Directiva NIS 2 Foundation

Diez preguntas de muestra del examen

Una de cada dominio de competencia, tal como salen en el simulador.

1. Dominio 2: Planificación de la implantación de NIS 2

   El órgano de dirección de una entidad sujeta a la Directiva aprueba las medidas para la gestión de riesgos de ciberseguridad y deja después toda la ejecución en manos del departamento de informática, sin ninguna intervención posterior. ¿Qué deber del órgano de dirección se está incumpliendo?

   1. Redactar las especificaciones técnicas de cada medida antes de su despliegue.
   2. Trasladar su responsabilidad jurídica al responsable del departamento que ejecuta materialmente el trabajo.
   3. Certificar la entidad conforme a una norma internacional de gestión.
   4. Supervisar de manera continuada la puesta en práctica de las medidas aprobadas.

2. Dominio 1: Conceptos y definiciones fundamentales de NIS 2

   Un programa de secuestro de datos llegó al servidor de archivos de una empresa, pero la protección del puesto de trabajo lo bloqueó antes de que se cifrara ningún archivo y antes de que ningún servicio dejara de estar disponible. Según la terminología de la Directiva, ¿cómo debe clasificarse este hecho?

   1. Un incidente, porque un código malicioso alcanzó un servidor de producción.
   2. Un cuasiincidente, porque la intrusión se frenó antes de que llegara a materializarse.
   3. Un incidente significativo, porque el secuestro de datos ocasiona graves perturbaciones operativas.
   4. Una vulnerabilidad, porque el servidor resultaba alcanzable desde la red.

3. Dominio 2: Planificación de la implantación de NIS 2

   Un operador postal regional recibe de su supervisor la exigencia de determinar por sí mismo cuál es su exposición, fijar sus propios objetivos y presentar el documento resultante para su revisión, en lugar de seguir una lista prescrita de tecnologías. ¿Qué enfoque normativo se está aplicando?

   1. Enfoque basado en la gestión, porque la entidad se autorregula y el regulador evalúa.
   2. Enfoque basado en el desempeño, porque se fija la meta y no se fija el medio.
   3. Mando y control, porque hay un organismo público que revisa lo que hace el operador.
   4. Corregulación por instrucción vinculante, porque el supervisor revisa el plan y se reserva la última palabra sobre él.

4. Dominio 1: Conceptos y definiciones fundamentales de NIS 2

   ¿Qué cambio introdujo la Directiva vigente respecto de la Directiva de 2016 sobre la seguridad de las redes y sistemas de información?

   1. El deber de trasladar a las autoridades un hecho nace cuando ya causó un perjuicio medible.
   2. La notificación se abre con una alerta temprana previa al informe formal.
   3. La respuesta de las autoridades a la entidad notificante se suprimió para ganar rapidez.
   4. La cobertura sectorial se redujo a los operadores de infraestructuras críticas que ya se enumeraban en 2016.

5. Dominio 2: Planificación de la implantación de NIS 2

   Un equipo de proyecto debe determinar cómo se gestiona hoy la ciberseguridad en una organización cuyos empleados afirman que no hay nada implantado. ¿Qué combinación de actuaciones se recomienda en esa fase?

   1. Aplazar toda recogida de datos, esperar a que concluya la evaluación de riesgos, conocer primero los riesgos principales y preguntar al personal después.
   2. Encargar una prueba de intrusión externa, contratar un análisis de vulnerabilidades, recibir el informe técnico resultante y tomarlo como retrato completo de la situación.
   3. Observar los controles del emplazamiento, entrevistar a los responsables, examinar la información documentada y revisar las auditorías internas.
   4. Aceptar la declaración del personal, confiar en que trabaja a diario con los sistemas, dar por buena esa versión y registrar la ausencia total de medidas.

6. Dominio 1: Conceptos y definiciones fundamentales de NIS 2

   Una empresa ferroviaria que presta servicios de transporte de mercancías en un Estado miembro emplea a 620 personas y declara un volumen de negocios anual de 95 millones de euros. ¿Cómo se clasifica?

   1. Entidad esencial, porque supera los límites máximos de mediana empresa en un subsector de alta criticidad.
   2. Entidad importante, porque el transporte por ferrocarril aparece enumerado en el anexo de otros sectores críticos.
   3. Entidad importante, porque no rebasa a la vez los dos límites de mediana empresa.
   4. Entidad esencial, porque toda empresa que actúa en el sector del transporte recibe siempre esa condición sea cual sea su tamaño.

7. Dominio 2: Planificación de la implantación de NIS 2

   ¿Quién debe validar los objetivos de ciberseguridad de un programa de cumplimiento, y pueden esos objetivos cambiar una vez iniciado el trabajo?

   1. El jefe de proyecto los valida, y quedan fijados hasta el cierre del programa.
   2. El responsable de seguridad los valida, y solo pueden revisarse a instancia suya.
   3. La auditoría interna los valida, y se revisan tras cada ciclo de auditoría.
   4. El nivel más alto de la organización los valida en todo caso, y pueden revisarse a medida que avanza el trabajo.

8. Dominio 1: Conceptos y definiciones fundamentales de NIS 2

   ¿Qué parte del texto legal aporta los antecedentes y las orientaciones interpretativas que ayudan a entender los requisitos vinculantes, sin imponer ella misma ningún requisito?

   1. El articulado, cuyas disposiciones numeradas se agrupan en capítulos.
   2. Los considerandos, párrafos numerados que preceden a la parte dispositiva del texto legal.
   3. Los anexos, cuya ordenación responde a sectores desglosados en subsectores.
   4. La tabla de correspondencias, que dice de qué modo se ha de leer hoy la norma de 2016.

9. Dominio 2: Planificación de la implantación de NIS 2

   Un equipo que prepara el análisis del contexto de una organización quiere una sola herramienta que separe lo que procede del interior de la organización de lo que procede de su entorno. ¿Qué herramienta lo hace por diseño?

   1. Las cinco fuerzas de Porter, que ponderan la rivalidad sectorial y la presión del entorno.
   2. La escala de madurez, que puntúa cada uno de los procesos entre lo inexistente y lo optimizado.
   3. El análisis PEST, que examina el entorno político y las demás fuerzas del mercado.
   4. El análisis DAFO, cuyos dos primeros cuadrantes describen la organización y los otros dos su entorno.

10. Dominio 1: Conceptos y definiciones fundamentales de NIS 2

    Una entidad ya certificada conforme a la norma de sistemas de gestión de la seguridad de la información pregunta qué documento le dará un conjunto de referencia de controles genéricos junto con orientaciones para implantarlos. ¿A cuál se le debe remitir?

    1. ISO/IEC 27002, aplicable dentro de un sistema de gestión como base de buenas prácticas reconocidas.
    2. ISO/IEC 27005, aplicable para cumplir los requisitos sobre tratamiento del riesgo.
    3. ISO/IEC 27701, aplicable como extensión dedicada a la gestión de información de privacidad.
    4. ISO 22301, aplicable para protegerse frente a perturbaciones importantes con vistas a la recuperación.

Responda estas mismas diez preguntas en el simulador y vea la explicación de cada opción, también de las incorrectas. Se abre sin registro →

Sobre el examen oficial: el formato, la duración y el número de preguntas los fija el organismo que certifica y pueden cambiar, así que conviene confirmarlos en su documentación antes de presentarse. Este material entrena la norma, no el examen de un organismo concreto, de modo que sirve igual si se certifica con otro.