Cumplimiento de NIS2 con FIDO2: mapeo al artículo 21

NIS2 no contiene en ninguna parte las palabras «FIDO2» ni «passkey». Lo que sí contiene, en su artículo 21, es la obligación de que las entidades esenciales e importantes adopten medidas técnicas, operativas y organizativas adecuadas y proporcionadas, que incluyen expresamente políticas de control de acceso y el uso de soluciones de autenticación multifactor o de autenticación continua «cuando proceda». Para la mayoría de las organizaciones, la forma más limpia de cumplir el extremo más exigente de esa expectativa es la autenticación resistente al phishing, y en la práctica eso significa FIDO2/WebAuthn: llaves de seguridad de hardware y passkeys.

Por qué resistente al phishing, y por qué ahora

La forma dominante de tomar cuentas no es adivinar contraseñas: es el phishing y los kits de adversario en el medio que retransmiten en tiempo real un inicio de sesión legítimo, incluido el código de un solo uso o la aprobación push. El OTP por app y el MFA por push suben el listón, pero no eliminan esa vía. Una credencial FIDO2 sí, porque está vinculada al origen con el que se registró. En un dominio parecido el navegador no la libera, así que no hay nada que retransmitir. Esa sola propiedad es la razón por la que reguladores y marcos describen cada vez más el MFA resistente al phishing como el estado objetivo, y por la que es la respuesta más defendible ante un evaluador de NIS2 que pregunte cómo controlas el acceso a los sistemas importantes.

Mapeo de FIDO2 al artículo 21 de NIS2

• Control de acceso y MFA: FIDO2 implementa directamente la medida de «autenticación multifactor cuando proceda», en su nivel más fuerte.
• Identidad de los usuarios privilegiados: las llaves de hardware ligadas al dispositivo dan a los administradores un autenticador que no puede copiarse en silencio de un portátil.
• Continuidad del negocio y resiliencia: registrar dos o más autenticadores por usuario es a la vez una práctica para evitar bloqueos y una evidencia de la resiliencia que espera NIS2.
• Cadena de suministro y acceso remoto: un inicio de sesión resistente al phishing para VPN, VDI y portales de terceros reduce los puntos de entrada más explotados.

Un orden de despliegue que supera una auditoría

1. Primero administradores y PAM. Llaves de seguridad de hardware para los administradores de dominio/nube y las herramientas de acceso privilegiado. Mayor radio de impacto, menor población.
2. Acceso remoto y VPN. Exige FIDO2 en el proveedor de identidad para todo lo que sea alcanzable desde fuera de la red.
3. Passkeys para la plantilla general. Despliega passkeys sincronizadas para el inicio de sesión principal en el IdP; aquí es donde escalan la adopción y la resistencia al phishing.
4. Dos autenticadores por usuario. Una passkey de plataforma más una llave itinerante eliminan los bloqueos y se leen como resiliencia, no solo como autenticación.
5. Desactiva las alternativas más débiles. El control solo se sostiene si se elimina la alternativa por SMS/OTP en las cuentas que has endurecido; un evaluador lo comprobará.

Qué medir

Sigue la cobertura de FIDO2 por población (administradores, usuarios remotos, toda la plantilla), el número de cuentas a las que todavía se permite una alternativa vulnerable al phishing y el número de usuarios con menos de dos autenticadores. Esas tres cifras son la imagen honesta de qué parte de tu obligación de control de acceso de NIS2 cubre realmente FIDO2.

Para la visión más amplia de construir o comprar y las opciones de autenticadores, mira nuestra evaluación de FIDO2 y passkeys, y cuantifica dónde están los controles de identidad débiles con la herramienta de riesgo de identidad →

Preguntas frecuentes

¿NIS2 exige FIDO2 específicamente? No: NIS2 es neutral en cuanto a la tecnología. El artículo 21 exige autenticación multifactor o continua cuando proceda; FIDO2/WebAuthn es la forma más habitual de cumplir el extremo de esa expectativa resistente al phishing.

¿Por qué FIDO2 es resistente al phishing? La credencial está vinculada al origen del sitio web, así que no puede liberarse en un dominio parecido ni retransmitirla un atacante en el medio.

¿Dónde deberíamos desplegarlo primero? Administradores y acceso privilegiado, después acceso remoto/VPN y luego la plantilla general, con al menos dos autenticadores por usuario.

¿Passkeys o llaves de hardware? Ambas son FIDO2. Passkeys para una adopción amplia; llaves de hardware para administradores y roles de alto riesgo.