Guía práctica sobre ISO 27001, ENS, NIS2, DORA y SOC 2, escrita por el equipo que gestiona la seguridad de empresas sin función de seguridad interna.
Comparativa 2026 de Formalize, Copla y Qalea: en qué destaca cada plataforma GRC, para quién está pensada y quién opera los controles entre auditorías.
En qué se diferencian SAST, DAST, el análisis de dependencias y la revisión de código, qué detecta cada uno y cómo combinarlos para que auditores y clientes lo acepten.
Las diez medidas de ciberseguridad que exige el artículo 21 de NIS2, cómo se aplica la proporcionalidad, qué debe aprobar la dirección y qué evidencias pedirá el supervisor.
Qué exige DORA en pruebas de resiliencia, qué entidades financieras deben hacer pruebas de penetración guiadas por amenazas y qué tienen que probar las demás cada año.
Cómo define una empresa SaaS el alcance de ISO 27001, qué controles del Anexo A pesan más en un producto cloud y qué pedirá ver el auditor.
Cuándo necesita el ENS una empresa de software o SaaS que vende al sector público, cómo se fija la categoría y qué añade la nube a la auditoría.
La certificación ISO 27001 se mantiene operando el SGSI cada año. Qué registros revisa cada auditoría de seguimiento y cómo llegar preparado a la recertificación.
El alcance de SOC 2 decide qué demuestra el informe. Cómo trazar los límites del sistema y redactar una descripción que el cliente acepte y el auditor pueda probar.
Qué comprueba la monitorización continua del cumplimiento, cómo la deriva de controles se convierte en hallazgos, qué exigen los marcos y por qué necesita monitorización de amenazas al lado.
Qué sirve como prueba del ENS en una licitación pública, quién puede emitirla, cómo se comprueban el alcance y la categoría, y los plazos que deciden si una oferta se admite.
EDR, XDR y MDR explicados: qué detecta cada uno, qué se le escapa, dónde encaja un SIEM y qué esperan ISO 27001 y el ENS de la monitorización.
Cómo clasifica NIS2 a las empresas en entidades esenciales e importantes, por qué comparten las mismas obligaciones y en qué se diferencian la supervisión, las multas y el registro.
Guía del Anexo II del ENS: cómo se organizan sus 73 medidas, cómo la categoría y las dimensiones deciden cuáles aplican y qué evidencias exige cada marco.
La consultoría aporta criterio, la plataforma aporta continuidad y ninguna opera tus controles de seguridad. Qué ofrece cada una para la ISO 27001 y qué preguntar antes de decidir.
DORA permite a cinco tipos de entidad financiera aplicar un marco simplificado de riesgo TIC. Quién puede acogerse, qué sigue exigiendo el artículo 16 y qué obligaciones no toca.
La auditoría inicial de ISO 27001 tiene dos fases. Qué revisa la fase 1, qué comprueba la fase 2, cómo se gradúan las no conformidades y quién decide la certificación.
Una simulación de phishing solo sirve si mide lo correcto. Cómo diseñar campañas realistas, qué métricas importan y cómo los resultados sirven de evidencia para ISO 27001 y ENS.
El análisis de vulnerabilidades y el pentest responden a preguntas distintas. Qué cubre cada uno, con qué frecuencia hacerlos y qué piden ISO 27001 y ENS, con PHP2Shell como ejemplo.
Cómo hacer un análisis de riesgos ISO 27001 que resista la auditoría: qué exigen las cláusulas 6.1.2, 6.1.3 y 8.2, cómo valorar riesgos y cómo alimentar la Declaración de Aplicabilidad.
SOC 2 Tipo I y Tipo II evalúan cosas distintas. Qué cubre cada informe, por qué los clientes suelen pedir el Tipo II y qué debe seguir funcionando durante el periodo de observación.
ISO 27001, SOC 2 y TISAX comparten buena parte de sus controles, pero producen un certificado, un informe y una etiqueta. Dónde se solapan y en qué se diferencian.
Qué exigen DORA y NIS2 en la gestión de riesgos de proveedores, qué cubre ya la ISO 27001 y cómo construir un único inventario de proveedores para ambas.
Qué debe contener la declaración de aplicabilidad de ISO 27001, cómo decidir qué controles del Anexo A aplican, cómo justificar exclusiones y en qué se diferencia la del ENS.
Qué es un CISO, qué cambia cuando el puesto es virtual, qué hace un vCISO en el día a día y las señales de que tu empresa lo necesita.
Qué añade la ISO 42001 a una empresa que ya tiene la ISO 27001: roles, evaluación de impacto de la IA, datos, transparencia e incidentes, con un orden de implantación.
Qué empresas españolas están obligadas por NIS2, cómo alcanza a las pymes a través de la cadena de suministro, y qué medidas, plazos y responsabilidad de la dirección exige.
Cómo una plataforma de cumplimiento recopila evidencias de tus sistemas, asocia cada una al control que respalda y mantiene la pista de auditoría que demuestra que operó.
Comparativa 2026 de Oneleet, Sprinto y Qalea: qué hace bien cada una, para qué empresa está pensada y quién vigila los controles entre auditorías.
Qué tiene que seguir funcionando entre una auditoría ENS y la siguiente: medidas operativas, registros que pedirá el auditor, cambios que adelantan la auditoría y quién lo opera.
Comparativa 2026 de GlobalSuite, Complaion y Qalea para el ENS: qué hace bien cada uno, para quién está pensado y quién hace cada fase del esquema.
Qué exige la ISO 27001 sobre concienciación: cláusulas 7.2 y 7.3, control 6.3 del Anexo A, qué incluye un programa que cumple y qué evidencias pide el auditor.
Cómo funciona una auditoría del ENS: qué fija el alcance y la categoría, cuándo se exige certificación acreditada y qué evidencias revisa el auditor en cada marco.
NIS2 y DORA fijan plazos de notificación de incidentes por fases que empiezan al detectar: 24 horas, 72 horas y un mes. Explicamos cuándo empieza cada reloj y cómo cumplirlo.
El Reglamento de Ciberresiliencia impone requisitos de seguridad a los productos con elementos digitales. Qué cubre, qué deben hacer los fabricantes y qué plazos ya se aplican.
Comparativa 2026 de Vanta, Drata y Qalea: en qué se diferencian las dos plataformas de cumplimiento y dónde una empresa española necesita ENS y seguridad operada.
Guía práctica para elegir software de cumplimiento en España, centrada en las dos preguntas que lo deciden: la cobertura de marcos, incluido el ENS, y si la plataforma opera tu seguridad o solo la documenta.
Una plataforma de compliance cierra la documentación, no la seguridad. Qué no hace una licencia y por qué la comparación honesta es una licencia frente a todo el stack que tendrías que ensamblar.
Las preguntas que hace todo equipo antes de un despliegue de MDM —navegación, mensajes, fotos, ubicación, borrado— respondidas con honestidad y separadas por dispositivo personal o corporativo.
Lo que crees que tienes expuesto en internet y lo que de verdad está expuesto rara vez coinciden. Qué suele quedar al descubierto y cómo priorizarlo por riesgo real.
Un consultor entregó documentos, llegó el certificado y luego el proyecto se paró. Cómo reactivar la ISO 27001 sin empezar de cero, con la auditoría de seguimiento cerca.
Un pliego acaba de exigir el Esquema Nacional de Seguridad y no sabes por dónde empezar. Las dos decisiones que marcan plazo y coste, y qué resolver en quince días.
DORA se construye sobre cinco pilares, de la gestión del riesgo TIC a la supervisión de terceros. Qué exige cada uno, a quién aplica y por qué el pilar de terceros atrapa a empresas no financieras.
SOC 2 tiene cinco criterios de servicios de confianza, pero solo uno es obligatorio. Qué cubre cada uno, cuáles necesitas y en qué se diferencian Tipo I y Tipo II.
La mayoría de empresas que creen tener un SGSI solo tienen una carpeta de políticas. Qué es de verdad un sistema de gestión y cómo distinguir uno del otro.
Dónde se solapan realmente la norma ISO 27001 y el Esquema Nacional de Seguridad, dónde no lo hacen y cómo construir un único sistema de gestión que satisfaga a ambos.
Por qué un control que existe sobre el papel, un control que se ha comprobado una vez y un control que se ejecuta a diario son tres cosas diferentes.
Cómo el Esquema Nacional de Seguridad determina si tus sistemas necesitan una declaración autoevaluada o una certificación auditada por un organismo acreditado.
BARCELONA — Qalea ha anunciado una ronda de financiación de 1.000.000 de dólares para acelerar el desarrollo de producto y su estrategia de comercialización.
Leave us your data and we will get in contact with you shortly.
