La regulación ha llevado la ciberseguridad del departamento de TI al consejo. NIS2 exige que los órganos de dirección aprueben y supervisen las medidas de gestión de riesgos; DORA fija requisitos detallados de riesgo TIC, pruebas y proveedores para el sector financiero; y clientes y licitaciones piden cada vez más ISO 27001 o, en el sector público español, la conformidad con el ENS. Muchas responden con documentos pensados para aprobar auditorías, no para reducir riesgo.
En ZERYON hacemos lo contrario. Partimos de tus riesgos y obligaciones reales, los mapeamos frente a los marcos que te aplican y construimos un único programa en el que cada control sirve a la vez a la seguridad y al cumplimiento. Redactamos lo que hay que redactar, implantamos lo que hay que implantar y, con nuestro CISO as a Service, aportamos el liderazgo continuo que mantiene vivo el programa entre auditorías.
Qué incluye
Aplicabilidad y análisis de brechas
Determinamos qué marcos te aplican (NIS2, DORA, ISO 27001, ENS, RGPD, PCI DSS, SOC 2 o NIST CSF) y medimos tu situación frente a cada requisito.
Análisis de riesgos y hoja de ruta
Un plan que prioriza los controles por riesgo, impacto y esfuerzo, con responsables, hitos y presupuesto estimado, incluida la seguridad de los proveedores críticos.
Políticas y procedimientos
Política de seguridad, gestión de incidentes, continuidad de negocio, seguridad de proveedores y demás documentación, redactada para usarse, no para archivarse.
Apoyo a la certificación y la auditoría
Preparación para la certificación ISO 27001 o la conformidad con el ENS (autoevaluación o certificación, según la categoría del sistema): declaración de aplicabilidad, auditoría interna, revisión por la dirección y acompañamiento en la auditoría externa.
CISO as a Service
Un responsable de seguridad con experiencia, a tiempo parcial, que dirige el programa, informa al consejo y coordina equipos y proveedores.
Cómo trabajamos
Entender
Revisamos tu negocio, tu ámbito regulatorio, tus controles y tu documentación, y entrevistamos a las personas clave.
Diagnosticar
Entregamos un análisis de brechas y de riesgos con prioridades claras, explicado para que tu dirección pueda actuar.
Implantar
Construimos o adaptamos políticas, procesos y controles técnicos con tus equipos, aprovechando lo que ya funciona.
Mantener
Seguimos el avance, preparamos auditorías y revisiones por la dirección, y adaptamos el programa a los cambios normativos y de riesgo.
Qué obtienes
Un programa, varios marcos
Un único conjunto de controles mapeado a todas tus obligaciones, sin duplicar esfuerzos.
Información lista para el consejo
Indicadores e informes claros que ayudan a la dirección a ejercer su supervisión.
Auditorías sin sorpresas
Documentación y evidencias organizadas antes de que llegue el auditor.
Una seguridad que mejora
Controles elegidos porque reducen riesgo real, no solo porque marcan una casilla.
Para quién es
- Entidades esenciales e importantes incluidas en el ámbito de NIS2.
- Entidades financieras sujetas a DORA y sus proveedores TIC.
- Empresas que buscan la certificación ISO 27001 para ganar clientes o licitaciones.
- Proveedores del sector público español que necesitan la conformidad con el ENS.
- Organizaciones sin un CISO a tiempo completo que necesitan liderazgo en seguridad.
Preguntas frecuentes
¿Me aplica NIS2?
NIS2 se aplica a las medianas y grandes organizaciones de los sectores enumerados en sus anexos (energía, transporte, banca, sanidad, infraestructura digital o determinadas fabricaciones, entre otros) y a algunas entidades concretas sea cual sea su tamaño. El ámbito exacto depende de la trasposición nacional, así que analizamos tu caso frente a la ley que te aplica.
¿Qué es DORA y a quién afecta?
DORA es el Reglamento europeo de resiliencia operativa digital, aplicable desde el 17 de enero de 2025. Obliga a bancos, aseguradoras, empresas de servicios de inversión, entidades de pago, proveedores de servicios de criptoactivos y otras entidades financieras a gestionar el riesgo TIC, notificar los incidentes graves, probar su resiliencia y controlar a sus proveedores TIC, que, si son críticos, pueden quedar bajo supervisión directa de la UE.
¿Cuánto se tarda en obtener la certificación ISO 27001?
Depende del alcance, del tamaño de la organización y de su madurez de partida. Tras el análisis de brechas podemos darte un plan realista. Lo que nunca hacemos es prometer el resultado de una certificación: esa decisión corresponde a una entidad certificadora independiente.
¿Qué diferencia hay entre ISO 27001 y el ENS?
ISO 27001 es una norma internacional de gestión de la seguridad de la información, certificable por entidades acreditadas y válida en cualquier sector. El ENS (Esquema Nacional de Seguridad) es la regulación española que se aplica al sector público y a las empresas que le prestan servicios o le proporcionan sistemas. Comparten buena parte de su lógica y un programa bien diseñado puede abordar ambos.
¿Qué hace un CISO as a Service?
Aporta liderazgo en seguridad sin una contratación a tiempo completo: define la estrategia, prioriza la inversión, informa al consejo, coordina auditorías y actúa como interlocutor de seguridad ante reguladores y clientes.