Medidas técnicas y organizativas en pocas palabras

¿Qué son las medidas técnicas y organizativas?

Medidas técnicas y organizativas — técnicas, operativas y organizativas — reúnen todas las salvaguardas de una organización: las técnicas (cifrado, MFA), las organizativas (funciones, políticas de seguridad, formación) y las operativas (monitorización, mantenimiento). Son la puesta en práctica concreta de la seguridad. El término procede del artículo 32 del RGPD, que es derecho de la Unión; en el ámbito internacional y en las normas se habla en cambio de controles — en contenido, ambos significan lo mismo.

Las tres dimensiones

• Técnicas: cifrado, cortafuegos, copias de seguridad, MFA, registro de eventos.
• Organizativas: funciones, políticas, formación y contratos con proveedores.
• Operativas: funcionamiento diario, monitorización, mantenimiento y pruebas periódicas.

Medidas técnicas frente a medidas organizativas

La línea divisoria es sencilla: las medidas técnicas actúan a través de la tecnología y las organizativas a través de las reglas y de las personas. Donde una falla por sí sola, la otra amortigua el daño; por eso el artículo 32 del RGPD y el artículo 21 de NIS2 exigen las dos columnas, no solo una.

Estas medidas y los controles

En contenido, estas medidas coinciden casi por completo con los controles del mundo de las normas internacionales, por ejemplo con el anexo A de la ISO 27001. La sigla alemana TOM es solo el término colectivo habitual en aquel país; el concepto está en el artículo 32 del RGPD y vale igual en toda la Unión. Quien documente sus medidas una sola vez y bien podrá usar la misma evidencia para la protección de datos y para la ciberseguridad, en lugar de mantener dos catálogos separados.

Estas medidas en el RGPD y en NIS2

El término procede del artículo 32 del RGPD, pero encaja igual de bien con la Directiva NIS2: ambas exigen medidas técnicas y organizativas adecuadas para proteger los datos y los sistemas. La cuantía de la sanción depende de la clasificación. El artículo 34 obliga a los Estados miembros a prever, frente a las entidades esenciales, multas de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial y, frente a las importantes, de al menos 7 millones de euros o el 1,4 %; pueden fijar importes superiores. En España la Directiva NIS2 todavía no se ha transpuesto, así que esas sanciones aún no son exigibles y no hay ni registro de entidades ni plazo de inscripción. El RGPD, en cambio, se aplica desde hace años.

Ejemplo: una empresa de suministro eléctrico mantiene un cuadro central de sus medidas. En materia de protección de datos le sirve como evidencia del artículo 32 del RGPD; ante una revisión de NIS2 presenta esa misma lista, ampliada con la cadena de notificación de 24 horas para la alerta temprana, 72 horas para la notificación del incidente y un mes para el informe final, como prueba de su gestión de riesgos, de modo que puede mostrar sin lagunas ante el organismo competente qué medida cubre cada riesgo concreto. Una sola lista sirve para las dos cosas.

¿Qué tiene que hacer en concreto?

• Reunir en un único cuadro las medidas ya existentes en protección de datos y en informática.
• Asignar cada medida a un riesgo concreto y a una persona responsable.
• Cerrar las lagunas entre la columna técnica y la organizativa: las dos deben estar documentadas.
• Probar al menos una vez al año la eficacia de las copias de seguridad, de la MFA y del proceso de notificación, no solo describirla.
• Mantener el cuadro de medidas listo para una revisión y reunir ya los datos que pedirá el registro de entidades cuando la ley entre en vigor.

Más información: Artículo 32 del RGPD (EUR-Lex)