Mapa NIST CSF · todo el detalle Las obligaciones ciber de la norma, traducidas a medidas y organizadas por las funciones y categorías de NIST CSF 2.0 (traducción oficial al español, NIST CSWP 29). La asignación de categoría es juicio del curador; cada medida cita las obligaciones de las que emana.
Gobernar · GV
Clasificación y declaración de aplicabilidad ◆ Lo que se clasifica no es la información sino el proceso de negocio, y la escala es el índice de impacto en la ciberseguridad de la electricidad (ECII), cuyos umbrales fija el informe de evaluación de riesgos a escala de la Unión. De esa clasificación salen dos perímetros, el de impacto alto y el de impacto crítico, que la entidad dibuja como el conjunto de activos necesarios para los procesos designados y en el que puede controlarse el acceso. El equivalente de la declaración de aplicabilidad es el informe del artículo 27: los controles seleccionados y su estado de aplicación, más las excepciones concedidas por coste desproporcionado o por controles alternativos. Nada de esto alcanza a una entidad concreta antes de que la autoridad competente la designe conforme al artículo 24, y el contenido de los controles mínimos y avanzados tampoco existe todavía como texto.
GV.OC · Art. 24.1 · art. 26.4.c) · art. 27 · art. 28.2 y 28.3 Conformidad y certificación ◆ Solo obliga a la entidad de impacto crítico, y la vía es doble: auditoría de seguridad por terceros independientes, o participación en el sistema nacional de verificación si el Estado lo ha establecido. La primera verificación vence a los veinticuatro meses de que se adopten los controles y se establezca el sistema de gestión, la siguiente a los treinta y seis, y después cada tres años, con el resultado notificado a la autoridad competente. Quien audita tiene que ser independiente, sin conflicto de intereses y con conocimientos demostrables en ciberseguridad del sector eléctrico, sistemas de gestión, auditoría y evaluación de riesgos. Para los productos destinados a ser activos de impacto crítico, la elección está entre un esquema europeo de certificación y actividades de verificación que organice la propia entidad.
GV.OC · Art. 31 · art. 25.2 · art. 33.4 Gestión de riesgos de seguridad ◆ El ciclo es de tres años y tiene cuatro fases tasadas: establecimiento del contexto, evaluación, gestión y aceptación del riesgo. Lo que se evalúa también está tasado: activos, ciberamenazas del último informe exhaustivo, amenazas de la cadena de suministro, vulnerabilidades incluidas las de sistemas heredados, escenarios de ciberataque y controles ya existentes. El enfoque de todos los peligros queda fuera por decisión expresa: los ataques físicos, las catástrofes naturales y los cortes por pérdida de instalaciones o de recursos humanos los cubren otras normas, y la matriz tampoco mide daño jurídico, financiero ni reputacional.
GV.RM · Art. 26.1 a 26.6 · considerando 6 · art. 18.3.a) Gobierno de la ciberseguridad ◆ El artículo 32 pide que la alta dirección conozca sus obligaciones jurídicas y contribuya con decisiones oportunas, que los recursos estén disponibles y que la información documentada del sistema esté bajo control; la aceptación del riesgo residual del artículo 26 es una decisión expresa, no el resultado automático del cálculo. Lo que el Reglamento nombra no es un responsable de seguridad al uso, sino un punto de contacto único a nivel de entidad para la puesta en común de información: su lista se comunica a la autoridad competente y al punto de contacto único nacional, es quien comunica la clasificación de los incidentes y tiene que poder acceder, cuando lo necesite conocer, a lo que llega por esa vía. La evidencia tampoco se queda archivada a la espera de una inspección: se presenta a la autoridad competente en el informe del artículo 27 y a la ACER en la información de supervisión.
GV.RR · Art. 32 · art. 26.6 · art. 38.1.c) y 38.4 · art. 39.3 · art. 27 · art. 12.6 Seguridad ligada al personal ◆ Alcanza antes al personal ajeno que al propio: lo que el artículo 33 exige es la comprobación de antecedentes del personal del proveedor con acceso a los activos o a información sensible. Sobre la información que circula bajo el Reglamento, quien accede es informado de las reglas y reconoce por escrito su responsabilidad, y el acceso se limita a personas cuya fiabilidad la entidad haya podido evaluar.
GV.RR · Art. 33.3 · art. 46 Cuerpo normativo de seguridad ◆ La política de ciberseguridad es uno de los doce elementos tasados del sistema de gestión, y el Reglamento pide las dos cosas por separado: documentada y comunicada.
GV.PO · Art. 32 Gobierno de la ciberseguridad ◆ El artículo 32 pide que la alta dirección conozca sus obligaciones jurídicas y contribuya con decisiones oportunas, que los recursos estén disponibles y que la información documentada del sistema esté bajo control; la aceptación del riesgo residual del artículo 26 es una decisión expresa, no el resultado automático del cálculo. Lo que el Reglamento nombra no es un responsable de seguridad al uso, sino un punto de contacto único a nivel de entidad para la puesta en común de información: su lista se comunica a la autoridad competente y al punto de contacto único nacional, es quien comunica la clasificación de los incidentes y tiene que poder acceder, cuando lo necesite conocer, a lo que llega por esa vía. La evidencia tampoco se queda archivada a la espera de una inspección: se presenta a la autoridad competente en el informe del artículo 27 y a la ACER en la información de supervisión.
GV.OV · Art. 32 · art. 26.6 · art. 38.1.c) y 38.4 · art. 39.3 · art. 27 · art. 12.6 Gestión de riesgos de terceros (TPRM) ◆ Las especificaciones mínimas de contratación están tasadas en el artículo 33, cubren el ciclo de vida completo de todos los productos, servicios y procesos de TIC dentro de los perímetros y se aplican a los procesos de contratación que empiecen seis meses después de su adopción. El registro de proveedores tiene destinatario: la lista de proveedores de servicios de TIC críticos para los procesos de impacto crítico va en el informe a la autoridad competente, y es el mecanismo por el que un proveedor acaba siendo notificado como crítico y entrando él mismo en el ámbito del Reglamento. La externalización de las capacidades de centro operativo a un proveedor de servicios de seguridad gestionados está permitida de forma expresa, con la responsabilidad y el deber de supervisión intactos en la entidad. Compartir con un tercero ajeno al Reglamento la información que circula bajo él exige acuerdo escrito de quien la creó.
GV.SC · Art. 33.2, 33.3, 33.4 y 33.5 · art. 27 · art. 38.1.b) · art. 46 Identificar · ID
Clasificación y declaración de aplicabilidad ◆ Lo que se clasifica no es la información sino el proceso de negocio, y la escala es el índice de impacto en la ciberseguridad de la electricidad (ECII), cuyos umbrales fija el informe de evaluación de riesgos a escala de la Unión. De esa clasificación salen dos perímetros, el de impacto alto y el de impacto crítico, que la entidad dibuja como el conjunto de activos necesarios para los procesos designados y en el que puede controlarse el acceso. El equivalente de la declaración de aplicabilidad es el informe del artículo 27: los controles seleccionados y su estado de aplicación, más las excepciones concedidas por coste desproporcionado o por controles alternativos. Nada de esto alcanza a una entidad concreta antes de que la autoridad competente la designe conforme al artículo 24, y el contenido de los controles mínimos y avanzados tampoco existe todavía como texto.
ID.AM · Art. 24.1 · art. 26.4.c) · art. 27 · art. 28.2 y 28.3 Inventario y gestión de activos ◆ El inventario recoge todos los activos necesarios para los procesos de impacto alto y crítico y queda deliberadamente fuera del informe que se presenta a la autoridad competente, pero esta puede examinarlo durante las inspecciones.
ID.AM · Art. 26.7 Gestión de riesgos de seguridad ◆ El ciclo es de tres años y tiene cuatro fases tasadas: establecimiento del contexto, evaluación, gestión y aceptación del riesgo. Lo que se evalúa también está tasado: activos, ciberamenazas del último informe exhaustivo, amenazas de la cadena de suministro, vulnerabilidades incluidas las de sistemas heredados, escenarios de ciberataque y controles ya existentes. El enfoque de todos los peligros queda fuera por decisión expresa: los ataques físicos, las catástrofes naturales y los cortes por pérdida de instalaciones o de recursos humanos los cubren otras normas, y la matriz tampoco mide daño jurídico, financiero ni reputacional.
ID.RA · Art. 26.1 a 26.6 · considerando 6 · art. 18.3.a) Gestión de vulnerabilidades ◆ La evaluación de vulnerabilidades no es una función separada: es una de las cuatro capacidades mínimas del centro operativo de ciberseguridad. Y la evaluación de riesgos tiene que mirar expresamente las de los sistemas heredados, concepto que el Reglamento toma prestado de DORA.
ID.RA · Art. 38.1.a) · art. 26.4 · art. 3 Evaluación de la eficacia y mejora ◆ Tres de los doce elementos del sistema de gestión son de esta iniciativa: evaluación del rendimiento y de la eficacia, auditorías internas planificadas y revisión periódica con corrección de las no conformidades.
ID.IM · Art. 32 Programa de pruebas de seguridad y resiliencia ◆ El ejercicio de ciberseguridad obliga a la entidad de impacto crítico, con escenarios ligados a los riesgos detectados en las evaluaciones de Estado miembro y de entidad, a más tardar el 31 de diciembre del año siguiente a su designación y después cada tres años. El Estado puede sustituirlo por un ejercicio nacional avisando con seis meses. Del ejercicio sale un informe con escenarios, criterios de éxito y recomendaciones, y el organizador hace seguimiento periódico de su aplicación. Los proveedores de servicios críticos participan cuando la entidad se lo pide y prestan servicios dentro del alcance del ejercicio.
ID.IM · Art. 43.1 a 43.4 · art. 45.1 Proteger · PR
Gestión de identidades y accesos (IAM) ◆ El mínimo privilegio llega por dos vías. En la cadena de suministro, el artículo 33 exige una arquitectura que no presuponga confianza por el hecho de estar dentro del perímetro y que regule el acceso del proveedor a los activos. Sobre la información que circula bajo el Reglamento, el criterio es la necesidad de conocer: acceden solo las personas autorizadas por su función y cuya fiabilidad la entidad haya podido evaluar, y el uso queda limitado al ejercicio de las funciones que la norma atribuye.
PR.AA · Art. 33.3 · art. 46 · art. 47.1, 47.2, 47.5 y 47.6 Programa de concienciación y formación ◆ El Reglamento no enuncia un programa de concienciación. Lo que el sistema de gestión exige es competencia del personal, acreditada como los demás elementos del artículo 32, y la formación es su vehículo habitual.
PR.AT · Art. 32 Adquisición y desarrollo seguros ◆ Lo que la norma sitúa en el ciclo de vida no es el desarrollo propio sino lo que se contrata: diseño y desarrollo seguros exigidos al proveedor, trazabilidad desde el desarrollo hasta la entrega y soporte de actualizaciones de seguridad durante toda la vida útil del producto. La verificación de origen alcanza a los productos, servicios y procesos de TIC destinados a ser activos de impacto crítico, se hace durante la contratación y su profundidad tiene que bastar para mitigar los riesgos detectados en la evaluación de la entidad.
PR.PS · Art. 33.2 y 33.3 · art. 33.4 Protección de la red y del perímetro ◆ La segmentación no es aquí una recomendación de arquitectura sino la condición que define el objeto regulado: el perímetro de impacto alto y el de impacto crítico son conjuntos de activos en los que puede controlarse el acceso, y de su trazado depende qué queda sujeto al Reglamento y qué no. El acceso del proveedor a los activos del perímetro se trata como una interconexión con control propio.
PR.IR · Art. 3.6 y 3.27 · art. 26.4.c) · art. 33.3 Detectar · DE
Monitorización y detección ◆ Las capacidades exigidas son las de un centro operativo de ciberseguridad y están tasadas en cuatro: registros de seguridad de redes, sistemas y aplicaciones que permitan detectar anomalías y recoger información sobre ciberataques, supervisión con detección de intrusiones y evaluación de vulnerabilidades, análisis con capacidad de adoptar medidas de protección, y participación en la puesta en común de información. Cubren todos los activos del perímetro y pueden contratarse total o parcialmente a un proveedor de servicios de seguridad gestionados, sin que eso traslade la responsabilidad ni el deber de supervisar su trabajo.
DE.CM · Art. 38.1.a) y 38.1.b) Monitorización y detección ◆ Las capacidades exigidas son las de un centro operativo de ciberseguridad y están tasadas en cuatro: registros de seguridad de redes, sistemas y aplicaciones que permitan detectar anomalías y recoger información sobre ciberataques, supervisión con detección de intrusiones y evaluación de vulnerabilidades, análisis con capacidad de adoptar medidas de protección, y participación en la puesta en común de información. Cubren todos los activos del perímetro y pueden contratarse total o parcialmente a un proveedor de servicios de seguridad gestionados, sin que eso traslade la responsabilidad ni el deber de supervisar su trabajo.
DE.AE · Art. 38.1.a) y 38.1.b) Responder · RS
Capacidad de respuesta a incidentes ◆ La clasificación sostiene el régimen entero: decide si el ciberataque es notificable y es el hecho desde el que corre el plazo de cuatro horas. Su escala de cinco niveles no está en el Reglamento, la desarrollan los gestores de redes de transporte. Los procedimientos de gestión recogen funciones, responsabilidades, tareas y reacciones según la evolución observable del ataque dentro de los perímetros, y se prueban al menos una vez al año con un escenario que afecte directa o indirectamente a los flujos transfronterizos; una respuesta real a un ciberataque de nivel 2 o superior puede valer como esa prueba.
RS.MA · Art. 39.1 y 39.3 · art. 37.8 Participación en la gestión de crisis transfronteriza de electricidad Capacidades, directrices internas, planes de preparación y personal destinados a intervenir en la detección y la mitigación de una crisis que atraviesa fronteras, bajo la coordinación de la autoridad competente del Estado en que se notificó primero el ciberataque. Es trabajo dirigido hacia fuera de la organización, distinto del plan de crisis interno: cooperación entre los puntos de contacto únicos de las entidades afectadas mientras dura el ataque, e investigación conjunta con la autoridad de las causas raíz de una crisis simultánea de electricidad para determinar en qué medida procede de un ciberataque.
RS.MA · Art. 40.4 · art. 39.2 y 39.3 Capacidad de respuesta a incidentes ◆ La clasificación sostiene el régimen entero: decide si el ciberataque es notificable y es el hecho desde el que corre el plazo de cuatro horas. Su escala de cinco niveles no está en el Reglamento, la desarrollan los gestores de redes de transporte. Los procedimientos de gestión recogen funciones, responsabilidades, tareas y reacciones según la evolución observable del ataque dentro de los perímetros, y se prueban al menos una vez al año con un escenario que afecte directa o indirectamente a los flujos transfronterizos; una respuesta real a un ciberataque de nivel 2 o superior puede valer como esa prueba.
RS.AN · Art. 39.1 y 39.3 · art. 37.8 Proceso de notificación regulatoria ◆ Cuatro horas, simultáneas al CSIRT y a la autoridad competente, contadas desde que la entidad tiene conocimiento de que el incidente es notificable, es decir, desde que lo ha clasificado. El envío indica que se presenta conforme a este Reglamento, de qué tipo de información se trata y, en el ciberataque, su nivel en la escala con la justificación de esa clasificación. Por el mismo canal van otros dos flujos sin cifra de horas asociada: las ciberamenazas notificables con posible efecto transfronterizo y las vulnerabilidades aprovechadas activamente no subsanadas. La notificación presentada conforme al artículo 23 de la Directiva (UE) 2022/2555 vale como puesta en común si contiene la información exigida; la equivalencia inversa no está escrita, de modo que notificar aquí no exime de notificar allí.
RS.CO · Art. 38.3 a 38.6 · art. 38.8 y 38.9 Participación en la gestión de crisis transfronteriza de electricidad Capacidades, directrices internas, planes de preparación y personal destinados a intervenir en la detección y la mitigación de una crisis que atraviesa fronteras, bajo la coordinación de la autoridad competente del Estado en que se notificó primero el ciberataque. Es trabajo dirigido hacia fuera de la organización, distinto del plan de crisis interno: cooperación entre los puntos de contacto únicos de las entidades afectadas mientras dura el ataque, e investigación conjunta con la autoridad de las causas raíz de una crisis simultánea de electricidad para determinar en qué medida procede de un ciberataque.
RS.CO · Art. 40.4 · art. 39.2 y 39.3 Capacidad de respuesta a incidentes ◆ La clasificación sostiene el régimen entero: decide si el ciberataque es notificable y es el hecho desde el que corre el plazo de cuatro horas. Su escala de cinco niveles no está en el Reglamento, la desarrollan los gestores de redes de transporte. Los procedimientos de gestión recogen funciones, responsabilidades, tareas y reacciones según la evolución observable del ataque dentro de los perímetros, y se prueban al menos una vez al año con un escenario que afecte directa o indirectamente a los flujos transfronterizos; una respuesta real a un ciberataque de nivel 2 o superior puede valer como esa prueba.
RS.MI · Art. 39.1 y 39.3 · art. 37.8 Recuperar · RC
Continuidad de negocio y gestión de crisis ◆ El plan de gestión de crisis de ciberseguridad se integra en el plan general de crisis de la entidad y en los planes de continuidad de los procesos designados, e incorpora las normas de declaración de crisis del Reglamento (UE) 2019/941 y la conexión con los CSIRT. Las pruebas son al menos cada tres años o tras cambios importantes, y lo que las distingue es el cierre: si detectan deficiencias hay ciento ochenta días naturales para corregirlas y volver a probar, y si no se llega, las razones van al informe que se presenta a la autoridad competente. Las medidas de gestión de crisis del artículo 21.2.c) de la Directiva (UE) 2022/2555 valen como plan a efectos de este Reglamento si cumplen sus requisitos.
RC.RP · Art. 41.5, 41.6, 41.7, 41.9, 41.10 y 41.13 a 41.16 Continuidad de negocio y gestión de crisis ◆ El plan de gestión de crisis de ciberseguridad se integra en el plan general de crisis de la entidad y en los planes de continuidad de los procesos designados, e incorpora las normas de declaración de crisis del Reglamento (UE) 2019/941 y la conexión con los CSIRT. Las pruebas son al menos cada tres años o tras cambios importantes, y lo que las distingue es el cierre: si detectan deficiencias hay ciento ochenta días naturales para corregirlas y volver a probar, y si no se llega, las razones van al informe que se presenta a la autoridad competente. Las medidas de gestión de crisis del artículo 21.2.c) de la Directiva (UE) 2022/2555 valen como plan a efectos de este Reglamento si cumplen sus requisitos.
RC.CO · Art. 41.5, 41.6, 41.7, 41.9, 41.10 y 41.13 a 41.16