No existe una tarifa fija para NIS2
No existe un importe concreto para «cumplimiento de NIS2», y nadie puede ofrecerle esa cantidad con certeza de antemano. La Directiva prescribe diez categorías de medidas, pero la forma en que una empresa las implementa, y por lo tanto lo que cuesta, varía mucho según la situación. Una empresa de instalación con algunos portátiles y un paquete contable en la nube parte de una base diferente a la de una empresa con su propia sala de servidores y múltiples proveedores de TI.
Lo que sí determina los costes es un número limitado de factores: el tamaño y la complejidad de su entorno de TI, cuántas de las medidas solicitadas ya tiene en lugar, si externaliza trabajo con una tercera parte, y qué herramientas o software adquiere. Esto dificulta la mención de un importe, pero permite entender hacia dónde va el dinero.
Lo que determina su situación específica
El primer concepto de coste a menudo no es visible en una factura: el tiempo que se necesita internamente para hacer un inventario de lo que ya existe. Quién debe tener acceso a qué sistemas, qué proveedores tienen acceso a su red, y cómo se gestiona ahora un incidente. Las empresas que ya tienen esta base en orden, por ejemplo porque han iniciado anteriormente un proceso ISO 27001, tienen menos trabajo que las empresas que comienzan desde cero.
El segundo factor es la opción entre hacerlo usted mismo o externalizar. Algunas medidas, como una política de control de acceso o un procedimiento de notificación de incidentes, son principalmente una cuestión de documentación y acuerdos. Otras medidas, como el cifrado de datos o la supervisión del tráfico de red, requieren más bien técnica y, por lo tanto, software o un proveedor externo. Cuánto de esto último es necesario depende de lo que ya existe.
El tercer factor es la cuestión de si contrata a una empresa de consultoría para todo el proceso, o solo para partes específicas. La orientación completa cuesta más que la ayuda específica en puntos concretos, pero ahorra tiempo internamente. Qué opción es más ventajosa varía según la empresa y no es una pregunta que pueda responderse de manera general. Quien primero quiera ver qué partes son relevantes para su propia empresa puede verificarlo con algunas preguntas breves por sí mismo.
Costes que a menudo se pasan por alto
Más allá de los costes directos de las medidas y el asesoramiento, hay costes que solo se hacen visibles más tarde. Documentos de prueba como un análisis de riesgos o un resumen de derechos de acceso a menudo tienen un período de validez y deben actualizarse periódicamente. No es un gasto único sino una tarea recurrente, y el tiempo que lleva también cuenta en el cuadro general.
Además, los clientes envían cada vez más cuestionarios sobre ciberseguridad, y cada cliente utiliza su propio formato y portal. Rellenar una y otra vez información en gran parte idéntica lleva tiempo que fácilmente se subestima. Se puede encontrar un resumen de los temas que se repiten aquí examinado por situación en la base de conocimiento.
Qué hace y qué no hace supplia en este proceso
Supplia.eu no construye certificación ni proporciona evaluación de su nivel de seguridad; eso sigue siendo responsabilidad suya, su asesor y la autoridad supervisora competente. Lo que hace la plataforma es ayudar a que las respuestas que ya ha documentado aparezcan de manera consistente en los cuestionarios que sus clientes le envían. Esto no ahorra dinero en las medidas subyacentes, pero sí en el tiempo que cuesta documentarlas y entregarlas una y otra vez.
La información básica sobre NIS2 y los otros conceptos que aparecen en los cuestionarios se puede consultar de forma gratuita, incluida la referencia en el texto oficial. Lo que añade una suscripción es la elaboración por cada obligación con los plazos correspondientes y plantillas, y una notificación tan pronto como algo cambie que afecte su situación. Las diferencias entre gratuito y de pago se presentan claramente en el página de precios.
Cómo llegar a una estimación realista
Debido a que el importe depende de su propia situación de partida, el paso inicial más útil no es buscar una tarifa promedio, sino determinar dónde se encuentra actualmente. Solo después de eso tiene sentido una conversación con un proveedor de TI, una consultoría o la autoridad supervisora competente, ya que solo pueden decir algo sobre costes cuando se sabe qué ya existe y qué aún falta. Para preguntas que afecten específicamente a su empresa, un abogado o una consultoría especializada seguirán siendo el interlocutor indicado; este artículo describe la línea general, no un consejo para una situación individual.
¿Desea ver primero qué componentes son relevantes para su empresa antes de comparar costes? Realice el escaneo rápido gratuito u hojee los temas en la base de conocimientos para ver dónde se encuentra.