TranscribIA y la Directiva NIS2.
La Directiva (UE) 2022/2555, conocida como «NIS2», refuerza las obligaciones de ciberseguridad de las entidades esenciales e importantes, entre ellas las administraciones y entidades públicas locales. TranscribIA, solución francesa de transcripción de audio, se ha diseñado para organizaciones que deben integrar sus herramientas en un proceso formal de gestión de riesgos. Esta página describe, sin exagerar las garantías, cómo sus medidas técnicas verificables pueden contribuir a ese cumplimiento.
Marco europeo
La Directiva NIS2 en pocas palabras
NIS2 designa la Directiva (UE) 2022/2555 de 14 de diciembre de 2022, que deroga la Directiva NIS original (UE) 2016/1148 y amplía su ámbito. Persigue un elevado nivel común de ciberseguridad en la Unión e impone a determinadas entidades obligaciones reforzadas: gestión de riesgos, medidas técnicas y organizativas de seguridad, notificación de incidentes, responsabilidad de los órganos de dirección y seguridad de la cadena de suministro.
Como toda directiva europea, NIS2 se transpone al Derecho nacional por cada Estado miembro. En Francia, las entidades afectadas se designan y regulan por la legislación nacional de transposición; los umbrales y las modalidades de designación dependen de ese marco nacional. Por tanto, TranscribIA no se pronuncia sobre los umbrales exactos e invita a cada organización a verificar su situación ante la autoridad nacional competente.
Los requisitos de seguridad para las entidades incluidas abarcan: política de gestión de riesgos, gestión de incidentes y continuidad, seguridad de redes y sistemas, criptografía, control de acceso y autenticación, higiene informática, formación y sensibilización, y seguridad de la cadena de suministro.
Entidades públicas
Administración pública, entidades locales y organismos públicos
NIS2 amplía notablemente el ámbito del sector público respecto a NIS1. Las entidades deadministración pública están expresamente contempladas: el marco europeo comprende las administraciones centrales y, bajo determinadas condiciones de evaluación de riesgos, las regionales. Los Estados miembros también pueden incluir las administraciones locales. El ámbito y la clasificación de cada entidad deben verificarse en el Derecho nacional aplicable ante la autoridad competente. Estas entidades deben implantar medidas adecuadas y proporcionadas al riesgo, regular la responsabilidad de su dirección y notificar los incidentes significativos según plazos precisos.
Para una administración local u organismo público, elegir una herramienta de transcripción de audio exige poder justificar las medidas de seguridad, la trazabilidad y el control de los datos tratados, incluidos los que contienen intervenciones de cargos electos, empleados o usuarios. TranscribIA se centra precisamente en este caso de uso: procesamiento soberano, aislado y auditable de grabaciones sensibles.
Medidas técnicas
Controles verificables relacionados con los requisitos NIS2
Comprar un software no basta para establecer el cumplimiento NIS2 de una organización. Algunos proveedores también pueden estar incluidos por sí mismos en el ámbito de la Directiva; esta página no constituye una certificación NIS2 del producto. Los controles siguientes se presentan como medidas técnicas que pueden contribuir al cumplimiento de su organización, bajo su responsabilidad y dentro de su propio análisis de riesgos.
Alojamiento soberano e instalación local
Gobernanza, soberanía y cadena de suministro
- SaaS alojado en Francia (jurisdicción francesa y de la UE)
- Opción de instalación local en su infraestructura, sin salida de datos
- Sin transferencias fuera de la UE por defecto
- Motores de IA configurables (nube europea o modelos locales)
Cifrado de datos
Criptografía, en tránsito y en reposo
- TLS 1.2+ obligatorio, HTTPS en todas las conexiones (en tránsito)
- Cifrado en reposo: disco NVMe y base PostgreSQL
- Copias de seguridad cifradas con age (X25519 + ChaCha20-Poly1305)
- Secretos de la aplicación protegidos (AES-256-CBC)
Autenticación reforzada y control de acceso
Autenticación multifactor y mínimo privilegio
- 2FA TOTP conforme a RFC 6238, activación configurable por rol
- RBAC de 5 niveles (principio de mínimo privilegio)
- Confirmación de contraseña para acciones destructivas
- Limitación de solicitudes, CORS estricto y política CSP
Registro, auditoría y supervisión
Trazabilidad y detección de eventos
- activity_logs por organización + audit_logs de plataforma
- Trazabilidad de todas las acciones sensibles, exportaciones CSV/JSON
- Supervisión activa 24/7 (colas, disco, certificados y dependencias)
- Alertas por Slack/correo y resumen diario
Gestión y notificación de incidentes
Gestión de incidentes y obligaciones de notificación
- Detección: ClamAV en las cargas, supervisión y pista de auditoría
- Proceso de notificación documentado (alerta temprana, notificación e informe final)
- Instantáneas antes de restaurar (protección contra sobrescrituras)
- Evaluación, contención y documentación del incidente
Resiliencia, recuperación e higiene
Continuidad de la actividad, aislamiento y actualizaciones
- Copias diarias cifradas en otra ubicación de la UE (conservación 90 días / 30 días)
- Objetivos RPO 24 h / RTO 4 h, simulacro validado y restauración granular
- Aislamiento multiinquilino: 1 esquema PostgreSQL por organización
- Actualización regular de componentes, dependencias y firmas
Dos modos de despliegue
Elegir el modo adaptado a su política NIS2
SaaS soberano (Francia)
Para administraciones y centros que buscan un servicio gestionado, soberano y rápidamente operativo.
- Alojamiento en Francia, operado por AMBASSADIA SARL
- Medidas de seguridad aplicadas y supervisadas por el editor
- Puesta en servicio inmediata, DPA y documentación de cumplimiento disponibles
- Adecuado para organizaciones sin equipo de seguridad dedicado a tiempo completo
Instalación local (su infraestructura)
Para entidades cuya política interna prohíbe el SaaS o exige una operación totalmente interna.
- Despliegue Docker autónomo, sin salida de datos
- Control total del inventario y de los controles por parte de la entidad
- El responsable de seguridad de la entidad dirige el refuerzo, los registros y las copias
- Adecuado para entornos clasificados o con fuertes exigencias de seguridad
Sea cual sea el modo, las obligaciones NIS2 siguen correspondiendo a la entidad. En instalación local, su organización asume la responsabilidad operativa de las medidas de seguridad (refuerzo, supervisión, copias y actualizaciones); en SaaS soberano, el editor opera estos controles y los documenta para sus auditorías.
Documentación y contacto
Para sus responsables de TI, seguridad y compras públicas
El expediente completo de cumplimiento — registro de actividades de tratamiento, modelo de DPA, medidas de seguridad, política de conservación, subencargados y esquemas de arquitectura — es público y no requiere crear una cuenta. Nuestro equipo le acompaña en el análisis NIS2 de su organización.
Editor: AMBASSADIA SARL (Mónaco). Contacto de cumplimiento: contact@transcribia.eu.