Plantilla de control NIS2, DORA y CRA
Úsala para modelar el proceso antes de configurarlo en una hoja, sistema interno o plataforma; adapta los campos al caso y la fuente oficial.
Identidad y alcance
marco · entidad/producto · sector · activo · servicio · función · proveedor · contrato · subcontratista · país · riesgo · control · evidencia · vulnerabilidad · versión · incidente · impacto · plazo · notificación · cierre. Añade jurisdicción, norma y versión, fecha aplicable, responsable, estado y próxima revisión.
Fuentes y evidencias
Para cada dato: emisor · fuente · enlace o archivo · fecha · periodo · unidad · objeto cubierto · versión · vigencia · nivel de confianza · permiso.
Controles
Regla · campo afectado · resultado · método · fuente regulatoria · fecha · ejecutor · revisor · evidencia · conclusión. Controles recomendados: alcance NIS2/DORA/CRA; activo y propietario; eficacia del control; servicio y subcontratación; concentración; SBOM; soporte; clasificación de incidente; reloj 24/72 horas o CRA; aprobación y cierre.
Excepciones
ID · descripción · severidad · objeto · regla · asignado · tercero · fecha límite · respuesta · nueva versión · decisión · aprobador · cierre.
Salida y mantenimiento
Destino · formato · referencia oficial · versión entregada · usuario · fecha · acuse · cambios posteriores · retención · próxima revisión · lección aprendida.
Mapa operativo específico de NIS2, DORA y CRA
Para esta decisión sobre plantilla operativa, el modelo debe relacionar marco · entidad/producto · sector · activo · servicio · función · proveedor · contrato · subcontratista · país · riesgo · control · evidencia · vulnerabilidad · versión · incidente · impacto · plazo · notificación · cierre. Los participantes reales son órgano de dirección, CISO, propietario de activo, entidad financiera, fabricante, proveedor TIC, subcontratista, CSIRT, supervisor y usuario. La salida verificable es registro de riesgos y controles, inventario de terceros, contratos, evidencias, SBOM y vulnerabilidades, línea temporal de incidentes, notificaciones y planes de remediación.
Prueba de estrés antes de aprobar
Reproduce este escenario: una entidad financiera depende de un SaaS que subcontrata infraestructura y además distribuye un dispositivo conectado propio. Introduce deliberadamente la excepción “un proveedor crítico aporta un certificado cuyo alcance no incluye el servicio contratado y notifica un incidente sin identificar las entidades afectadas”. Comprueba qué sistema la detecta, quién recibe la tarea, qué fuente resuelve la duda y cómo queda registrada la aprobación.
La herramienta organiza; el responsable decide
El expediente debe conservar dato, fuente, versión, control, excepción y aprobación. Code Contract puede coordinar la operación, pero no sustituye la evaluación técnica, la declaración oficial ni al supervisor.