Por qué Microsoft 365 es el primer sitio donde mirar

En la mayoría de pymes y medianas empresas europeas, Microsoft 365 concentra las identidades, el correo, los documentos y las comunicaciones. Por eso buena parte de las medidas técnicas que exige el Art. 21.2 de la Directiva NIS2 se cumplen, o se incumplen, en la configuración del tenant.

Este checklist recorre las diez letras del Art. 21.2 y traduce cada una a controles concretos de Microsoft 365. No sustituye al análisis legal ni a las medidas organizativas (políticas, formación, contratos con proveedores), pero te da una lista verificable de lo que un auditor esperará ver en la parte técnica.

Si todavía no tienes claro si NIS2 aplica a tu organización, empieza por nuestra guía Qué es la Directiva NIS2 y cómo afecta a tu empresa.

a) Análisis de riesgos y políticas de seguridad

Línea base documentada: registra el Microsoft Secure Score actual y las acciones de mejora pendientes como punto de partida del análisis de riesgos.
Usuarios y detecciones de riesgo: revisa periódicamente los usuarios marcados en riesgo por Identity Protection (requiere Entra ID P2).
Auditoría periódica: programa una revisión completa de la configuración del tenant al menos cada trimestre y guarda los resultados como evidencia.

b) Gestión de incidentes

Registro de auditoría activo: comprueba en Microsoft Purview que la auditoría está habilitada. Sin logs no hay investigación posible.
Retención suficiente: Audit (Standard) conserva los registros 180 días. Si necesitas más, valora Audit (Premium) o enviar los logs a un SIEM.
Políticas de alerta: activa y revisa las alertas de Microsoft Defender para eventos críticos como la creación de reglas de reenvío, la asignación de roles de administrador o los inicios de sesión sospechosos.
Plazos de notificación: NIS2 (Art. 23) exige una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final en un mes. Ten escrito el procedimiento y quién lo ejecuta.

c) Continuidad de negocio

Copias de seguridad: Microsoft garantiza la disponibilidad del servicio, no la recuperación de tus datos ante un borrado o un ransomware. Evalúa Microsoft 365 Backup o una solución de terceros para Exchange, OneDrive y SharePoint.
Políticas de retención: define en Purview la retención del contenido que no te puedes permitir perder.
Cuentas de acceso de emergencia (break-glass): al menos dos cuentas solo cloud, excluidas de las políticas de acceso condicional y custodiadas de forma segura, para no quedarte fuera del tenant si falla el MFA o la federación.

d) Seguridad de la cadena de suministro

Aplicaciones OAuth: revisa los consentimientos concedidos a aplicaciones de terceros y limita el consentimiento de los usuarios a apps verificadas con permisos de bajo riesgo.
App registrations: inventaria las aplicaciones con secretos o certificados, quién es su propietario y cuándo caducan.
Usuarios invitados: revisa los invitados B2B, elimina los inactivos y limita lo que pueden ver del directorio.
Accesos de tu proveedor IT: si un partner gestiona tu tenant, exige relaciones GDAP con roles mínimos y revisa periódicamente qué permisos tiene.

e) Adquisición, desarrollo y mantenimiento

Dispositivos actualizados: si usas Intune, define políticas de cumplimiento que exijan un sistema operativo con soporte y las actualizaciones al día.
Gestión de cambios: documenta los cambios en las políticas de acceso condicional y en los roles. Comparar la configuración entre auditorías ayuda a detectar cambios no planificados.

f) Evaluación de la eficacia

Medición continua: no basta con configurar una vez. Repite la auditoría con regularidad y compara resultados para demostrar que las medidas siguen funcionando.
Indicadores: la cobertura MFA, el número de administradores globales, los hallazgos críticos abiertos y la evolución del Secure Score son métricas fáciles de presentar a dirección.

g) Ciberhigiene y formación

Simulaciones de phishing: Attack Simulation Training (incluido en Defender for Office 365 Plan 2) permite medir y formar a los usuarios.
Contraseñas: evita la caducidad forzada, usa la protección de contraseñas de Entra ID y habilita el autoservicio de restablecimiento (SSPR) con métodos seguros.
Cuentas inactivas: deshabilita las cuentas que llevan meses sin iniciar sesión y revisa las licencias que tienen asignadas.

h) Criptografía

Correo autenticado: SPF, DKIM y DMARC bien configurados en todos tus dominios (ver nuestra guía de SPF, DKIM y DMARC).
Etiquetas de sensibilidad: usa Microsoft Purview Information Protection para clasificar y cifrar la información confidencial.
Cifrado de dispositivos: BitLocker en Windows y FileVault en macOS, gestionados y verificados desde Intune.

i) Control de acceso y gestión de activos

Mínimo privilegio: Microsoft recomienda tener menos de cinco administradores globales. Asigna roles específicos (Exchange, SharePoint, Helpdesk) en lugar de Global Admin.
Acceso Just-In-Time: con Privileged Identity Management (Entra ID P2) los roles se activan solo cuando se necesitan y, si quieres, con aprobación.
Revisiones de acceso: revisa periódicamente quién tiene acceso a qué, sobre todo en grupos privilegiados e invitados.
Bajas de empleados: ten un procedimiento para deshabilitar la cuenta, revocar sesiones y recuperar dispositivos el mismo día de la salida.

j) Autenticación multifactor y comunicaciones seguras

MFA para todos los usuarios: mediante acceso condicional (Entra ID P1) o, si no tienes P1, con los valores predeterminados de seguridad.
Métodos resistentes al phishing para administradores: FIDO2, passkeys o Windows Hello for Business, exigidos con intensidades de autenticación (authentication strengths).
Bloqueo de la autenticación heredada: los protocolos legacy no admiten MFA y anulan el resto de medidas (ver cómo bloquear la autenticación heredada).
Comunicaciones externas en Teams: limita el acceso externo a dominios de confianza si no necesitas tenerlo abierto.

Por dónde empezar

Si tienes que priorizar, empieza por la letra j (MFA y autenticación heredada), la i (administradores y privilegios) y la b (logs y alertas). Son las que más reducen el riesgo real y las primeras que revisará un auditor.

Para cada control, guarda evidencias con fecha: capturas, exportaciones o informes. NIS2 no solo pide tener las medidas, también poder demostrar que existen y que funcionan.

Automatiza el checklist con 365toControl

365toControl ejecuta más de 68 comprobaciones sobre tu tenant y las mapea a los apartados del Art. 21.2, con una puntuación de cumplimiento por apartado y global. El histórico de auditorías te sirve como evidencia de evaluación periódica (letra f), y puedes documentar los riesgos aceptados con su justificación para que el auditor vea que están gestionados.

Checklist NIS2 para Microsoft 365: controles técnicos artículo por artículo