriales, boletines de seguridad de proveedores), frecuencia de monitorización, criterios para escalar nuevas amenazas a la reevaluación de riesgos e integración con nuestras capacidades de detección de incidentes."

Errores comunes en la evaluación de riesgos y cómo evitarlos

Error común

Por qué importa para NIS2

Cómo evitarlo

Enfoque solo en ciberseguridad

Infringe el requisito multirriesgo del Artículo 21(1)

Evalúe sistemáticamente los riesgos físicos, ambientales y humanos junto con las ciberamenazas

Falta de metodología documentada

Las autoridades de supervisión exigen pruebas de un enfoque coherente y repetible

Documente y obtenga la aprobación del órgano de dirección antes de iniciar la evaluación

Ignorar impactos en cascada

La importancia de los incidentes en NIS2 considera el impacto en otras entidades y sectores

Analice el impacto interentidad e intersectorial para los riesgos de alta calificación

Controles desproporcionados

El Artículo 21(1) exige proporcionalidad; el exceso o defecto de control es incumplimiento

Documente el razonamiento de proporcionalidad para cada decisión de tratamiento

Registro de riesgos estático

El panorama de riesgos cambia continuamente; un registro obsoleto demuestra una gobernanza deficiente

Establezca revisiones trimestrales y procesos de reevaluación basados en eventos

Falta de aprobación de la dirección

El Artículo 20 exige la aprobación de las medidas de gestión de riesgos por parte del órgano de dirección

Presente la evaluación y los planes de tratamiento a la junta; registre la aprobación en acta

Sin cobertura de riesgos de la cadena de suministro

El Artículo 21(2)(d) exige específicamente la evaluación de riesgos de la cadena de suministro

Incluya sistemáticamente los riesgos de proveedores y terceros en el registro

Próximos pasos

Con su evaluación de riesgos completa, ya tiene la base para implementar los controles NIS2 en todas las áreas de medidas del Artículo 21.

Continúe con las siguientes guías de esta serie:

• Creación de políticas: Consulte Cómo crear políticas de ciberseguridad NIS2 usando IA para traducir sus planes de tratamiento en políticas listas para auditoría

• Notificación de incidentes: Consulte Cómo implementar la notificación de incidentes NIS2 usando IA para crear las capacidades de detección y notificación identificadas

• Seguridad de la cadena de suministro: Consulte Cómo gestionar la seguridad de la cadena de suministro NIS2 usando IA para obtener orientación detallada sobre estos riesgos

Si aún no ha completado la configuración inicial, comience con Cómo comenzar con la implementación de NIS2 usando IA para el alcance, la gobernanza y la configuración del espacio de trabajo.

Para prompts de evaluación de riesgos listos para usar, explore la Librería de Prompts de la Directiva NIS2. Para una visión integral de todos los requisitos, consulte la Guía de cumplimiento de NIS2 para empresas en el alcance.

Obtener ayuda

Para apoyo adicional con la evaluación de riesgos NIS2:

• Pregunte a ISMS Copilot: Use su espacio de trabajo NIS2 para preguntas y actualizaciones continuas sobre la evaluación de riesgos

• Cargue datos de riesgo existentes: Obtenga análisis de IA de sus registros de riesgos actuales, evaluaciones de amenazas o inventarios de controles

• Orientación sectorial: Solicite panoramas de amenazas y escenarios de riesgo adaptados a su sector y entorno operativo específico

• Alineación con marcos de trabajo: Obtenga orientación para alinear la evaluación NIS2 con ISO 27005, ISO 31000 u otros estándares que ya utilice