1. Declaración de intención y compromiso de la dirección

[Nombre de la empresa] se compromete a proteger la confidencialidad, integridad y disponibilidad de la información que gestiona, así como a garantizar la resiliencia de sus sistemas y redes frente a amenazas de ciberseguridad.

Esta política refleja el compromiso de la dirección con los requisitos establecidos en la Directiva (UE) 2022/2555 (NIS2), el Real Decreto-Ley 7/2025 y demás normativa aplicable de seguridad de la información en España. La dirección lidera y promueve activamente la cultura de seguridad en toda la organización, en cumplimiento de lo establecido en el Artículo 20 de NIS2.

2. Alcance

Esta política aplica a la totalidad de sistemas de información, redes, activos tecnológicos y datos gestionados por [Nombre de la empresa], así como a:

• Todos los empleados, directivos y miembros del consejo
• Proveedores, contratistas y terceros con acceso a sistemas o datos de la organización
• Infraestructura propia, en la nube y en instalaciones de terceros
• Servicios prestados a clientes que impliquen el tratamiento de datos o acceso a sistemas

3. Objetivos de seguridad

Los objetivos de esta política son:

• Confidencialidad: La información solo es accesible para personas autorizadas
• Integridad: La información es exacta y completa, y solo se modifica mediante procesos autorizados
• Disponibilidad: Los sistemas y la información están accesibles cuando se necesitan
• Resiliencia: La organización es capaz de recuperarse rápidamente ante incidentes o desastres
• Cumplimiento normativo: Se cumplen los requisitos legales de NIS2, RGPD y demás normativa aplicable

4. Marco normativo de referencia

• Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo (NIS2)
• Real Decreto-Ley 7/2025 — Transposición parcial de NIS2 en España
• Reglamento (UE) 2016/679 — Protección de datos (RGPD)
• Ley Orgánica 3/2018 de Protección de Datos Personales (LOPDGDD)
• Real Decreto 311/2022 — Esquema Nacional de Seguridad (ENS) [solo si aplicable]
• Norma ISO/IEC 27001 [solo si se sigue esta norma como referencia]

5. Responsabilidades

• Dirección / Consejo: Aprueba esta política, asigna los recursos necesarios para su implantación y supervisa su eficacia. Recibe formación periódica en gestión de riesgos de ciberseguridad (Art. 20 NIS2).
• Responsable de Seguridad ([nombre o rol]): Coordina la implantación de la política, gestiona los riesgos e incidentes, y reporta a la dirección.
• Todos los empleados: Conocen y aplican esta política en su trabajo diario. Reportan cualquier incidente o comportamiento sospechoso al responsable de seguridad.
• Proveedores y terceros: Aceptan contractualmente los requisitos de seguridad de esta política como condición de acceso a los sistemas de la organización.

6. Gestión de riesgos de ciberseguridad

[Nombre de la empresa] realiza evaluaciones periódicas de riesgos de ciberseguridad con una frecuencia mínima de [anual / semestral] y siempre que se produzcan cambios significativos en la organización, los sistemas o el entorno de amenazas.

Los riesgos identificados se documentan en el Registro de Riesgos, se priorizan según su probabilidad e impacto, y se asignan planes de tratamiento con responsable y fecha. El Registro de Riesgos se revisa con la dirección al menos [anualmente / semestralmente].

7. Medidas de protección (Artículo 21 NIS2)

La organización implanta y mantiene las medidas técnicas y organizativas definidas en el Artículo 21.2 de NIS2, que incluyen:

• Análisis de riesgos y políticas de seguridad — Esta política y el Registro de Riesgos
• Gestión de incidentes — Procedimiento de detección, respuesta y notificación a INCIBE-CERT (plazos: 24h / 72h / 1 mes)
• Continuidad de negocio — Plan de Continuidad (BCP) y Plan de Recuperación ante Desastres (DRP) con RTO/RPO definidos
• Seguridad de la cadena de suministro — Evaluación y requisitos contractuales a proveedores críticos
• Seguridad en adquisición y mantenimiento — Gestión de parches, análisis de vulnerabilidades y ciclo de vida de activos
• Evaluación de la eficacia — Auditorías internas anuales y métricas de seguridad
• Formación y concienciación — Formación anual y simulaciones de phishing
• Criptografía — Cifrado en tránsito (TLS 1.2+) y en reposo para datos sensibles
• Control de acceso — Principio de mínimo privilegio, gestión de identidades y revisiones periódicas
• Autenticación multifactor — MFA obligatorio para acceso remoto, sistemas críticos y email corporativo

Los procedimientos y controles detallados de cada medida se documentan en los anexos técnicos correspondientes y en el sistema de gestión de seguridad de la organización.

8. Gestión de incidentes y notificación

Cualquier incidente de seguridad que tenga o pueda tener impacto significativo en la prestación de servicios debe ser notificado de acuerdo con el procedimiento interno de gestión de incidentes y, cuando aplique, a las autoridades competentes (INCIBE-CERT) en los plazos establecidos por el Artículo 23 de NIS2:

• 24 horas: Alerta temprana a INCIBE-CERT (solo el hecho del incidente)
• 72 horas: Notificación formal con descripción, impacto y medidas iniciales
• 1 mes: Informe final con causa raíz, impacto completo y lecciones aprendidas

9. Formación y concienciación

Todos los empleados reciben formación en ciberseguridad al incorporarse a la organización. Se realizan sesiones de formación y actualización al menos [anualmente / semestralmente], complementadas con simulaciones periódicas de phishing. La dirección recibe formación específica en gestión de riesgos de ciberseguridad en cumplimiento del Artículo 20 de NIS2.

10. Revisión y mejora continua

Esta política se revisa al menos una vez al año o cuando se produzcan cambios significativos en la organización, los sistemas o el entorno regulatorio. Las revisiones son aprobadas por la dirección y se documentan con número de versión y fecha de aprobación.

El responsable de seguridad evalúa periódicamente la eficacia de las medidas implantadas y propone mejoras a la dirección. Los resultados de auditorías internas, incidentes y pruebas de continuidad se incorporan al proceso de mejora continua.