5. Mejorar el cumplimiento (de forma continua)¶
5.1. ¿De qué va este tema?¶
Cumplir no es llegar a una meta y olvidarse. Cambian las normas, los servicios y las personas; además, algunas medidas no funcionan como esperábamos. ¿Cómo detectamos esas diferencias y mejoramos nuestra forma de trabajar?
Vamos a planificar, actuar, comprobar resultados y corregir, dejando constancia de lo que aprendemos en cada vuelta. Una novedad jurídica será el punto de partida para practicar una mejora completa, desde la fuente hasta una prueba de funcionamiento.
Este tema, el último del módulo, tiene una duración estimada de 11 horas.
5.2. Clases¶
5.2.1. Diseñar el plan de vigilancia jurídica¶
¿Qué debemos revisar para seguir cumpliendo?
La mejora continua necesita un método. Utilizaremos el ciclo PDCA, conocido habitualmente como ciclo de Deming: Planificar, Hacer, Comprobar y Actuar.
Planificar: delimitar el problema, las obligaciones, los objetivos y la prueba que permitirá saber si la medida sirve.
Hacer: ejecutar la revisión o implantar el cambio, con recursos y responsables.
Comprobar: comparar resultados con lo esperado. ¿Se realizó el trabajo? ¿Produjo el efecto previsto? No son la misma pregunta.
Actuar: corregir, incorporar lo aprendido al procedimiento y decidir la siguiente revisión. Si no funcionó, revisar el planteamiento y volver a probar.
Ejemplo: un aviso de incidente no llega porque el contacto ha cambiado. Reenviarlo corrige ese aviso; actualizar el circuito y comprobar periódicamente los contactos trata la causa. La mejora puede comenzar por ese fallo, no solo por una ley nueva. Un plazo legal exigible no se aplaza indefinidamente alegando que estamos mejorando.
Qué puede activar una revisión.
Una norma nueva, modificación, derogación o cambio en su aplicación temporal.
Una interpretación judicial relevante o una resolución aplicable al caso.
Una notificación o requerimiento dirigido a la entidad: puede exigir una actuación concreta, no solo una revisión general de información pública.
Un cambio de contrato, actividad, proveedor, sistema o responsable.
Resultados de pruebas, incidentes, auditorías o consultas que muestran un fallo.
Una guía revisada puede ser útil técnicamente sin crear por sí sola una obligación legal nueva. Hay que identificar qué cambió y la naturaleza de su fundamento.
Un mapa breve para no perderse entre siglas.
Referencias y preguntas de vigilancia¶ Referencia
Qué permite trabajar
Qué comprobar
Organización y seguridad de información y servicios de su ámbito.
Entidad, servicio, sistemas afectados, desarrollo y versiones.
NIS2 y régimen nacional
Gobierno, riesgos e incidentes de las entidades comprendidas.
Ámbito europeo y normas nacionales aplicables, con sus efectos temporales.
Protección de infraestructuras y obligaciones de operadores designados.
Infraestructura, sector, designación y normativa de desarrollo.
Sistema de gestión de seguridad de la información (SGSI).
Edición, alcance adoptado y exigencias contractuales si existen.
Sistema de gestión de continuidad de negocio.
Servicios, dependencias y criterios de continuidad que se han asumido.
Un SGSI organiza la gestión de riesgos y la protección de la información: personas, procesos y tecnología. No es solo instalar un antivirus.
La continuidad prepara cómo mantener o recuperar actividades necesarias cuando falla el funcionamiento habitual. Una copia de seguridad es una medida, no todo un plan: también hacen falta personas, comunicaciones, prioridades y pruebas.
Las fichas ISO consultadas recogen enmiendas de 2024. Una revisión de un estándar requiere comprobar lo adoptado o contratado; no convierte a todas las empresas en sujetos obligados por ley ni exige leer aquí cláusulas de pago.
Estas referencias se complementan; una certificación no sustituye todo el análisis de cumplimiento ni garantiza resultados futuros.
El plan de vigilancia responde a preguntas operativas.
¿Qué materia y servicios revisamos y en qué fuente?
¿Qué consulta o alerta utilizamos y qué criterios de relevancia aplicamos?
¿Quién ejecuta y quién recibe o decide sobre el hallazgo?
¿Con qué periodicidad justificada y qué eventos anticipan la revisión?
¿Qué registro deja la consulta, incluso si no hay novedades?
Ejemplo interno: revisar mensualmente las fuentes normativas del servicio y abrir una revisión extraordinaria al recibir un contrato nuevo. «Mensualmente» es una decisión del ejemplo, no una equivalencia universal impuesta por el ENS. Revisiones rutinarias no sustituyen atender a tiempo un requerimiento o un incidente.
Para hacer
Una empresa ficticia mantiene un portal de expedientes de un ayuntamiento. También presta soporte a clientes privados. Sus contactos técnicos cambian con frecuencia.
Describe una mejora sobre los contactos usando las cuatro fases del ciclo.
Elige tres materias que vigilar y una fuente adecuada para cada una.
Distingue una obligación legal, una exigencia contractual y una referencia voluntaria del mapa. ¿Qué dato necesitas para clasificarlas en este servicio?
Define quién consulta, quién analiza y quién aprueba una adaptación; no uses únicamente «lo lleva informática».
Propón una periodicidad y dos eventos que activarían revisión extraordinaria. Justifica con exposición y cambios, no con una supuesta cifra legal universal.
Diseña una fila de registro de revisión sin novedades: consulta, fecha, resultado, responsable y próxima revisión.
Si el portal deja de funcionar, ¿por qué no basta con tener copias? Señala una dependencia organizativa y una comprobación de continuidad.
5.2.2. Detectar y registrar cambios con fuentes oficiales¶
¿Qué ha cambiado y cómo lo sabemos?
Una alerta es una entrada, no una conclusión.
Una noticia puede anunciar aprobación de un anteproyecto, no publicación de una ley definitiva. Hay que abrir la fuente y comprobar su naturaleza.
Una búsqueda reproducible conserva términos, filtros, intervalo, fecha de ejecución e identificador del documento. Una captura sin contexto no explica el recorrido.
El BOE permite buscar normas y consultar publicación, análisis y versiones. EUR-Lex permite consultar Derecho y jurisprudencia europeos. Para interpretación nacional, seleccionar resoluciones pertinentes del CENDOJ; para guías, su emisor oficial.
Puedes utilizar alertas de las bases oficiales como apoyo. No hace falta registrar una cuenta para resolver los ejercicios ni confiar exclusivamente en una alerta que quizá no cubra todas las materias del plan.
Cuatro fechas distintas.
Publicación: cuándo aparece el documento oficial.
Entrada en vigor: cuándo comienza su vigencia según la disposición correspondiente.
Aplicación o adecuación: puede haber reglas y plazos diferentes para ciertos sujetos.
Consulta: cuándo comprobaste el estado; no confundirlo con la fecha del cambio.
El texto consolidado ayuda a leer modificaciones, pero es informativo. Hay que identificar el acto que produce el cambio y contrastar la publicación oficial. El estado de una norma antigua puede remitir a la que la modifica o sustituye.
Comparar solo lo necesario.
Delimitar materia y texto anterior realmente utilizado.
Localizar el acto nuevo y su efecto sobre el anterior.
Buscar el contenido por función, no suponer que conserva el número de artículo.
Anotar diferencia, efecto temporal y preguntas de aplicabilidad.
Separar cambio confirmado de recomendación técnica interna. Una norma puede exigir coordinación sin imponer nuestra herramienta, formulario o frecuencia exacta.
Práctica histórica: simular una revisión al terminar mayo de 2022.
La empresa del ejemplo conserva documentación del ENS de 2010. Ejecutaremos una consulta real sobre publicaciones de 1 a 31 de mayo de 2022, buscando «Esquema Nacional de Seguridad». El objetivo es identificar el acto que cambia ese marco y registrar la evidencia de la detección.
En la primera búsqueda utiliza el buscador del BOE, no un enlace al resultado ya resuelto. Después podrás contrastar con el ENS y su sección de análisis. El ejercicio es histórico: los transitorios se examinan en su fecha, no se presentan como un plazo que vuelva a empezar hoy.
Para hacer
Ejecuta la consulta con el intervalo indicado. Anota términos, filtros, fecha de búsqueda y resultado; si la interfaz cambia, registra la ruta alternativa.
Identifica el documento que regula el marco actualizado: título, rango, identificador y enlace a la publicación oficial.
Registra publicación y entrada en vigor leyendo la disposición final correspondiente.
Comprueba qué ocurre con la regulación anterior y localiza la disposición que establece ese efecto. No deduzcas derogación únicamente de una noticia.
Lee la disposición transitoria: distingue sistemas preexistentes y el supuesto de un servicio con sistema nuevo que comienza después de la entrada en vigor.
Compara la organización de la seguridad en el artículo 12 de la regulación anterior con el artículo 13.5 de la nueva. Resume una diferencia útil para servicios externos.
Completa un registro de hallazgo y clasifica aparte esta frase: «El Gobierno estudia reformar la ciberseguridad». ¿Acredita por sí sola una obligación vigente?
5.2.3. Determinar aplicabilidad de la normativa de ciberseguridad¶
¿Qué significa este cambio para nosotros?
Un hallazgo debe convertirse en una decisión de alcance.
Describe entidad, territorio, actividad, servicio y sistemas, además de tamaño o designación cuando sean relevantes. «Tenemos una web» no resuelve el ámbito.
Localiza la condición de la norma y relaciónala con un hecho confirmado.
Comprueba excepciones, disposiciones transitorias y reglas sectoriales.
Concluye aplicable, no aplicable en el supuesto analizado o pendiente, delimitando qué afirmas. No aplicable una norma no significa ausencia de otras obligaciones.
Si falta un dato, asigna quién lo obtiene y cuándo se revisa la conclusión. «Pendiente» no es una forma de olvidarlo ni autorización para incumplir.
ENS: identificar el sistema afectado.
El artículo 2 del ENS incluye sector público y, en las condiciones del apartado 3, sistemas de entidades privadas que prestan servicios o soluciones al sector público para sus competencias y potestades.
Un proveedor que administra el portal municipal debe delimitar los sistemas que sustentan el servicio, contratos y dependencias. No se extiende por una frase genérica el mismo alcance a toda actividad privada independiente.
El artículo 13.5 trata el punto o persona de contacto (POC) de seguridad en servicios externalizados, con apoyo de dirección y coordinación de comunicaciones e incidentes. Contempla excepción justificada y documentada; no basta con dejarlo vacío.
Un contacto comercial no demuestra por sí solo esas funciones ni su conexión con el área de seguridad. Reutilizaremos este problema para implantar una mejora.
NIS2 y el régimen español no se mezclan en una única ficha.
NIS2 es la Directiva (UE) 2022/2555: revisar ámbito, sectores, excepciones y las entidades esenciales e importantes según sus condiciones.
El Real Decreto-ley 12/2018 y el Real Decreto 43/2021 son referencias nacionales publicadas que hay que contrastar con sus versiones, ámbito y cualquier norma posterior. Sus categorías no se renombran automáticamente con las de NIS2.
Para afirmar la situación de transposición, identificar publicación nacional definitiva y efectos, y contrastar las medidas notificadas en EUR-Lex. No basta un anteproyecto, ni se infiere derogación nacional de la sustitución de una directiva europea.
En este curso no damos por resuelta la transposición española a una fecha de impartición futura. La consulta de medidas nacionales no ha permitido cerrar esa comprobación automatizada; el dictamen sobre novedades de NIS2 debe incluir una revisión oficial fechada, sin presentar una hipótesis como obligación.
El artículo 2 del RD 43/2021 permite practicar con servicios esenciales y determinados servicios digitales y sus exclusiones. Leer «no se aplicará» cambia la conclusión; no convertir excepciones en una lista de sujetos obligados.
PIC: importante para nosotros no equivale a infraestructura crítica designada.
La Ley 8/2011 distingue infraestructura estratégica, crítica y operador crítico. Sus artículos 1–4, 11 y 13 relacionan ámbito y designación. La dependencia de la organización respecto de un servidor no lo convierte por sí sola en infraestructura crítica bajo esa ley. Los planes y obligaciones concretos se contrastan también con su desarrollo; no necesitamos acceder a información clasificada de instalaciones.
Para hacer
Usa las fuentes para resolver tres fichas ficticias, sin identificar empresas reales: A, proveedor privado que administra por contrato un nuevo portal municipal; B, proveedor de servicios de computación en nube establecido en España, sin datos suficientes sobre tamaño y estructura; C, entidad de abastecimiento de agua que dice ser «crítica», pero no aporta información de designación.
Para A, vincula un hecho del servicio con el artículo 2.3 ENS e identifica el sistema.
Delimita qué no puedes concluir sobre otros servicios de A y qué dependencias revisarías.
Para B, consulta el artículo 2 del RD 43/2021: identifica una condición y una exclusión que requieren datos antes de concluir. No mezcles sus reglas con NIS2.
Para C, diferencia sector, importancia operativa y designación. ¿Qué evidencia pedirías al órgano competente de la organización sin solicitar planes sensibles?
Escribe para cada ficha una conclusión breve de alcance, fundamento y pendientes.
Redacta el procedimiento para comprobar una posible norma nacional nueva sobre NIS2: dónde buscar, qué documentos aceptar y qué fechas y efectos contrastar.
Para A, justifica si la diferencia localizada en la clase anterior exige revisar el circuito de contacto y quién debería decidir la adaptación.
5.2.4. Tramitar el cambio e implantar controles¶
¿La mejora funciona o solo la hemos documentado?
Planificar una adaptación pequeña y verificable.
Continuamos la revisión histórica de mayo de 2022. La empresa ficticia comienza un servicio nuevo con sistema nuevo de portal municipal después de la entrada en vigor del marco detectado. No se ha alegado una excepción justificada al POC. Su procedimiento previo dirige todos los avisos al contacto comercial y no conserva constancia del recorrido.
Fundamento: norma, artículo y conclusión de aplicabilidad registrados.
Impacto: roles de seguridad, directorio de contactos, comunicación al cliente, procedimiento y constancia de recepción. No basta cambiar la portada del manual.
Solicitud: responsable del cambio, aprobación, recursos, objetivo y prueba de aceptación. El plazo interno se decide según la obligación y el servicio; no se inventa un periodo de gracia legal.
Identificar riesgos del propio cambio: contacto no disponible, destinatarios incorrectos, pérdida de trazabilidad o interrupción de la atención habitual.
Hacer: poner en funcionamiento un circuito.
Descarga la
plantilla de vigilancia y cambio. Es un archivo de texto editable, con fichas vacías y datos de prueba, sin soluciones. Puedes usarlo directamente o llevar sus tablas a una hoja de cálculo.Conserva versión 1 del circuito anterior y escribe versión 2 aprobada para el ejercicio. La aprobación y los papeles son simulados por la misma persona.
El directorio ficticio distingue comercial, seguridad del proveedor y seguridad del cliente. Usa sus identificadores, sin mandar correos ni introducir contactos reales.
Define una regla: todo aviso de seguridad del portal entra en el circuito del POC y se registra su encaminamiento y recepción; las dudas sobre datos personales activan además revisión del responsable del tratamiento, con apoyo del DPD si procede.
Seleccionar esos campos y pasos es nuestra implementación del supuesto; el ENS no impone este formato de tabla ni un programa específico.
Comprobar antes de cerrar.
Ejecuta el circuito sobre un aviso de seguridad completo, uno incompleto y uno que también afecta a datos personales. Registra paso, destinatario, recepción simulada y pendiente, no solo la ruta que crees que se seguiría.
Un aviso incompleto no se ignora hasta que alguien lo rellene: activar examen y obtener datos faltantes evita que la clasificación inicial bloquee la respuesta.
Prueba también una configuración errónea del directorio, conserva el fallo, corrige y repite. Así comprobamos tanto funcionamiento como detección de un error.
El ensayo de escritorio verifica este procedimiento acotado. No acredita entrega real de mensajes, disponibilidad de personal ni conformidad completa ENS.
Ciberincidente y brecha de datos: circuitos relacionados, obligaciones distintas.
Un fallo de servicio puede ser un incidente de seguridad sin exposición de datos.
Una pérdida de disponibilidad o integridad también puede ser brecha de datos, según los datos y consecuencias, no solo una fuga.
ENS, régimen NIS nacional y RGPD requieren analizar sus propios sujetos, destinatarios, condiciones y plazos. No hay un plazo universal de 72 horas para toda comunicación técnica.
El artículo 9.3 del Real Decreto 43/2021 distingue sus notificaciones de las correspondientes al RGPD. El POC coordina comunicaciones de su ámbito; no reemplaza al responsable del tratamiento ni al DPD.
Recupera los artículos 33 y 34 del RGPD trabajados en UD4 cuando corresponda: documentación, notificación a autoridad y comunicación a personas no son iguales.
Actuar: incorporar el aprendizaje.
Corregir un destinatario arregla el ensayo; introducir revisión de contactos ante cambios de personal reduce la repetición del fallo.
Actualizar plan de vigilancia, procedimiento, formación y próxima revisión. Cambiar una tabla no garantiza que la conozcan quienes deben aplicarla.
Un indicador interno puede ser avisos de prueba correctamente encaminados y con recepción / avisos probados. Define qué es correcto y conserva también los fallos originales: una repetición satisfactoria no borra lo aprendido.
Distinguir cierre de la acción concreta y seguimiento de eficacia en el tiempo. La aprobación de un documento es una condición, no toda la evidencia de mejora.
Para hacer
Resuelve los siete pasos en la misma plantilla; forman una sola práctica formativa.
Relaciona hallazgo, artículo y alcance con dos cambios necesarios del procedimiento previo.
Completa solicitud de cambio: objetivo, responsable, aprobación simulada, recursos y criterios de aceptación. Justifica el momento de implantación.
Prepara el directorio y la versión 2 del circuito. Identifica el POC y su conexión con seguridad, además de los papeles del cliente y de protección de datos.
Ejecuta los tres avisos de la plantilla paso a paso. Registra recepción y pendientes; explica por qué el aviso incompleto requiere actuación.
Sustituye deliberadamente el destinatario de seguridad por el comercial en una copia de prueba. Ejecuta un aviso, contrasta con el criterio de aceptación, conserva el fallo, restaura la configuración y repite.
Actualiza el plan de vigilancia: añade revisión ante cambio de personal o servicio y define cómo comprobar contactos y conocimiento del circuito.
Redacta un acta breve de cierre con evidencia, desviaciones, resultados de repetición, límites de la simulación y siguiente comprobación de eficacia.
5.2.5. Actualización del cumplimiento ante un cambio normativo¶
¿Qué hemos mejorado y qué revisaremos después?
Cierra una vuelta, no toda la vigilancia.
Planificamos qué revisar y qué resultado conseguir.
Hicimos una consulta, justificamos alcance e implantamos un circuito.
Comprobamos con casos normales y con un error introducido en la prueba.
Actuamos sobre el fallo y añadimos una revisión que ayude a evitar su repetición.
La siguiente vuelta utilizará resultados, nuevos contratos, incidentes o normas. No hace falta esperar a otro cambio legal para corregir una medida ineficaz.
Reconstruir la cadena evita cierres aparentes.
Fuente → estado jurídico → alcance → impacto → cambio → prueba → aprendizaje.
Un enlace sin estado, un dictamen sin hechos o un control sin prueba deja un eslabón sin sostener. «No aplicable» puede ser una conclusión válida si está fundamentada y se revisa al cambiar las premisas. No implica inventar una mejora técnica que no se deriva del caso.
Para hacer
Responde brevemente sobre este único supuesto: una empresa declara cerrado el cambio porque guardó un titular, sustituyó una referencia del manual y nombró un contacto. No documentó aplicabilidad, no probó recepción y mantiene en su plan una revisión anual, aunque el contacto acaba de dejar la organización.
¿Qué fuente y evidencia pedirías para confirmar el cambio normativo?
¿Qué fechas y efectos distinguirías antes de afirmar que se aplica hoy?
¿Qué hechos del servicio faltan para sostener la aplicabilidad?
¿Por qué cambiar una referencia del manual no demuestra adaptar el procedimiento?
¿Quién debería asumir la actuación ante la salida del contacto y qué revisar?
Define una prueba breve que demuestre encaminamiento y recepción, indicando sus límites.
Escribe una decisión de cierre o reapertura y una siguiente revisión, relacionándolas con las cuatro fases del ciclo de mejora.
Test de autoevaluación
(Pendiente)
Actividad final integradora
(Pendiente)