La normativa establece un nivel mínimo de seguridad, pero las ciberamenazas evolucionan más rápido que la legislación. Por este motivo, una organización que cumple formalmente los requisitos no es automáticamente resiliente.
La diferencia se hace evidente cuando las medidas se ponen a prueba. Las políticas, los procedimientos y las soluciones técnicas deben complementarse con pruebas periódicas y simulacros de ciberincidentes para verificar cómo responde la organización, recupera los sistemas afectados y mantiene su actividad.
La cuestión no es solo si existe un plan de continuidad del negocio o un procedimiento de respuesta a incidentes, sino si la organización puede llevar realmente ese plan a la práctica cuando un incidente afecta a sistemas y servicios críticos.
En definitiva, la ciberresiliencia significa más que proteger la infraestructura IT: significa la capacidad de la empresa de seguir operando y prestando servicios esenciales durante y después de un incidente.
El cumplimiento debe poder demostrarse
Con la Orden n. 1/2026 de la DNSC, la pregunta para las organizaciones afectadas ya no es simplemente “¿Nos aplica NIS2?”, sino también “¿Comprendemos los riesgos a los que estamos expuestos, tenemos implantadas las medidas necesarias y podemos demostrar que funcionan?”
El objetivo no es simplemente marcar casillas de cumplimiento ni preparar documentación para una auditoría. La evaluación de riesgos, la evaluación de madurez, la remediación, la implantación y las pruebas de las medidas de seguridad deben formar un proceso continuo mediante el cual el cumplimiento contribuya realmente a reforzar la resiliencia de la organización.
