Análisis prácticos sobre NIS2, ENS, ISO 27001/42001 y ciberseguridad industrial para pymes españolas. Sin humo, todo aplicable.
Análisis prácticos para responsables de seguridad de pyme y mediana empresa
Blog técnico sobre compliance, ciberseguridad industrial y gestión de riesgos para empresas españolas. Sin humo, sin keyword stuffing, sin clickbait. Cada artículo aporta algo accionable que puedes aplicar mañana mismo en tu organización: un control que falta, una decisión documentada, un patrón de ataque que estás dejando pasar.
Temas recurrentes
- Directiva NIS2 — transposición española, ámbito de aplicación, entidades esenciales versus importantes, plazos de notificación de incidentes (24 horas, 72 horas), sanciones.
- Esquema Nacional de Seguridad (ENS) — para proveedores que venden o quieren vender a la Administración Pública española; categorías ALTA / MEDIA / BÁSICA.
- ISO 27001 — implantación práctica del SGSI, auditoría interna, gestión del Anexo A, evidencias.
- ISO 42001 y AI Act — gobernanza de inteligencia artificial: shadow AI, AIIA, comité de IA, marcos europeos.
- Phishing y BEC — análisis técnico de campañas reales, estafas residenciales, casos sin nombres confidenciales.
- Ciberseguridad industrial — IoT, OT, segmentación de red, IEC 62443.
Frecuencia editorial: nuevos análisis cuando hay material que aporta valor real. La idea no es publicar por agenda sino por aprendizaje genuino.
Todas las entradas
- ISO/IEC 27090: qué es, qué cambia ahora que está publicada y cómo encaja con la ISO 42001 y la 27001. La ISO/IEC 27090, guía de seguridad de la IA, se publicó el 14 de octubre de 2026. Qué es, por qué no se certifica y cómo usarla con la ISO 42001 y la 27001.
- RD 723/2026: qué poner sobre sistemas algorítmicos en el apartado I del modelo del SEPE. Qué poner en el apartado I del modelo del SEPE sobre sistemas algorítmicos (RD 723/2026): inventario, redacción y un ejemplo para pymes.
- Revisión por la dirección en la ISO 27001: qué tiene que llevar el acta. Qué tiene que llevar el acta de la revisión por la dirección de la ISO 27001: las siete entradas de la 9.3.2, las decisiones y un modelo trabajado.
- Inventario de sistemas de IA: cómo hacerlo para la ISO 42001. Cómo hacer el inventario de sistemas de IA de tu empresa: dónde buscarlos, qué anotar de cada uno, qué pide la ISO 42001 y qué no exige el AI Act.
- Evidencias para la auditoría de la ISO 27001: qué pide el auditor y cómo ordenarlas. Qué evidencias pide el auditor de la ISO 27001 por cláusula, cómo ordenarlas en un índice y cómo las muestrea, con un ejemplo trabajado.
- Credenciales de los agentes de IA: dónde acaban las contraseñas y cómo controlarlas. Dónde acaban las contraseñas, claves y tokens de tus agentes de IA y automatizaciones, qué piden ISO 27001, ISO 42001, NIS2 y ENS y cómo controlarlas.
- Cómo contestar el cuestionario de seguridad de un cliente. Cómo contestar el cuestionario de seguridad de un cliente: triaje, respuestas que aguantan la revisión, qué no enviar y un ejemplo trabajado.
- OWASP Top 10 para LLM e ISO 42001: de cada riesgo a la evidencia que pide el auditor. Los diez riesgos de la edición 2026 del OWASP Top 10 para LLM, con su control de la ISO 42001, la evidencia que pide un auditor y cuándo obliga el AI Act.
- La declaración de aplicabilidad de la ISO 27001: cómo justificar cada control. Cómo hacer la declaración de aplicabilidad de la ISO 27001 y justificar cada control, con un ejemplo trabajado y lo que revisa el auditor en cada fase.
- Checklist del artículo 50 del AI Act para pymes: el expediente, sistema por sistema. Checklist del artículo 50 del AI Act para pymes: qué sistemas entran, si eres proveedor o responsable del despliegue y qué evidencia pide un auditor.
- Cuánto cuesta la ISO 42001 en España: diagnóstico, implantación y certificación. Precio orientativo de la ISO 42001 en España: diagnóstico, implantación, certificación y mantenimiento, con las cuentas y lo que sube la factura.
- Cómo es una auditoría del ENS: quién la hace, qué pide y qué pasa después. Auditoría del ENS: cada cuánto se hace, quién puede hacerla según la categoría, qué mueve su coste y su duración, qué pide el auditor y qué pasa con los hallazgos.
- Esquema Nacional de Seguridad (ENS 2022): qué es, a quién obliga y cómo se certifica. Qué es el ENS 2022 (RD 311/2022), qué cambió frente al de 2010, a quién obliga, sus categorías y cómo se certifica. Guía de un Lead Auditor ISO 27001.
- Qué es la ISO 42001, para quién es y cómo se certifica un sistema de gestión de IA. Qué es la ISO/IEC 42001, qué es un AIMS, cómo encaja con el AI Act tras el Ómnibus y cómo se certifica. Guía 2026 de un Lead Auditor 42001 y 27001.
- Certificación ISO 27001 en 2026: qué es, cómo se consigue y qué mira un auditor. Qué es la ISO 27001 y el SGSI, para qué sirve, qué cambió en la versión 2022 y cómo se certifica una empresa paso a paso. Guía de un Lead Auditor.
- Reglamento de Inteligencia Artificial (AI Act): qué obliga ya y qué se aplazó. Qué obliga ya el Reglamento de Inteligencia Artificial (AI Act), qué se aplazó a 2027 y 2028 y cómo se demuestra. Guía de un Lead Auditor ISO 42001.
- NIS2 para pymes en España: si te afecta, qué te van a pedir y cómo prepararte. Qué es la Directiva NIS2, si afecta a tu pyme, qué exige (arts. 20, 21 y 23), cómo va su transposición en España y por qué no hay certificación NIS2.
- CISO externo o externalizado (vCISO): qué hace, qué incluye y cuándo le compensa a tu empresa. Qué hace un CISO externo o externalizado (vCISO o CISO as a service), qué entrega cada mes, cuántas jornadas dedica y cuándo compensa a tu empresa.
- Cómo se audita un agente de IA bajo ISO/IEC 42001: guía paso a paso. Los 5 controles ISO/IEC 42001 que reviso al auditar un agente de IA (trazabilidad, identidad, prompt injection y filtrado) y la evidencia que pido.
- Auditoría ISO 27001 2026 — Cero no conformidades, sin consultoría. Segundo año seguido con cero no conformidades en la auditoría ISO 27001, y primer ciclo sin consultoría externa. Caso real: decisiones y resultado.
- Auditoría ISO 27001 2025 — Cero no conformidades en el primer ciclo. Primer ciclo de certificación ISO 27001, liderado a los dos meses de incorporarme: cero no conformidades y ahorro en consultoría. Método e impacto.
- La estafa del «hijo en apuros»: investigación técnica de un caso real en España. Análisis de un intento de estafa de 4.000 € por suplantación en WhatsApp a un familiar: cabeceras, infraestructura del atacante y lecciones prácticas.
- Vulnerabilidades críticas en sistemas solares y de control industrial en España. Análisis pasivo con herramientas públicas (Shodan): mapa de dispositivos solares y de control industrial alcanzables desde Internet en territorio nacional.
- Huella digital y privacidad. Cómo la era digital cambió la forma en que comunicamos, accedemos a información y exponemos datos sin darnos cuenta, y qué puedes hacer para reducirla.
Artículos en inglés