Blog de Hard2bit sobre ciberseguridad, cumplimiento normativo (DORA, NIS2, ENS, ISO 27001) y operación técnica.
Filtrar por categoría
Verizon rebajó 350 millones el precio de Yahoo por dos brechas; Marriott heredó la sanción de Starwood. Qué evaluar, cómo cifrarlo y cómo llevarlo al contrato.
Verizon cut US$350m from the Yahoo price over two breaches; Marriott inherited Starwood's penalty. What to assess, how to price it and how to get it into the agreement.
What does cybersecurity really do for a business? In 2026 it has stopped being an IT cost and become a key to winning contracts, a shield against losses and an engine of trust.
¿Qué aporta de verdad la ciberseguridad a una empresa? En 2026 ha dejado de ser un gasto de informática para convertirse en llave de acceso a contratos, escudo frente a pérdidas y motor de confianza.
El Cyber Resilience Act estrena su régimen de notificación el 11 de septiembre: 24 horas para avisar de un fallo explotado. Obliga a quien fabrica producto, no solo a los operadores de NIS2.
The Cyber Resilience Act switches on its reporting regime on 11 September: 24 hours to flag an exploited vulnerability. It binds product makers, not only NIS2 operators.
El 2 de agosto de 2026 se aplica el artículo 50 del Reglamento de IA. No va solo de grandes tecnológicas: si operas un chatbot o publicas contenido generado con IA, la transparencia también te obliga.
On 2 August 2026 Article 50 of the EU AI Act starts to apply. It is not only about big tech: if you run a chatbot or publish AI-generated content, the transparency duty is yours too.
CISA, el FBI y la EPA han actualizado la alerta AA26-097A: actores afiliados a Irán manipulan PLCs expuestos a Internet en agua, energía y administración. Qué implica para tu OT.
CISA, the FBI and the EPA have updated advisory AA26-097A: Iran-linked actors are manipulating internet-exposed PLCs across water, energy and government. What it means for your OT.
A comparison of cybersecurity providers in Spain, with the criteria, the fit of each profile and the evidence to request — including where we are not the right answer.
Google disclosed that Gemini was questioned over a hundred thousand times to clone its reasoning. No intrusion, no malware: the IP walked out through the front door.
Google reveló que interrogaron a Gemini más de cien mil veces para clonar su lógica. Sin intrusión ni malware: la propiedad intelectual salió por la puerta principal.
What compliance software must actually deliver for ISO 27001, ENS, NIS2 and DORA: document control, risk, controls, evidence, audit, traceability and where AI genuinely helps.
Qualys ha publicado RefluXFS, una escalada a root en el sistema de ficheros XFS que afecta por defecto a RHEL, Fedora y Amazon Linux y no deja rastro en los registros del kernel.
Qualys has disclosed RefluXFS, a root privilege escalation in the XFS filesystem that affects default RHEL, Fedora and Amazon Linux installs and leaves no trace in the kernel logs.
NIS2 makes the board personally accountable: approve, oversee, answer. What directors must approve and document to protect themselves, article by article.
NIS2 hace personalmente responsable al consejo de administración: aprobar, supervisar y responder. Qué debe aprobar y documentar la dirección para protegerse.
The European Commission has referred Ireland, Spain, France and the Netherlands to the CJEU over NIS2. What already binds organisations, and what to build now.
La Comisión Europea ha llevado a España ante el Tribunal de Justicia por no transponer NIS2. Qué obligaciones existen ya y qué se puede construir sin esperar al BOE.
Brussels did not pass a law. It published an execution policy linking the AI Act to NIS2, DORA and the CRA. The nine actions, the deadlines and the operating shift it demands of CISOs.
La Comisión no ha aprobado una ley, sino una política de ejecución que conecta el AI Act con NIS2, DORA y CRA. Sus nueve actuaciones, los plazos y el cambio operativo que exige a los CISO.
Un informe de pentesting no se lee por el número de hallazgos. Severidad real, CVSS v4.0, EPSS, falsos positivos, priorización y qué exigir a tu proveedor para remediar lo que importa.
A penetration testing report is not read by the number of findings. Real severity, CVSS v4.0, EPSS, false positives, prioritisation and what to demand from your provider to fix what matters.
A professional penetration test has no single price. Realistic market ranges, day rates, the factors that move the budget and how to buy penetration testing well.
Shadow AI already drives 20% of breaches and adds up to 670,000 dollars per incident. What it is, why you cannot see it and how to govern it without slowing your team.
La IA en la sombra ya causa el 20% de las brechas y suma hasta 670.000 $ por incidente. Qué es, por qué no la ves y cómo gobernarla sin frenar a tu equipo.
An operational guide to turning NIS2 obligations into executable controls, with audit-ready evidence and reporting that is genuinely useful to leadership.
The 93 Annex A controls are not implemented all at once. These four remove the most risk per hour invested and leave auditable evidence within weeks.
What to automate in an ISMS and what must stay human, with the control design step that stops you ending up with data nobody reviews.
NIS2 does not only affect large operators: many supplier SMEs will have to demonstrate controls, incident response and third-party management, often through their larger customers.
What an AI compliance platform must actually deliver, how to evaluate one, and the question about model governance that almost nobody asks the vendor.
A complete step-by-step guide to implementing ISO 27001: scope, risk assessment, controls, documentation, internal audit and certification, and how to approach it realistically.
LLMs, copilots and vibe coding are already in companies, faster than their controls. The real risks to data, code and governance, plus the shadow-AI controls to put in place.
How recent conflicts in Ukraine and Iran shape European cybersecurity: resilience, critical infrastructure, third parties, spillover and the lessons for businesses.
What a breach linked to the European Commission reveals about supply chain, API keys, third parties, cloud, monitoring and compliance under NIS2, DORA, ENS and ISO 27001.
A practical model to prioritise OT/IT risk for European manufacturers: critical processes, remote access, NIS2, IEC 62443, metrics and a realistic roadmap.
Vulnerability management does not fail for lack of scanners, but for poor prioritisation. What to fix first, using exploitation, exposure, asset criticality and compromised credentials.
A web security checklist to review TLS, HTTP headers, DNS, DMARC, cookies, technologies, CVEs, cloud exposure, leaks, subdomains, reputation and AI readiness with Hard2bit Scanner.
An IT security audit identifies vulnerabilities, misconfigurations and risks that can compromise a company's systems. A practical checklist of what to review and the common failings.
Treating cybersecurity and compliance as separate functions no longer works. Why NIS2, DORA and modern risk management demand unified controls, evidence, governance and operations.
In 2026 most incidents combine credential theft, abuse of privileged access and resilience gaps. A practical guide to prioritising measures and aligning with NIS2 and DORA.
A red team exercise does not hunt for vulnerabilities: it validates whether your SOC detects them. The key differences, the metrics that matter and when it is worth it.
A practical set of questions for evaluating a cybersecurity provider, MSSP or software product in 2026. Reduce hidden risk and buy with more judgement, operation and control.
Scanning for vulnerabilities is not managing risk. How to prioritise, remediate and evidence vulnerabilities in ENS, NIS2, ISO 27001 and enterprise environments.
What penetration testing is, the types that exist, how a test is run, the methodology behind it and when it genuinely makes sense for an organisation.
What a Security Operations Centre really is, the service levels it should offer and how it maps to NIS2, DORA and ENS: monitoring, managed security and forensic investigation.
Vulnerability management is not just running a scanner. It includes inventory, detection, risk-based prioritisation, remediation, verification, exceptions, reporting and continuous follow-up.
Healthcare is Europe's most ransomware-hit sector and an essential entity under NIS2. What ENISA's data shows, what the law demands and how to protect a hospital group without disrupting care.
La sanidad es el sector con más ransomware de Europa y una entidad esencial bajo NIS2. Qué revela ENISA, qué exige la norma y cómo proteger un grupo hospitalario sin frenar la asistencia.
A practical 12-KPI cyber resilience dashboard for the Board: what to measure, how to present it, and how to use it to drive decisions on risk, investment and strategy.
Aprende cómo implantar CTEM para pasar del escaneo de vulnerabilidades a una gestión continua de exposición, priorizada por riesgo real y alineada con cumplimiento.
Modelo práctico de reporting al Consejo con 12 KPI de ciberresiliencia conectados a decisiones, inversión y responsabilidad ejecutiva.
Escanear vulnerabilidades no es gestionar el riesgo. Aprende cómo priorizar, remediar y evidenciar vulnerabilidades en ENS, NIS2, ISO 27001 y entornos empresariales.
Qué debe tener un software de compliance para gestionar ISO 27001, ENS, NIS2 y DORA: documentación, riesgos, controles, evidencias, auditorías, trazabilidad e IA.
Análisis del impacto de los últimos conflictos en Ucrania e Irán sobre la ciberseguridad europea: resiliencia, infraestructuras críticas, terceros, spillover y lecciones para empresas.
No todos los proveedores cuentan con certificación ENS y, entre quienes sí la tienen, no todos ofrecen el mismo valor. El alcance certificado es clave para entender la diferencia real.
Descubre qué es un pentesting o test de intrusión, qué tipos existen, cómo se ejecuta, qué metodología se usa y cuándo tiene sentido hacerlo en una empresa.
Analizamos la brecha vinculada a la Comisión Europea y qué revela sobre supply chain, API keys, terceros, cloud, monitorización y cumplimiento en NIS2, DORA, ENS e ISO 27001.
Separar ciberseguridad y compliance ya no funciona. Descubre por qué NIS2, DORA y la gestión moderna del riesgo exigen unir controles, evidencia, gobierno y operación.
Descubre qué es un SOC, qué niveles de servicio debe ofrecer y cómo encaja con NIS2, DORA y ENS: monitorización, seguridad gestionada e investigación forense.
Un ejercicio de Red Team no busca vulnerabilidades: valida si tu SOC las detecta. Diferencias clave, métricas y cuándo tiene sentido para una empresa mediana.
Guía realista sobre cuánto cuesta un pentesting en 2026: precios orientativos, factores que cambian el presupuesto y claves para comparar proveedores con criterio técnico.
No todas las empresas de ciberseguridad encajan igual cuando una organización necesita combinar capacidades técnicas y cumplimiento. Comparamos qué tipo de proveedor encaja mejor según el caso.
Guía práctica de ENS para SaaS: cuándo aplica, cómo determinar nivel Medio y cómo certificarte si trabajas con la Administración Pública sin sobredimensionar el proyecto.
Ciberseguridad para empresas: claves para reducir riesgos, priorizar inversiones y mejorar la protección, el cumplimiento y la respuesta ante incidentes.
La gestión de vulnerabilidades no consiste solo en pasar un escáner. Incluye inventario, detección, priorización por riesgo, remediación, validación, excepciones, reporting y seguimiento continuo.
Qué organizaciones deben cumplir el ENS y en qué casos afecta también a empresas privadas y proveedores tecnológicos. Guía práctica sobre alcance, contratos públicos y errores habituales.
Los LLMs, copilots y el vibe coding ya están en las empresas, más rápido que sus controles. Analizamos los riesgos reales de seguridad, datos, código y gobierno en shadow AI.
21 preguntas para evaluar un proveedor de ciberseguridad, MSSP o software en 2026. Reduce riesgo oculto y compra con más criterio, operación y control.
Implantación ISO 27001. En esta guía completa explicamos el proceso de implantación: alcance, análisis de riesgos, controles, documentación, auditoría interna y certificación.
Hard2bit participa en ASLAN2026 como expositor y presenta Cortexwork y NormexAI, dos soluciones basadas en IA orientadas a riesgo humano, productividad ética, compliance y evidencias audit-ready.
Qué servicios debe ofrecer una empresa de ciberseguridad moderna: auditoría, pentesting, SOC, cloud, Microsoft 365, identidad, incident response y compliance con enfoque práctico.
Qué automatizar en un SGSI y qué debe seguir siendo humano, con el diseño de control previo que evita acabar con datos que nadie revisa.
Qué debe tener de verdad una plataforma de cumplimiento con IA, cómo evaluarla y la pregunta sobre gobierno del modelo que casi nadie le hace al proveedor.
Guía operativa de NIS2 para convertir obligaciones en controles ejecutables, con evidencia audit-ready y reporting útil para dirección.
Cómo cumplir NIS2 en España: guía práctica para empresas en 2026. En esta guía explicamos qué exige NIS2 y cómo puede prepararse una empresa para cumplir con la normativa.
Cómo mejorar soporte y operaciones IT usando impacto de negocio, criticidad y riesgo para decidir mejor cada intervención.
La NIS2 no solo afecta a grandes operadores: muchas pymes proveedoras en España deberán demostrar controles, respuesta a incidentes y gestión de terceros.
Los 93 controles del Anexo A no se implantan a la vez. Estos cuatro reducen más riesgo por hora invertida y dejan evidencia auditable en semanas.
En 2026, la mayoría de incidentes combinan robo de credenciales, abuso de accesos privilegiados y fallos en resiliencia. Guía práctica para priorizar medidas y alinear NIS2/DORA.
Antes de irte…
Tenemos un 100% de éxito en implantaciones de Normativa. Si quieres, te damos un diagnóstico rápido (15 min) y te decimos qué priorizar: M365, vulnerabilidades, SOC y/o DORA/NIS2/ENS/ISO 27001.
Sin spam. Respuesta en 24h.
