NIS2 y DORA: qué exigen a la gestión de vulnerabilidades

NIS2 y DORA han convertido la ciberseguridad en Europa en una obligación legal y no solo una buena práctica. Para muchas organizaciones, la primera pregunta es si les aplica. La segunda, más difícil, es qué enseñar cuando un regulador o un auditor pregunta cómo gestionan las vulnerabilidades. Ninguno fija un SLA de parcheo: esperan un proceso basado en riesgo, documentado y continuo, del que la dirección rinda cuentas.

Aquí verás qué piden ambos marcos, a quién aplican a grandes rasgos, qué evidencias suelen solicitarse y por qué un enfoque continuo se defiende mejor que un sprint anual antes de la auditoría.

Este artículo es información general, no asesoramiento legal. El alcance y las obligaciones dependen de la transposición nacional, tu sector y tu situación concreta. Consulta con tus asesores legales y de cumplimiento.

NIS2 y DORA en un párrafo cada una

NIS2 (Directiva (UE) 2022/2555) sustituye a la Directiva NIS original y amplía mucho su alcance. Los Estados miembros debían transponerla a su legislación nacional antes de octubre de 2024. Aplica a entidades "esenciales" e "importantes" de muchos sectores, como energía, transporte, banca, sanidad, agua, infraestructura digital, servicios TIC gestionados, administración pública, fabricación y proveedores digitales. En general cubre a medianas y grandes organizaciones, con algunas excepciones por tamaño. Exige medidas de gestión de riesgos de ciberseguridad, notificación de incidentes y responsabilidad de los órganos de dirección.

DORA (Reglamento de Resiliencia Operativa Digital, Reglamento (UE) 2022/2554) aplica desde el 17 de enero de 2025 y es específico del sector financiero: bancos, aseguradoras, empresas de inversión, entidades de pago, proveedores de criptoactivos y muchas otras. Al ser un reglamento, aplica directamente, sin transposición. Se organiza en torno a la gestión del riesgo TIC, la gestión y notificación de incidentes TIC, las pruebas de resiliencia operativa digital, el riesgo de terceros TIC y el intercambio de información. También supervisa a los proveedores TIC críticos.

Si eres una entidad financiera, DORA suele ser el reglamento más específico en materia de riesgo TIC. Si estás en otro sector, lo probable es que te aplique NIS2.

Qué esperan de la gestión de vulnerabilidades

Ninguno se lee como una norma técnica, pero lo que esperan está claro.

Medidas de gestión de riesgos

NIS2 pide medidas técnicas, operativas y organizativas adecuadas y proporcionadas, con un enfoque que contemple todos los riesgos. Entre los ámbitos citados están el análisis de riesgos, la gestión de incidentes, la continuidad de negocio, la cadena de suministro, la seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades, la evaluación de la eficacia de las medidas, la ciberhigiene, la criptografía, el control de acceso y la gestión de activos.

DORA exige un marco de gestión del riesgo TIC: identificar activos y dependencias, proteger y prevenir, detectar, responder y recuperarse, y aprender. Identificar vulnerabilidades y aplicar parches y actualizaciones forma parte explícita de ese ciclo.

Ambos apuntan al mismo modelo: mantén un inventario fiable, detecta vulnerabilidades de forma continua, prioriza por riesgo, remedia en plazos definidos y demuestra que funciona.

Gestión y divulgación de vulnerabilidades

NIS2 introduce además un enfoque de divulgación coordinada de vulnerabilidades a nivel europeo. Los CSIRT nacionales actúan como coordinadores y ENISA gestiona una base de datos europea de vulnerabilidades. Para ti, significa tener un canal y un proceso para recibir y evaluar avisos sobre vulnerabilidades en tus productos y servicios.

Pruebas

DORA exige un programa de pruebas de resiliencia operativa digital, que incluye, entre otras, evaluaciones y escaneos de vulnerabilidades, y pruebas de penetración avanzadas basadas en amenazas para determinadas entidades. NIS2 pide evaluar la eficacia de tus medidas. Un escaneo puntual archivado no basta: las pruebas deben ser periódicas y ligadas a la remediación.

Riesgo de terceros y cadena de suministro

Ambos dan mucho peso a los proveedores. DORA va más allá que NIS2, con gestión del riesgo de terceros TIC, requisitos contractuales y un registro de información sobre los acuerdos de servicios TIC. En gestión de vulnerabilidades, esto implica revisar también los componentes de software y los servicios de los que dependes, no solo los servidores que operas.

Notificación de incidentes

NIS2 establece una notificación por fases para incidentes significativos: alerta temprana en 24 horas desde que se tiene conocimiento, notificación del incidente en 72 horas e informe final en un mes. DORA tiene su propio régimen de clasificación y notificación de incidentes graves relacionados con las TIC. Muchos incidentes empiezan por una debilidad conocida y sin parchear, y el regulador preguntará por ella.

Las evidencias que suelen pedir auditores y reguladores

Las políticas son necesarias, pero no suficientes. Prepárate para preguntas como estas:

• Inventario de activos: qué tienes, quién es el responsable, qué criticidad tiene y cómo lo mantienes al día.
• Cobertura: qué activos se escanean o evalúan, con qué frecuencia y qué queda fuera y por qué.
• Lógica de priorización: cómo decides qué corregir primero. Un método basado en riesgo documentado, con señales de explotabilidad como CISA KEV y EPSS, se defiende mucho mejor que un simple "parcheamos las críticas".
• Plazos y desempeño de remediación: tus objetivos y cómo los cumples en la práctica, por ejemplo con métricas de SLA y MTTR.
• Excepciones: aceptaciones de riesgo con responsable, justificación, controles compensatorios y fecha de caducidad.
• Líneas base de configuración: evidencias de bastionado frente a estándares reconocidos como los CIS Benchmarks.
• Supervisión de la dirección: pruebas de que la dirección ve el riesgo y actúa sobre él, no solo de que firma una política.

Por qué el cumplimiento continuo gana al sprint anual

Muchos equipos preparan las auditorías unas semanas antes, a base de capturas, hojas de cálculo y narrativas. Con NIS2 y DORA eso es además arriesgado: el supervisor puede pedir evidencias en cualquier momento y la dirección responde personalmente.

El cumplimiento continuo invierte el modelo: los controles se mapean contra datos que ya generas (escaneos, evaluaciones de configuración, tickets, decisiones de riesgo), el estado se ve cada día y las brechas son un backlog, no una sorpresa. Y cuando la evidencia es un subproducto de la operación normal, también resulta más creíble.

Errores habituales

• Tratarlo como un ejercicio documental. Las políticas sin evidencia operativa no se sostienen.
• Ignorar los bordes del alcance. Cloud, repositorios, contenedores y proveedores también son superficie de ataque.
• Priorizar solo por severidad. Genera backlogs enormes y justificaciones débiles.
• Excepciones sin control. Un riesgo aceptado sin responsable ni fecha de caducidad parece un riesgo olvidado.
• Sin visión ejecutiva. Sin ella, es difícil demostrar gobierno.

Preguntas frecuentes

¿NIS2 o DORA fijan un plazo obligatorio de parcheo? Ninguno establece una cifra única y universal. Esperan plazos proporcionados al riesgo, definidos por ti, documentados y cumplidos.

Si somos una entidad financiera, ¿seguimos NIS2 o DORA? En general, DORA se considera la norma sectorial específica para el riesgo TIC en finanzas. Confirma tu situación concreta con tus asesores.

¿Basta con un pentest al año? Normalmente no por sí solo. Ambos marcos esperan una identificación y gestión continuas de las vulnerabilidades, y las pruebas son solo una parte de ello.

Cómo ayuda priorIQ.ai

PriorIQ Core reúne los hallazgos de todos los módulos y de tus herramientas actuales en una única cola de remediación priorizada. Usa CVSS, EPSS, CISA KEV, señales de explotación y contexto de negocio, y mantiene un registro de auditoría completo de las decisiones de aceptación de riesgo. Su vista de cumplimiento continuo mapea esos datos contra marcos como NIS2, DORA, CIS, SOC 2 e ISO 27001, con informes en PDF y CSV listos para el auditor. BoardIQ ofrece a la dirección un índice de riesgo único de 0 a 100, con sus factores y su histórico, que es justo el tipo de evidencia de supervisión que esperan estas normas. Conoce la plataforma o solicita una demo.