NOUSEC lo utilizan organismos públicos que deben demostrar un programa de ciberhigiene y formación, no solo ejecutarlo. Con NIS2, las entidades de la administración central están en su ámbito sea cual sea su tamaño, y el artículo 21(2)(g) convierte la ciberhigiene y la formación en ciberseguridad en una medida mínima obligatoria, mientras que el artículo 34(7) deja a cada Estado miembro decidir si las multas se aplican siquiera a los organismos públicos. NOUSEC genera las evidencias que pide una inspección: aceptación de políticas con control de versiones, un cuadro de cumplimiento con la finalización bruta y la ajustada para auditoría, certificados con página de verificación pública, un registro de auditoría y exportación al SIEM en CSV, NDJSON o JSON, sin agentes en el endpoint y con los datos en Fráncfort.
El sector más atacado de la Unión.
En este sector la multa es opcional. La inspección, no.
La mayoría de los proveedores venden a los organismos públicos una sanción que quizá nunca les llegue. Esta es la situación real, y la lista de evidencias que de verdad importa.
NIS2 incluye en su ámbito a las entidades de la administración central sea cual sea su tamaño, y permite a los Estados miembros extenderla a las administraciones regionales y locales. Pero el capítulo de ejecución no es simétrico: la prohibición temporal de ejercer funciones directivas del artículo 32(5) se aplica a las entidades esenciales y excluye expresamente a la administración pública, y según el artículo 34(7) cada Estado miembro decide si las multas administrativas se aplican a los organismos públicos, y en qué medida.[3]
Así que la presión sobre un equipo de seguridad del sector público es probatoria, no económica. Le pedirán que demuestre que existe un programa, que la gente lo completó, que el registro es defendible y que se puede entregar a un auditor sin un ejercicio de conciliación de hojas de cálculo.
Ese es un problema de producto, y es para el que lo construimos.
| Evidencia | Qué demuestra | Cómo se comprueba | Plan |
|---|---|---|---|
| Aceptación de políticas con control de versiones | Quién aceptó qué versión, y cuándo | Registro por usuario, exportable | Professional |
| Cuadro de cumplimiento, bruto y ajustado para auditoría | La finalización, y la finalización que supera un umbral de calidad | Se muestran ambas cifras; el descuento se activa con una nota de cuestionario inferior al 40 % | Essentials |
| Evidencia de finalización | Formación realizada, no solo asignada | Al menos el 90 % de los segundos únicos vistos, calculado en el servidor; una finalización falsificada devuelve un error 403 | Essentials |
| Certificado con página de verificación pública | Que el certificado es auténtico | Un tercero puede verificarlo sin acceder a su espacio de cliente | Professional |
| Registro de auditoría | Quién cambió qué en el programa | Registro inmutable | Enterprise |
| Exportación al SIEM | Que el registro sale de la plataforma | CSV, NDJSON o JSON | Enterprise |
Casi la mitad de los actores ya están dentro.
Este es el dato que diferencia la página del sector público, y también el punto en el que debemos tener cuidado con lo que vendemos.
En Administración Pública, el DBIR registra actores internos en el 44 % de las brechas y el uso indebido de privilegios entre los tres patrones principales: es el único de los cuatro sectores en el que ocurre. El espionaje es el motivo en un tercio de los casos.[1]
Una parte es mala fe y otra es error. NOUSEC no es analítica del comportamiento de usuarios, ni prevención de pérdida de datos, ni detección de amenazas internas; lo que hace es entrenar y medir los comportamientos que están antes de ambas cosas: el tratamiento de expedientes sensibles, la aceptación de políticas, la higiene de credenciales y una cultura de notificación en la que avisar de algo mejora su Human Risk Score en lugar de ponerle en evidencia.
La notificación resta por diseño. Un empleado que notifica un mensaje sospechoso mejora su propia puntuación. Aparecer en una filtración de terceros cuenta como exposición, no como culpa: quien figura en un volcado de credenciales de 2017 no eligió estar ahí.
Ámbito, responsabilidad y lo que pide una inspección.
| Instrumento | Artículo | Qué exige | Cómo lo evidencia NOUSEC |
|---|---|---|---|
| NIS2[3] | Art. 2(2)(f)(i) | Las entidades de la administración central están en su ámbito sea cual sea su tamaño. | — |
| NIS2 | Art. 2(2)(f)(ii), 2(5) | Las entidades regionales entran tras una evaluación basada en el riesgo; las locales y los centros educativos, a criterio de cada Estado miembro. | — |
| NIS2 | Art. 21(2)(g) | Ciberhigiene y formación en ciberseguridad como medida mínima obligatoria. | Verificación de finalización en el servidor; cuadro ajustado para auditoría. |
| NIS2 | Art. 20(1), 32(5), 34(7) | Los órganos de dirección aprueban, supervisan y pueden responder, pero la inhabilitación de directivos no alcanza a la administración pública y las multas quedan a criterio de cada Estado miembro. | Evidencia del grupo del consejo; registro de auditoría. |
| RGPD | Art. 39(1)(b) | Concienciación y formación dentro de las funciones de supervisión del DPD. | Aceptación de políticas con control de versiones. |
| ISO/IEC 27001:2022[5] | Cl. 7.2 / 7.3, A 6.3 | Competencia, toma de conciencia, formación. | Página de verificación pública de certificados. |
Los resúmenes normativos son orientativos y no constituyen asesoramiento jurídico. El ámbito de aplicación y la clasificación dependen de la transposición en su Estado miembro.
Las cuatro preguntas que siempre hace un pliego.
Sin agentes en el endpoint
No se instala nada en ningún equipo. El botón de notificación es un complemento opcional del cliente de correo.
Datos alojados en la UE
En Fráncfort, con exportación y borrado a nivel de cliente.
Marca blanca completa
Su imagen, en 30 idiomas: nueve totalmente localizados hoy y veintiuno más bajo petición.
Metodología publicada
La puntuación de 0 a 100 muestra el desglose de sus componentes. Sin caja negra.
Evidencia que no es autodeclarada
Una puntuación que enseña sus cálculos
Lectura relacionada: la metodología del Human Risk Score, por qué NOUSEC, y las entradas del glosario sobre amenaza interna y pretexting. Si su organismo gestiona también plantas o infraestructura de red, la misma cadena de evidencias tiene que satisfacer dos anexos distintos de NIS2 a la vez. Nuestra propia postura está en Seguridad.
Preguntas
Lo primero que preguntan el equipo de seguridad de un organismo público y su unidad de contratación.
Cada cifra de esta página, y de dónde sale
Última revisión: 21 de octubre de 2026. Las citas normativas se contrastan con el texto consolidado de EUR-Lex en cada revisión.
- 2026 Data Breach Investigations ReportVerizon Business — sección sectorial, p. 84, Finanzas y Seguros (NAICS 52). Corpus: más de 31.000 incidentes, más de 22.000 brechas confirmadas, 145 países, oct. 2024 – nov. 2025 · 2026Uso: Administración Pública (92): 3634 incidentes; 69 % con elemento humano; 44 % actores internos; 33 % motivo de espionaje; 20 % phishing frente a 40 % explotación de vulnerabilidades; Uso indebido de privilegios entre los tres patrones principales.
- Threat Landscape 2025ENISA — 13.ª edición, v1.2, 4875 incidentes, 1 jul. 2024 – 30 jun. 2025 · 2025Uso: El 38,2 % de los incidentes identificados en la UE se dirigió a la administración pública. 4875 incidentes, 1 jul. 2024 – 30 jun. 2025.
- Directive (EU) 2022/2555 (NIS2)Diario Oficial de la Unión Europea, DO L 333, 27.12.2022 · 2022Uso: Artículos 2(2)(f), 2(5), 20(1), 21(2)(g), 32(5) y 34(7).
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organización Internacional de Normalización — 3.ª edición · 2022Uso: Cláusulas 7.2 y 7.3; título del control 6.3 del anexo A.