NIS2 no menciona Microsoft 365. Tu auditor, sí

La directiva NIS2 no menciona Microsoft 365 ni una sola vez. Habla de "medidas de gestión de riesgos de ciberseguridad", de "gestión de incidentes" y de "prácticas básicas de ciberhigiene". Muy abstracto.

Hasta que el auditor se sienta y pregunta: "Enséñame todas las cuentas con permisos de administrador, quién las aprobó y cuándo usaron MFA por última vez".

Y ahí lo abstracto se vuelve muy concreto, porque en la mayoría de empresas la respuesta está en un único sitio: el tenant de Microsoft 365.

¿Qué exige NIS2 de verdad?

El artículo 21 enumera las medidas mínimas que debe aplicar toda entidad incluida. En resumen:

Otros dos artículos cambian la conversación. El artículo 20 dice que el órgano de dirección aprueba estas medidas, supervisa su aplicación, puede responder por ellas y debe recibir formación. El artículo 23 pone el reloj de las notificaciones: alerta temprana en 24 horas, notificación en 72 y un informe final un mes después de esa notificación.

¿Cómo se traduce eso a Microsoft 365?

Así aterrizamos los puntos que más tienen que ver con el tenant:

Control de acceso (i) y MFA (j)

• Quién tiene roles de administrador, quién los aprobó y si los sigue necesitando. Administrador global deberían ser unas pocas cuentas, no medio departamento de IT.
• MFA exigida con acceso condicional, para todo el mundo y sin excepciones olvidadas. "Habilitada" en la lista de usuarios no es lo mismo que "obligatoria en cada inicio de sesión".
• Métodos resistentes al phishing (claves de acceso o passkeys, llaves FIDO2, Windows Hello para empresas) al menos para los roles de administrador.
• Cuentas de acceso de emergencia documentadas, excluidas de las directivas a propósito y vigiladas.

Gestión de incidentes (b)

• Registros de auditoría activados y conservados el tiempo suficiente para poder investigar.
• Alguien que mire de verdad las alertas de Defender y un procedimiento escrito de qué hacer con ellas, incluido quién avisa al regulador en 24 horas.

Criptografía y datos (h)

• Etiquetas de confidencialidad aplicadas a lo que importa, con cifrado donde tenga sentido.
• DLP para los datos más evidentes (DNI, cuentas bancarias, datos de salud).
• Una visión clara de dónde se comparten los archivos, dentro y fuera de la empresa.

Continuidad (c)

• El modelo de responsabilidad compartida de Microsoft 365: Microsoft mantiene el servicio funcionando; proteger tus datos frente a borrados, ransomware o errores es cosa tuya. Directivas de retención o una solución de copias, y una restauración probada.

Ciberhigiene y formación (g)

• Dispositivos gestionados con Intune y al día.
• Formación que la gente recuerde. La simulación de ataques (incluida en Defender para Office 365 Plan 2) la convierte en algo medible.

¿Hace falta comprar más licencias?

Para empezar, normalmente no. Con Business Premium, E3 o E5 casi todas las herramientas vienen de serie: acceso condicional, Defender, Intune, Purview y los registros de auditoría. El problema rara vez es la licencia. Es que las herramientas están en la caja y nadie las ha sacado, configurado y guardado pruebas de que funcionan.

Esas pruebas importan. NIS2 va de demostrar, no solo de hacer: una captura de una directiva en modo "solo informe" no cuenta como control.

Un test de cinco minutos

Antes de cualquier auditoría, intenta responder a estas preguntas desde el tenant, sin preguntar a nadie:

1. ¿Qué cuentas tienen roles de administrador ahora mismo y quién aprobó cada una?
2. ¿Hay alguna cuenta que pueda iniciar sesión sin MFA? ¿Por qué?
3. ¿Cuánto tiempo se guardan los registros de auditoría?
4. ¿Quién recibe las alertas de Defender y qué hizo con la última?
5. ¿Qué sitios guardan los datos más sensibles y tienen etiqueta?

Si puedes contestar a las cinco, enhorabuena. Si no, ya sabes por dónde empezar.

Nuestra opinión

NIS2 se suele presentar como un proyecto jurídico. En la práctica, buena parte es trabajo en el tenant que habría que hacer igualmente. La diferencia es que ahora alguien pedirá pruebas, y el órgano de dirección firma.

En España, a la hora de escribir esto, la ley de transposición sigue en tramitación, así que conviene seguir su evolución. Si quieres que alguien de fuera mire cómo aguantaría tu tenant de Microsoft 365 esas primeras preguntas, cuéntanoslo en tres líneas.