empresa de ejemplo ficticia

Complass en Kellenbach: un recorrido en siete capítulos

Kellenbach Maschinenbau es ficticia; las imágenes muestran el portal real con los datos de ejemplo de la empresa. En cada paso verá cómo suele hacerse hoy y qué cambia con Complass. Recorra los capítulos a su ritmo; cada uno puede iniciarse por separado.

Empresa familiar, 380 empleados, dos plantas en Hagen e Iserlohn
Entidad importante según NIS2
Fabricante según la CRA y el Reglamento de Máquinas, con su propio KB Connect Gateway

Iniciar el recorrido

Capítulo

Resumen Todos los marcos normativos en un solo portal 3 pasos Inicio recomendado
De la brecha a la medida Análisis de brechas, aplicabilidad, medidas 4 pasos
Incidente con plazo de notificación Un incidente NIS2 en curso 2 pasos
Producto propio (CRA) KB Connect Gateway y KB Insight 5 pasos
Planta de Hagen (OT) Zonas, conductos y niveles de seguridad 2 pasos
Riesgos Evaluar, tratar, informar 3 pasos
Auditoría y acceso Evidencias y permisos 2 pasos

Capítulo 1

Resumen: Todos los marcos normativos en un solo portal

Dashboard de Kellenbach con progreso global, próxima auditoría, tareas abiertas, nivel de madurez y plazos de notificación en curso

Resumen · 1 de 3

El estado de Kellenbach en una sola página

Habitual hoy: Quien quiere saber en qué punto se encuentra la empresa reúne cifras de hojas de cálculo, correos y carpetas de proyecto.
Con Complass: El dashboard muestra el progreso global, la próxima auditoría, las tareas abiertas y el nivel de madurez de todos los proyectos. Debajo corren los plazos de notificación del incidente actual, y cada tarjeta lleva directamente a la lista correspondiente.

20 Marcos normativos en el portal

Progreso global de todos los proyectos
Plazos de notificación en curso

Vista general de marcos normativos: medidas transversales y los proyectos en los que cuentan

Resumen · 2 de 3

Implantar una vez, acreditar para cada marco normativo

Habitual hoy: ISO 27001, NIS2 y la CRA exigen muchas cosas por duplicado, y cada requisito se gestiona en una lista propia.
Con Complass: La vista general de marcos normativos asigna a cada medida transversal los proyectos en los que cuenta. Lo que se ha implantado y acreditado una vez surte efecto en cada marco normativo que lo exige.

Medidas transversales
Efecto por proyecto

Proyecto ISO 27001 para las plantas de Hagen e Iserlohn con progreso, siguiente paso y fases

Resumen · 3 de 3

Un proyecto por marco normativo, paso a paso hasta la auditoría

Habitual hoy: El plan del proyecto está en manos de una sola persona, y solo ella sabe qué viene a continuación.
Con Complass: El proyecto ISO 27001 para ambas plantas muestra el progreso de cada fase y el siguiente paso abierto, con un clic para seguir trabajando. La preauditoría y la auditoría de certificación figuran como fechas en el proyecto.

Su siguiente paso
Fases hasta la auditoría

Capítulo 2

De la brecha a la medida: Análisis de brechas, aplicabilidad, medidas

Análisis de brechas con escala de madurez y evaluación por área

De la brecha a la medida · 1 de 4

¿Dónde se encuentra hoy Kellenbach?

Habitual hoy: El análisis de brechas es el resultado de un taller que pasados unos meses nadie vuelve a actualizar.
Con Complass: Cada medida transversal se evalúa desde «inexistente» hasta «eficaz y revisada», con objetivo y justificación. Complass muestra dónde están las mayores brechas y, si lo desea, las incorpora directamente al plan de medidas.

Escala de madurez
Evaluación por área

Declaración de aplicabilidad según el anexo A de ISO 27001 con estado de evaluación y exportación

De la brecha a la medida · 2 de 4

La declaración de aplicabilidad como documento controlado

Habitual hoy: La declaración de aplicabilidad es un archivo de Excel cuyas justificaciones nadie sabe ya atribuir en la siguiente auditoría.
Con Complass: Para cada control del anexo A, el catálogo recoge si es aplicable, por qué, en qué medida está implantado y dónde se encuentra la evidencia. Tras su revisión, la declaración se aprueba como versión y se exporta a Word, Excel o PDF.

Estado de evaluación del catálogo
Exportación a Word, Excel y PDF

Plan de medidas con filtros, responsables, fechas de vencimiento y prioridades

De la brecha a la medida · 3 de 4

Cada brecha se convierte en una tarea con nombre y fecha

Habitual hoy: Las tareas derivadas de la auditoría y del análisis de brechas se dispersan entre correos, notas de reuniones y tickets.
Con Complass: El plan de medidas reúne todas las tareas con responsable, fecha de vencimiento, prioridad y el marco normativo que las exige. Los responsables reciben un correo al asignárseles la tarea y un recordatorio antes del vencimiento; lo vencido salta a la vista de inmediato.

Tareas con responsable y fecha de vencimiento
Filtro por marco normativo, prioridad y persona

Comentarios con menciones y una consulta resuelta en una tarea

De la brecha a la medida · 4 de 4

Consultas allí donde está el trabajo

Habitual hoy: La coordinación sobre una medida se hace por correo y en la siguiente auditoría ya no es posible encontrarla.
Con Complass: Los comentarios con menciones figuran directamente en la tarea y una consulta se marca como resuelta. Así, en la auditoría queda claro quién revisó y decidió qué.

Comentarios en la tarea

Capítulo 3

Incidente con plazo de notificación: Un incidente NIS2 en curso

Lista de incidentes con el incidente de ransomware en curso y su próximo plazo de notificación

Incidente con plazo de notificación · 1 de 2

Ransomware en los servidores de archivos de la administración

Habitual hoy: En una emergencia, el equipo debe aclarar primero si hay que notificar, a quién y antes de cuándo.
Con Complass: El incidente en curso está registrado, evaluado como notificable conforme a NIS2 y muestra el próximo plazo con el tiempo restante. Los incidentes cerrados, entre ellos un caso de la CRA en la pasarela propia, siguen siendo trazables con todas sus notificaciones.

3 Incidentes del ejemplo

Incidente abierto con su próximo plazo
Plazos a la vista

Fases de notificación del incidente NIS2 con plazos, alerta temprana presentada y notificación pendiente

Incidente con plazo de notificación · 2 de 2

Las fases de notificación según NIS2 con sus plazos

Habitual hoy: Alguien calcula los plazos a mano bajo presión de tiempo, y lo presentado consta en un correo.
Con Complass: Complass calcula los plazos desde el momento en que se tiene conocimiento del incidente: alerta temprana, notificación y informe final. Las fases presentadas figuran con la hora y el número de expediente; la notificación en sí se envía, como está prescrito, a través del portal de la autoridad competente.

Próximo plazo
Fases de notificación según NIS2

Capítulo 4

Producto propio (CRA): KB Connect Gateway y KB Insight

Lista de vulnerabilidades con CVSS, KEV, prioridad, fecha de vencimiento y responsables

Producto propio (CRA) · 1 de 5

Vulnerabilidades por urgencia, no por orden de llegada

Habitual hoy: Los informes de los escáneres llegan en PDF, y qué hallazgo se corrige primero lo decide la intuición.
Con Complass: Todos los hallazgos figuran en una lista con CVSS, indicador de vulnerabilidades explotadas activamente (KEV), prioridad, plazo y responsables. Arriba aparece lo que se está explotando y es accesible.

Hallazgos por prioridad

Hallazgo en el portal de clientes KB Insight con CVSS, KEV, decisión SSVC y activo afectado

Producto propio (CRA) · 2 de 5

Un hallazgo con todo lo que necesita la decisión

Habitual hoy: El número CVE, la evaluación y el sistema afectado figuran en tres herramientas distintas.
Con Complass: El hallazgo en el portal de clientes propio, KB Insight, muestra la evaluación, la entrada KEV y la decisión SSVC junto al activo afectado y su accesibilidad desde internet. Así queda justificado por qué se trata de inmediato.

Evaluación de la vulnerabilidad
Activo afectado

Medidas recomendadas para un hallazgo con fuente y «Adoptar como medida»

Producto propio (CRA) · 3 de 5

Del hallazgo a la medida

Habitual hoy: Lo que hay que hacer está disperso en avisos de fabricantes, bases de datos y foros.
Con Complass: Cada hallazgo incluye las medidas recomendadas con su fuente: actualización del fabricante, requisito de la CISA, medida general para el tipo de vulnerabilidad. Con un clic se convierte en una tarea con plazo.

Medidas recomendadas con su fuente

SBOM del firmware de KB Connect con componentes, licencias y vulnerabilidades abiertas

Producto propio (CRA) · 4 de 5

La SBOM de KB Connect Gateway

Habitual hoy: Qué componentes lleva el firmware lo sabe el desarrollo; la gestión de producto y el soporte no lo saben.
Con Complass: La SBOM muestra el firmware con el gestor de arranque, el kernel y las bibliotecas, sus licencias y las vulnerabilidades abiertas. Se importa desde CycloneDX, se contrasta de forma continua con las nuevas vulnerabilidades y se exporta en formato estándar.

Componentes del firmware
Exportación en formato estándar

Aviso de seguridad de un fabricante de ejemplo con los activos propios afectados

Producto propio (CRA) · 5 de 5

Asignar los avisos de fabricantes a los propios dispositivos

Habitual hoy: Los avisos de seguridad de los proveedores llegan por correo, y alguien comprueba a mano si los dispositivos propios están afectados.
Con Complass: Los avisos en formato CSAF se importan y se asignan a los activos propios según el modelo y la versión. La lista muestra de inmediato qué dispositivo está afectado y cuál sigue en investigación.

Sus activos afectados
Exportar

Capítulo 5

Planta de Hagen (OT): Zonas, conductos y niveles de seguridad

Zonas y conductos de la planta de Hagen con indicadores y plano de red por niveles de Purdue

Planta de Hagen (OT) · 1 de 2

Zonas y conductos con nivel objetivo y nivel alcanzado

Habitual hoy: El modelo de zonas es un dibujo del último proyecto que ya no es correcto tras la siguiente reforma.
Con Complass: La planta de Hagen está dividida en zonas y conductos conforme a IEC 62443. Complass muestra las brechas entre el nivel de seguridad objetivo y el alcanzado, así como el tráfico observado sin un conducto autorizado, también en el plano de red por niveles de Purdue.

Zonas, conductos y brechas de SL
Plano de red por niveles de Purdue

Inventario de activos con zona, responsable y necesidad de protección

Planta de Hagen (OT) · 2 de 2

Un inventario para TI y OT

Habitual hoy: TI se ocupa de los servidores, y cada planta lleva en una lista propia las máquinas y los controladores.
Con Complass: Servidores, puestos de trabajo, controladores y paneles de operador figuran en un único inventario con zona, necesidad de protección y responsable. Pendiente y visible: los activos de la planta de Iserlohn aún no tienen zona; el proyecto OT correspondiente sigue en 2027.

38 activos registrados

Inventario con zona y necesidad de protección

Capítulo 6

Riesgos: Evaluar, tratar, informar

Registro de riesgos con evaluación y tratamiento

Riesgos · 1 de 3

Un registro de riesgos para toda la empresa

Habitual hoy: Los riesgos figuran en una lista que se actualiza una vez al año para la auditoría.
Con Complass: Cada riesgo tiene evaluación, tratamiento, propietario del riesgo y fecha de la próxima revisión, vinculados con activos, vulnerabilidades y medidas. El registro, el mapa de calor y el método están en una misma página.

12 riesgos evaluados

Registro de riesgos
Registro, mapa de calor y método

Mapa de calor con el riesgo inherente y el riesgo residual lado a lado

Riesgos · 2 de 3

Antes y después de un vistazo

Habitual hoy: Para la dirección, el mapa de calor se vuelve a montar cada trimestre en una presentación.
Con Complass: El mapa de calor se genera a partir del registro: a la izquierda, el riesgo inherente; a la derecha, el riesgo residual tras las medidas implantadas. Un clic en una cifra abre los riesgos que hay detrás.

Riesgo inherente y riesgo residual

Evaluación de un riesgo con propuesta no vinculante y sus motivos

Riesgos · 3 de 3

Una propuesta de evaluación; la decisión se queda en la empresa

Habitual hoy: Cada evaluación empieza desde cero, y cada departamento evalúa con su propio criterio.
Con Complass: Complass deduce una propuesta a partir de la necesidad de protección y la exposición de los activos vinculados y de las vulnerabilidades abiertas, e indica los motivos. La propuesta no es vinculante; los especialistas de la empresa la adoptan o la ajustan.

Propuesta con justificación

Capítulo 7

Auditoría y acceso: Evidencias y permisos

Exportación de auditoría con el alcance del paquete

Auditoría y acceso · 1 de 2

El paquete de auditoría bajo demanda

Habitual hoy: Antes de la auditoría, alguien pasa días reuniendo documentos, listas y evidencias de distintas carpetas.
Con Complass: La exportación de auditoría reúne documentos, catálogos, registros, evidencias y protocolos en un archivo ZIP, con página de inicio y lista de sumas de verificación. Incluye únicamente lo que la persona solicitante puede leer; cada exportación queda registrada en el registro del cliente.

Alcance de la exportación

Auditoría y acceso · 2 de 2

Quién puede hacer qué, acreditado para la auditoría

Habitual hoy: Quién puede acceder a qué está repartido entre sistemas y correos, y el resumen para la auditoría se elabora de nuevo cada vez.
Con Complass: Para cada persona y área queda establecido: sin acceso, lectura o escritura, además de permisos especiales como exportar o aprobar. El resumen se puede filtrar y exportar como evidencia.

¿Quién puede hacer qué?
Permisos por área

Su siguiente paso: Vea Complass con su ejemplo

En la demostración le mostramos Complass con un proyecto de ejemplo adaptado a sus marcos normativos. O compruebe primero qué marcos normativos le afectan.

Solicitar una demo Comprobar la aplicabilidad Precios