¿Necesita mi organización un Sistema de Gestión para la Ciberseguridad?
Maite Navarrete
Consultora
En un mundo cada vez más globalizado y digitalizado, tanto individuos como empresas deben adquirir las competencias necesarias para garantizar la disponibilidad, confidencialidad e integridad de su información, ya sean datos personales o información crítica para el desarrollo del negocio. Un gran número de amenazas internas y externas, intencionadas o fortuitas, esperan la oportunidad para “colarse” en nuestros sistemas de información.
Algunas organizaciones ya están obligadas por la legislación vigente (Administraciones públicas, banca, Operadores de Servicios Esenciales y Prestadores de Servicios Digitales) y otras son requeridas por sus clientes, especialmente para preservar la seguridad de datos personales, técnicos o comerciales.
Los modelos aplicables son diversos y su selección dependerá del sector de actividad sobre todo. Así, las empresas obligadas por legislación, podrán aplicar modelos como:
- Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales: Ampliamente conocida, esta legislación obliga a la implantación de un sistema básico enfocado sólo a los ficheros con datos de carácter personal.
- Directiva NIS 2: Establece requisitos de seguridad y notificación de incidentes para los operadores de servicios esenciales y los proveedores de servicios digitales.
- Esquema Nacional de Seguridad: Establece los requisitos de un sistema de seguridad de la información para organismos públicos y servicios IT (Tecnologías de la Información) asociados.
- DORA: Establece los requisitos de un sistema de seguridad de la información para el sector de la Banca.
Sin embargo, si la organización no está obligada por requisitos legales, es posible que los clientes nos estén demandando la garantía de un Sistema de SI (Seguridad de la Información) para garantizar la confidencialidad de la información y la continuidad del servicio ante incidentes que comprometan el servicio, como en el caso del reciente apagón eléctrico que afectó a la península en Abril de 2025.
Algunas de las normas y modelos más demandados, respaldados por esquemas de certificación, son:
- ISO 27001 : Requisitos de Sistemas de Seguridad de la Información.
- ISO 22301: Requisitos para la continuidad de negocio ante situaciones de crisis.
- TISAX: Modelo de Seguridad de la Información aplicable a la cadena logística de automoción.
La administración pública pone a disposición de las empresas una serie de ayudas orientadas a la implantación de dichos sistemas, como el programa de Ciberseguridad Empresarial de SPRI, con subvenciones a fondo perdido de hasta 23.000 €.
Desde 2014, SAYMA se encuentra certificada por la ISO 27001 para sus procesos de Consultoría, Asesoría y desarrollo del Software, y está apoyando actualmente a empresas de diferentes sectores (Industria, Tics, Docencia…) en la implantación de estos modelos.
