Estándares y sistemas de gestión
De ISO 27001 y BSI IT-Grundschutz++ a C5 y TISAX — las normas y los marcos con los que la seguridad se vuelve certificable.
Governance, Risk & Compliance
ISO 27001, BSI IT-Grundschutz, NIS2, DORA, CRA y EU AI Act: cómo integrar sistemas de gestión, gestión de riesgos y obligaciones regulatorias en una estructura auditable e integrada — sin duplicar el trabajo.
Una buena gobernanza no es papeleo, sino el sistema operativo de su seguridad: un sistema de gestión integrado traduce estándares y regulación en responsabilidades claras, controles medibles y evidencias que se sostienen en la auditoría. Estas páginas de conocimiento reúnen nuestra metodología sobre estándares, regulación de la UE y la operación continua — desde el análisis de brechas y la certificación hasta el vCISO y GRC as a Service.
Temas y páginas de conocimiento
Cada tema conduce a una página de conocimiento propia con contenidos en profundidad, guías prácticas y los servicios correspondientes.
Regulación de la UE y nacional
NIS2, DORA, CRA, EU AI Act, KRITIS y MDR — obligaciones, plazos y el camino hacia una conformidad demostrable.
NIS2 DORA Directrices EBA Third-Party Risk (no TIC) Guía BaFin: IA y riesgos TIC Slopsquatting y agentes de código EU Cyber Resilience Act ENISA Secure by Design Playbook EU AI Act KRITIS MDR — Productos sanitarios Gestión de riesgos de IA en centros sanitarios Mantenimiento de productos sanitarios conectados Data Act y productos sanitarios conectados Cumplimiento de IA
Operación, roles y evidencias
Así el compliance se mantiene vivo: roles externos de CISO y de responsable de seguridad de la información, auditorías, formaciones y evidencias automatizadas.
Seguridad de la cadena de suministro
Third-Party-Risk-Management para su cadena de suministro de TI: desde las obligaciones regulatorias de NIS2 y DORA hasta la evaluación de proveedores de nube (CSA CAIQ/CCM/STAR) y proveedores de IA (CSA AI Controls Matrix v1.1).
Deep Dives
Páginas de conocimiento en profundidad sobre los temas que actualmente generan más preguntas — con fuentes verificadas y medidas concretas.
Guía de la BaFin sobre IA
El 18/12/2025, la BaFin publicó su guía no vinculante sobre los riesgos TIC en el uso de la IA en entidades financieras (título alemán: «Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen»). Su objetivo es ayudar a aplicar también a los sistemas de IA los requisitos de DORA sobre la gestión del riesgo relacionado con las TIC y del riesgo relacionado con las TIC derivado de terceros, a lo largo de todo el ciclo de vida de la IA y con un caso práctico sobre un asistente de IA basado en LLM. Esta página distingue en todo momento entre lo que exigen DORA y los RTS, lo que la BaFin describe como buena práctica y lo que nosotros recomendamos adicionalmente.
Ir a la página de conocimientoDirectrices EBA Third-Party Risk
Con EBA/GL/2026/09, la EBA sustituye sus Directrices sobre externalización de 2019 por un marco para todo el riesgo de terceros derivado de servicios no TIC, centrado en las funciones esenciales o importantes, con un registro inspirado en el registro de información de DORA y un periodo transitorio de dos años. Esta página sitúa las Directrices en su contexto, las delimita frente a DORA y hace tangibles sus requisitos con el Navegador de alcance, el Constructor de registro y el Radar de preparación.
Ir a la página de conocimientoOSCAL — Frameworks as Code
El estándar del NIST que convierte regulaciones, normas y frameworks de PDF a datos: catálogos, perfiles, mappings y evidencias — legibles por máquina, versionables, automatizables.
Ir a la página de conocimientoSeguridad de la cadena de suministro
Cómo evaluar y gestionar de forma estructurada la seguridad de su cadena de suministro de TI, nube e IA, desde la selección de proveedores hasta la monitorización continua.
Ir a la página de conocimientoISO/IEC 42001 en la práctica
Con la ISO/IEC 42001:2023 existe por primera vez una norma internacional y certificable para un Artificial Intelligence Management System (AIMS). Qué exige la norma, cómo se estructura el panorama documental — y cómo puede usted integrar un AIMS de forma eficiente en su ISMS existente.
Ir a la página de conocimientoObligaciones de transparencia del AI Act
A partir del 2 de agosto de 2026 se aplican las obligaciones de transparencia del Art. 50 del AI Act a los sistemas de IA interactivos, los contenidos generativos, el reconocimiento de emociones y los deepfakes. El proyecto de directrices de la Comisión Europea del 8 de mayo de 2026 concreta cómo deben implementar estas obligaciones los proveedores y los responsables del despliegue.
Ir a la página de conocimientoNIST AI RMF & Cyber AI Profile
Gestión de riesgos de IA según NIST: el AI Risk Management Framework y el nuevo Cyber AI Profile (NIST IR 8596) ofrecen a las organizaciones un marco estructurado y priorizado para proteger los sistemas de IA, aprovechar la IA para la defensa y repeler los ataques asistidos por IA.
Ir a la página de conocimientoISO/IEC 27001
Qué exige la norma, cómo transcurre el camino hacia el certificado y por qué un SGSI conforme a ISO/IEC 27001 sirve como evidencia ante clientes, socios y autoridades de supervisión.
Ir a la página de conocimientoIT-Grundschutz
Cómo interactúan los estándares del BSI, el Compendio IT-Grundschutz y las variantes de protección – y qué significa la modernización en curso hacia Grundschutz++ para su SGSI.
Ir a la página de conocimientoISO/IEC 27701
Cómo convertir el tratamiento de datos personales en un sistema de gestión certificable, y qué significa la revisión ISO/IEC 27701:2025, certificable de forma independiente, para los operadores de SGSI y los encargados del tratamiento.
Ir a la página de conocimientoTISAX
Cómo funciona el mecanismo de evaluación e intercambio de la industria de automoción: desde la gobernanza de la ENX Association y el catálogo VDA ISA hasta los niveles de assessment, los labels y los tres años de validez.
Ir a la página de conocimientoSistemas de gestión integrados
Cómo unificar ISO/IEC 27001, 27701 y 42001, junto con ISO 9001 e ISO 22301, en un único sistema de gestión sobre la base de la Harmonized Structure: del control documental a la auditoría de certificación combinada.
Ir a la página de conocimientoNIS2
Lo que la Directiva (UE) 2022/2555 exige a las entidades esenciales e importantes, y cómo Alemania la ha transpuesto en el BSIG mediante la NIS2UmsuCG.
Ir a la página de conocimientoDORA
Lo que el Reglamento (UE) 2022/2554 exige a las entidades financieras y a sus proveedores de servicios de TIC: los cinco pilares, las TLPT, el registro de información y la supervisión de los proveedores terceros esenciales, de un vistazo.
Ir a la página de conocimientoCyber Resilience Act
Lo que el Reglamento (UE) 2024/2847 exige a fabricantes, importadores y distribuidores de productos con elementos digitales: desde la security by design y la SBOM hasta los plazos de notificación aplicables a partir del 11 de septiembre de 2026.
Ir a la página de conocimientoPlaybook Secure by Design
Análisis en profundidad de la guía práctica gratuita publicada por ENISA el 30 de julio de 2026: 22 principios como playbooks de una página con listas de verificación, evidencias mínimas y release gates, incluida la atestación procesable por máquina y un mapeo indicativo al CRA.
Ir a la página de conocimientoEU AI Act
Clases de riesgo, plazos tras el Digital Omnibus, roles y sanciones: qué significa el Reglamento (UE) 2024/1689 para las empresas – situación a julio de 2026.
Ir a la página de conocimientoKRITIS
Lo que los operadores de instalaciones críticas deben implantar conforme a la ley BSI reformada y al KRITIS-Dachgesetz: de los umbrales y la detección de ataques a la obligación de acreditación.
Ir a la página de conocimientoCiberseguridad MDR
Qué requisitos de ciberseguridad impone el MDR a los fabricantes – y cómo MDCG 2019-16, IEC 81001-5-1 y el Reglamento de IA fijan el marco para todo el ciclo de vida del producto.
Ir a la página de conocimientoCumplimiento de IA
Cómo construir un programa de gobernanza de la IA de forma estructurada: del inventario de IA a la clasificación de riesgos y la alfabetización en IA, hasta los controles del ciclo de vida conforme al AI Act, ISO/IEC 42001, el NIST AI RMF y el BSI AIC4.
Ir a la página de conocimientovCISO e ISB externo
Qué diferencia al CISO del ISB, qué requisitos plantean ISO 27001 y NIS2 para la asignación del rol, y cuándo tiene sentido cubrirlo externamente como vCISO o vISB.
Ir a la página de conocimientoGRC as a Service
Cómo los modelos de GRC gestionado organizan la operación continua del SGSI, la gestión de riesgos y las evidencias de cumplimiento – desde los componentes del servicio y los indicadores adecuados hasta los límites de la transferencia de responsabilidad.
Ir a la página de conocimientoAuditorías y certificaciones
Cómo funcionan realmente las certificaciones ISO: desde la tipología de auditorías, pasando por las fases 1 y 2, hasta las auditorías de seguimiento, la recertificación y la cadena de acreditación que las respalda.
Ir a la página de conocimientoSecurity Questionnaires
Cómo responder de forma estructurada al creciente número de cuestionarios de seguridad procedentes de evaluaciones de clientes y de la gestión de riesgos de terceros – y solicitarlos de manera selectiva – con catálogos estándar, bibliotecas de respuestas, generación de respuestas asistida por IA y un trust center.
Ir a la página de conocimientoTrust Center
Cómo poner a disposición de forma estructurada certificados, atestaciones, listas de subencargados y resúmenes de pentests – de forma pública donde sea posible y protegidos por NDA donde sea necesario.
Ir a la página de conocimientoWhitepaper para descargar
Cada whitepaper cuenta con una página propia con detalles y un formulario de descarga directo.
DORATLPT según DORA: cómo proteger realmente las joyas de la coronaIr a la página del whitepaper 
BSI Grundschutz++Metodología BSI Grundschutz++ y ruta de upgrade a ISO 27001Ir a la página del whitepaper 
EU CRACRA Reality Check — Zero-Days, cadena de suministro e IAIr a la página del whitepaper 
DORADORA Reality Check — Riesgo de terceros e IA agénticaIr a la página del whitepaper 
NIS2NIS2 Reality Check — Registro, cadena de suministro y responsabilidadIr a la página del whitepaper 
EU AI ActAI Act Reality Check — Plazos de alto riesgo, GPAI e IA agénticaIr a la página del whitepaper 
EBA / DORAThird-Party Risk für CISOs: Directrices EBA no TIC 2026Ir a la página del whitepaper 
BaFin / DORA / IAKI unter DORA für CISOs: guía de la BaFin sobre riesgos TIC (en alemán)Ir a la página del whitepaper Actualidad sobre esta área temática
Todas las novedadesTaller navideño de GRC Engineering el 12 de diciembre: siete ponencias, un almuerzo, 20 plazasEl sábado, 12 de diciembre de 2026, VamiSec invita al Taller navideño de GRC Engineering en Sankt Augustin, cerca de Bonn. En siete ponencias, Valeri Milke muestra cómo NIS2, el CRA y el AI Act confluyen en el sistema de gestión integrado, qué hace visible un grafo GRC, cómo valorar en euros los riesgos de la cadena de suministro y los ciberriesgos, y cómo empieza la migración a la criptografía poscuántica con la CBOM. Participación gratuita, solo con invitación personal.VamiGRC Christmas Bootcamp el 12 de diciembre: GRC Engineering agéntico — presencial y en directoSiete ventanitas, una mañana: el sábado 12 de diciembre de 2026, de 10:00 a 14:00 CET, Valeri Milke y el equipo de VamiSec muestran cómo el GRC Engineering agéntico hace manejables NIS2, el CRA, el AI Act y los riesgos de la cadena de suministro — además, un Christmas Special sobre criptografía poscuántica y CBOM. Presencial en Sankt Augustin, cerca de Bonn, o en directo en LinkedIn y YouTube, gratis.Guía de la BaFin sobre IA: lo que bancos y aseguradoras deberían implantar ya en materia de riesgos TIC bajo DORAEl 18 de diciembre de 2025, la BaFin publicó su guía sobre los riesgos TIC en el uso de la IA. No es vinculante, pero muestra en 38 páginas cómo pueden aplicar las entidades financieras los requisitos de DORA a los sistemas de IA: desde la gobernanza, pasando por las pruebas y los contratos en la nube, hasta la notificación de incidentes. La hemos analizado y hemos publicado una página de conocimiento interactiva y un whitepaper para CISO.Directrices de la EBA sobre riesgo de terceros 2026: lo que las entidades financieras deben saber ahora sobre los proveedores no TICEl 18 de septiembre de 2026, la EBA sustituyó sus Directrices sobre externalización de 2019 por EBA/GL/2026/09: todo servicio no TIC recurrente que sostenga una función queda ahora bajo un marco coherente con DORA, con registro, catálogo de cláusulas, reglas de subcontratación y un periodo transitorio de dos años. Hemos analizado el informe final y publicado una página de conocimiento interactiva junto con un whitepaper para CISOs.VamiSec presente en Tallin: Trust Services and eID Forum & CA-Day 202615–16 de septiembre, Kultuurikatel Tallin: ENISA, la Comisión Europea, D-Trust y TÜV NORD Cert reúnen a la comunidad europea de la confianza — eIDAS 2.0, EUDI Wallet, European Business Wallet, interfaces con el CRA y poscuántica. Estamos allí y traducimos lo que significa para su cumplimiento.MID-Digitale Sicherheit: 50 % de subvención para pentests, formaciones y protección TI básicaNueva página: el programa del Land NRW subvenciona medidas de seguridad TI con un 50 % (4.000–15.000 €) — del análisis de situación con test de penetración a las formaciones de seguridad y la primera adquisición de hardware y software. Adjudicación por sorteo mensual a través del NRW.BANK — le acompañamos desde la manifestación de interés hasta la justificación.MID-Digitalisierung: 50 % de subvención para desarrollar productos digitalesEl programa del Land NRW subvenciona con un 50 % (4.000–15.000 €) los servicios externos para desarrollar productos digitales comercializables basados en tecnologías clave como la IA — adjudicación por sorteo mensual. VamiSec desarrolla como contratista con security by design y conformidad CRA/AI Act desde el primer sprint.Hasta 15.000 € de subvención: consultoría GRC vía MID-Digitale Prozesse (NRW)El programa del Land NRW «Mittelstand Innovativ & Digital» subvenciona la consultoría externa para digitalizar sus procesos GRC — de los gap análisis de NIS2, CRA, AI Act e ISO 27001 a la hoja de ruta, la selección de herramienta y la implantación de VamiGRC. La subvención puede cubrir hasta el 100 % de la consultoría. Convocatoria 2026: solicitudes del 07.09 al 01.12.2026 a través del NRW.BANK — le acompañamos en todo el proceso.VamiSec es PECB Training Partner acreditado — más de 300 certificaciones oficiales (ISO 27001, NIS 2, EU AI Act y más)VamiSec GmbH es PECB Training Partner acreditado y ofrece más de 300 certificaciones reconocidas internacionalmente — desde ISO 27001 y NIS 2 hasta el EU AI Act — impartidas por Lead Auditors en activo que viven estos estándares cada día en proyectos de clientes.Grundschutz++ ahora disponible como servicio de asesoríaOfrecemos a partir de ahora Grundschutz++ como servicio integrado de asesoría — la combinación de BSI IT-Grundschutz e ISO 27001, implementada en el Vami IMS Framework. Un sistema de gestión, dos objetivos de certificación, sin duplicación.VamiSec oficialmente certificado según ISO/IEC 27001:2022VamiSec está oficialmente certificado según ISO/IEC 27001:2022 — realizado por Proks Certification GmbH. Ámbito: servicios de asesoría en el área de seguridad de la información, productos digitales así como el procesamiento de datos de cliente. Seguridad de la información y conformidad como base para la confianza.
Compliance con sistema, no con archivadores
En la primera consulta le mostramos cómo sus requisitos de estándares y de regulación convergen en un sistema de gestión integrado y auditable.