NIS2 y fichaje industrial: trazabilidad de registros
Qué relación puede tener la trazabilidad del registro horario con la ciberseguridad y por qué no acredita por sí sola cumplir NIS2.
Actualizado:
NIS2 y registro horario: separar obligaciones y evidencias
La ciberseguridad del sistema de fichaje merece atención: contiene datos personales y sostiene un registro laboral importante. Eso no convierte automáticamente a cualquier empresa industrial en entidad NIS2 ni certifica el cumplimiento por instalar una aplicación.
La Directiva (UE) 2022/2555 regula gestión de riesgos y notificación para entidades dentro de su ámbito. El registro de jornada, la protección de datos y el Esquema Nacional de Seguridad tienen finalidades y ámbitos propios. Pueden coincidir, pero no son equivalentes.
1. Comprobar el ámbito antes de diseñar controles
La Comisión Europea explica el alcance de NIS2: abarca sectores determinados y combina reglas de tamaño con excepciones. Hay que revisar actividad, tipo de entidad, estructura empresarial y reglas nacionales aplicables. No basta con tener 250 personas, superar una cifra de facturación o vender a una administración.
En la directiva, determinadas manufacturas figuran en el anexo II; no toda la industria está en el anexo I. La clasificación como esencial o importante exige aplicar los artículos 2 y 3 y los anexos pertinentes, no una tabla comercial simplificada.
La entrada en vigor europea y la transposición nacional son cuestiones distintas. El artículo 41 fijó el plazo de transposición y aplicación de medidas nacionales; el artículo 44 derogó NIS1 con efectos de 18 de octubre de 2024. No presentes enero de 2023 como fecha de sustitución operativa completa.
Tampoco debe citarse el Real Decreto-ley 7/2025 como transposición parcial de NIS2: su objeto es el refuerzo del sistema eléctrico. Para una evaluación concreta, comprueba en fuentes oficiales la legislación nacional vigente y su alcance en la fecha del análisis. Esta guía no declara cerrada esa comprobación para una entidad particular.
2. Tres marcos que conviene distinguir
| Marco | Pregunta principal |
|---|---|
| Registro laboral | ¿Se conserva y puede consultarse la jornada real exigida? |
| Ciberseguridad | ¿Se gestionan los riesgos de los sistemas y servicios incluidos? |
| Protección de datos | ¿Hay finalidad, base jurídica, minimización y seguridad adecuadas? |
El artículo 34.9 del Estatuto de los Trabajadores contempla registro diario y conservación durante cuatro años. Ese plazo no se traslada automáticamente a cada log técnico.
El ENS, Real Decreto 311/2022, tiene su propio ámbito y categorización. Recibir fondos públicos no impone por sí solo categoría alta a todos los sistemas. Una certificación ISO/IEC 27001 o una conformidad ENS puede aportar evidencias pertinentes, pero no demuestra sin más todas las obligaciones NIS2.
3. Controles prácticos para el sistema de fichaje
Como propuesta de evaluación técnica, revisa:
- Identificación y permisos de usuarios, con protección reforzada de cuentas privilegiadas.
- Hora del evento, zona horaria, hora de recepción y tratamiento de capturas diferidas.
- Historial de correcciones con dato anterior, motivo, autor y fecha.
- Protección de registros contra cambios o borrados no autorizados.
- Copias de seguridad y prueba de recuperación.
- Procedimiento de incidencias, responsabilidades y comunicación del proveedor.
- Retención diferenciada de jornada, seguridad y datos de diagnóstico.
Son aspectos que deben ajustarse al riesgo y a las obligaciones aplicables. NIS2 no prescribe universalmente un hash SHA-256 diario, una VLAN por aplicación o cinco años de retención de todos los logs.
Una huella criptográfica puede ayudar a detectar cambios respecto de una referencia protegida. Por sí sola no prueba quién creó el registro ni evita que quien controla ambos sustituya archivo y huella. La atribución y cadena de custodia necesitan controles adicionales. Ningún detalle técnico garantiza por sí solo la admisión o valoración judicial de una prueba.
4. Incidentes: no toda caída genera la misma notificación
El artículo 23 de NIS2 se refiere a incidentes significativos. Como regla general contempla alerta temprana en 24 horas desde que se tiene conocimiento, notificación en 72 horas e informe final en el mes siguiente a esa notificación. Hay particularidades, actualizaciones a petición e incidentes todavía en curso.
No son «24-72-30 días» ni una obligación de comunicar toda interrupción menor del fichaje. Valora el supuesto, las reglas nacionales y sectoriales, y el destinatario competente. Si también hay una violación de datos personales, analiza separadamente las obligaciones correspondientes: no supongas que un aviso sustituye al otro.
5. Ejemplo de evaluación sin promesa de certificación
Supongamos una planta que descubre una corrección sin autor y una copia que no puede restaurarse. Son dos hallazgos verificables. El plan puede asignar responsables, preservar evidencias, revisar permisos y repetir la recuperación. La conclusión debe indicar qué se ha probado y qué sigue pendiente.
No se deducen de ahí un coste estándar, cuatro meses de implantación o un retorno de ocho meses. Esos datos exigen alcance, presupuesto y resultados propios; tampoco procede declarar «NIS2 cumplida» por superar una prueba del fichaje.
6. Qué solicitar al proveedor
Pide documentación comprobable sobre acceso, modificaciones, exportación, alojamiento, subencargados, continuidad y notificación. Si declara certificaciones, revisa entidad, vigencia y alcance del certificado. Comprueba funciones en el contrato y la versión utilizados.
No se atribuyen aquí a Induly hashes, certificados o formatos oficiales no verificados. WorkSamp aborda muestreo de actividades, que es una finalidad distinta del registro horario y de una auditoría jurídica de ciberseguridad. El entregable útil es una matriz de requisitos, evidencias y brechas; no una garantía comercial de cumplimiento.