GRC · Gobernanza, riesgo y cumplimiento
Atalanta ofrece consultoría de GRC (gobernanza, riesgo y cumplimiento) para organizaciones que deben cumplir NIS2, DORA, ENS, ISO 27001, RGPD o PCI DSS. Traducimos cada norma en controles claros, implementables y sostenibles: auditorías, GAP Analysis, gestión de riesgos y planes de continuidad adaptados a tu sector y a tu nivel de madurez.
El reto
NIS2 amplía las obligaciones de ciberseguridad a sectores que antes estaban fuera de la regulación. DORA impone requisitos de resiliencia operativa al sector financiero. El ENS se actualiza con nuevos controles e ISO 27001:2022 introduce cambios significativos. Muchas organizaciones dudan por dónde empezar, qué les aplica realmente y cómo pasar del papel a la implementación real manteniendo el negocio en marcha.
NIS2, DORA, ENS, ISO, RGPD, PCI… Múltiples marcos normativos que se solapan y que requieren enfoques distintos según tu sector.
Políticas y procedimientos documentados que se alejan de la operativa real. Se supera la auditoría, pero el día a día va por otro lado.
Los plazos de NIS2 y DORA ya están aquí. El coste de incumplir va más allá de la multa: es la pérdida de confianza de clientes y partners.
Qué incluye
Abordamos la gobernanza, el riesgo y el cumplimiento como un sistema integrado. El objetivo es que tu organización cumpla y, además, gestione el riesgo de forma eficiente y sostenible.
Evaluamos tus controles actuales frente a los requisitos normativos aplicables e identificamos los incumplimientos reales, más allá de los formales.
Análisis de la distancia entre tu situación actual y el estándar objetivo. Resultado: un plan de remediación priorizado por impacto y esfuerzo.
ISO 27001 (SGSI), ISO 22301 (SGCN), ENS, NIS2, DORA, RGPD y PCI DSS. Te acompañamos desde el diseño hasta la certificación o el cumplimiento efectivo.
Identificación, análisis y tratamiento de riesgos con metodologías contrastadas, priorizados según el impacto real en tu negocio.
Diseño e implementación de BCP (continuidad de negocio) y DRP (recuperación ante desastres), gestión de crisis y ejercicios de simulación.
Un modelo de gobernanza que conecta riesgo, cumplimiento y operaciones, pensado para funcionar en el día a día y también en las auditorías.
Marcos normativos
Depende de tu sector, de los datos que tratas y de para quién trabajas. Elige tu caso y te marcamos las que te afectan.
Directiva (UE) 2022/2555
Te aplica si
Eres una entidad esencial o importante de un sector crítico: energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública o industria.
Qué te exige
Reglamento (UE) 2022/2554 · en aplicación desde el 17 de enero de 2025
Te aplica si
Eres una entidad financiera (banca, seguros, inversión, pagos) o su proveedor tecnológico crítico.
Qué te exige
Esquema Nacional de Seguridad · Real Decreto 311/2022
Te aplica si
Eres una administración pública española o le prestas servicios o soluciones tecnológicas.
Qué te exige
Norma internacional · versión 2022
Te aplica si
Quieres demostrar a clientes, socios y licitaciones que gestionas bien la seguridad de la información.
Qué te exige
Reglamento (UE) 2016/679 · GDPR en inglés
Te aplica si
Tratas datos personales de personas que están en la Unión Europea.
Qué te exige
Estándar de la industria de tarjetas de pago
Te aplica si
Almacenas, procesas o transmites datos de tarjetas de pago.
Qué te exige
Es una orientación general: el alcance exacto depende de tu actividad y tamaño. Consulta la guía de normativas de ciberseguridad, haz la autoevaluación de NIS2 o pide un diagnóstico de cumplimiento.
Por qué Atalanta
Traducimos cada requisito a controles técnicos implementables y te acompañamos hasta que el cumplimiento sea operativo y sostenible. GRC es una de las ocho líneas de nuestros servicios de ciberseguridad empresarial.
Además de la documentación, implementamos los controles técnicos y organizativos necesarios para que el cumplimiento sea efectivo.
Profesionales que combinan conocimiento normativo (NIS2, DORA, ENS, ISO, RGPD) con experiencia técnica en ciberseguridad: entendemos lo que exige la norma y cómo aplicarlo en tu infraestructura.
Somos también especialistas en Red Team, Ciberdefensa y Soluciones, así que los controles que diseñamos están conectados con la realidad operativa de la seguridad.
Hemos acompañado a organizaciones en procesos de certificación ISO 27001, implementación del ENS y adaptación a NIS2 y DORA en sectores regulados.
Preguntas frecuentes
GRC son las siglas de gobernanza, riesgo y cumplimiento. Es la disciplina que define quién decide sobre la seguridad de la información, qué riesgos asume la organización y cómo demuestra que cumple las normas que le aplican. Bien planteado, funciona como un único sistema que conecta dirección, operaciones y auditoría.
Depende del sector y de la actividad. NIS2 afecta a entidades esenciales e importantes de sectores críticos; DORA, al sector financiero y a sus proveedores tecnológicos; el ENS, al sector público español y a quienes le prestan servicios; el RGPD, a quien trata datos personales; y PCI DSS, a quien gestiona datos de tarjetas. ISO 27001 es voluntaria.
NIS2 obliga a las entidades esenciales e importantes de sectores como energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública e industria. Exige medidas de gestión de riesgos, notificación de incidentes significativos y atribuye responsabilidad directa a los órganos de dirección.
DORA es el reglamento europeo de resiliencia operativa digital, aplicable desde el 17 de enero de 2025. Exige a las entidades financieras gestionar el riesgo tecnológico, notificar los incidentes graves, realizar pruebas de resiliencia y controlar el riesgo de sus proveedores tecnológicos.
Es el análisis de la distancia entre la situación actual de la organización y un estándar objetivo, como ISO 27001 o NIST CSF. El resultado es la lista de requisitos pendientes y un plan de remediación priorizado por impacto y esfuerzo.
El BCP (plan de continuidad de negocio) define cómo sigue funcionando la organización durante una interrupción grave. El DRP (plan de recuperación ante desastres) se centra en restaurar los sistemas y los datos después del incidente. El primero abarca procesos y personas; el segundo, tecnología.
Depende del alcance: las normativas que aplican, el tamaño de la organización y su nivel de madurez de partida. Por eso el primer paso es un diagnóstico de cumplimiento, que identifica qué marcos te afectan, dónde están las principales carencias y qué plan de acción es realista.
Empieza con un diagnóstico de cumplimiento: identificamos qué normativas aplican a tu organización y a tu sector, medimos el nivel de cumplimiento actual frente a los requisitos y entregamos un plan de acción priorizado con plazos y recursos.
Diagnóstico de cumplimiento
Cuéntanos tu situación y te ayudamos a identificar qué marcos normativos te aplican, dónde están tus principales carencias y cómo abordar el cumplimiento de forma realista y priorizada. Sin compromiso.
