La directiva exige medidas de gestión de riesgos, continuidad del negocio y disciplina de notificación de incidentes. El funcionamiento de AegiFlow, basado en evidencia, encaja de forma natural con esos deberes para tus servicios web.
Una correspondencia práctica entre las medidas técnicas de la directiva y la evidencia operativa que guarda la plataforma.
| Medida NIS2 (art. 21) | Evidencia de AegiFlow |
|---|---|
| Gestión de incidentes | Casos correlacionados con una cronología responsable: señales, decisiones, acciones y resultados, conservados para auditoría. |
| Continuidad del negocio y gestión de crisis | Las copias de continuidad estática firmadas mantienen disponible el contenido público aprobado mientras el origen está aislado. |
| Gestión de copias y recuperación ante desastres | Simulacros de recuperación ejecutados en una dirección de validación, con recibos de aprobado o suspenso: la recuperación se ejercita, no se supone. |
| Seguridad de la cadena de suministro | Un inventario de software firmado y de solo lectura, cotejado con avisos públicos usando versiones exactas de paquetes. |
| Evaluación de la eficacia | Estados de capacidad con frescura: una comprobación que no se ha ejecutado hace poco aparece como Desconocido, nunca en verde. |
AegiFlow aporta evidencia operativa, no asesoría jurídica. La determinación del cumplimiento y los deberes de notificación siguen siendo de tu organización y sus asesores.
Las pruebas de arriba siempre estuvieron ahí. Lo que faltaba era un documento que las fije en el tiempo.
Cada medida del Artículo 21 recibe cumplida, parcial, desconocida o no cumplida — y debajo, los registros exactos en los que se apoya el veredicto: entradas de auditoría con la persona que actuó, paquetes de continuidad firmados, comprobantes de simulacros, tiempos de los casos.
Una medida sin pruebas recientes se comunica como Desconocida. No es ni aprobada ni suspendida, y llamarla de cualquiera de las dos formas sería la vía más rápida para dejar el documento sin valor para quien lo lee.
Cada informe lleva un hash de contenido, y la tabla en la que vive solo acepta inserciones: sin actualizaciones, sin borrados. Un informe que alguien pudiera reescribir a posteriori no valdría nada para un regulador.
La formación, la seguridad de los recursos humanos y las comunicaciones de emergencia seguras son organizativas. El documento las nombra y dice con claridad que no vemos ninguna de ellas, en lugar de dejar que quien lo lea suponga que están cubiertas.
Empieza en observación y construye el registro operativo que piden las conversaciones sobre NIS2.