empresa de ejemplo ficticia

Complass en Kellenbach: un recorrido en 11 capítulos

Las imágenes muestran el portal real con los datos de ejemplo de Kellenbach Maschinenbau. Elija un capítulo: los pasos avanzan solos y puede hacer una pausa en cualquier momento. Cada paso muestra cómo suele hacerse hoy y qué cambia con Complass.

Iniciar el recorrido

Capítulo

Resumen Todos los marcos normativos en un solo portal 3 pasos Inicio recomendado
De la brecha a la medida Análisis de brechas, aplicabilidad, medidas 4 pasos
Trabajar en Teams y Jira Tareas y plazos en sus herramientas habituales 2 pasos
Incidente con plazo de notificación Un incidente NIS2 en curso 2 pasos
Producto propio (CRA) KB Connect Gateway y KB Insight 5 pasos
Cadena de suministro Evaluar a los proveedores sin perder de vista sus evidencias 3 pasos
Planta de Hagen (OT) Zonas, conductos y niveles de seguridad 2 pasos
Riesgos Evaluar, tratar, informar 3 pasos
Dirección Obligaciones de la dirección según NIS2 3 pasos
Auditoría y acceso Evidencias y permisos 2 pasos
Evidencias automáticas Comprobaciones desde sus propios sistemas 3 pasos

Empresa familiar, 380 empleados, dos plantas en Hagen e Iserlohn
Entidad importante según NIS2
Fabricante según la CRA y el Reglamento de Máquinas, con su propio KB Connect Gateway

Capítulo 1

Resumen: Todos los marcos normativos en un solo portal

Dashboard de Kellenbach con progreso global, próxima auditoría, tareas abiertas, nivel de madurez y plazos de notificación en curso

Resumen · 1 de 3

El estado de Kellenbach en una sola página

Habitual hoy: Quien quiere saber en qué punto se encuentra la empresa reúne cifras de hojas de cálculo, correos y carpetas de proyecto.
Con Complass: El dashboard muestra el progreso global, la próxima auditoría, las tareas abiertas y el nivel de madurez de todos los proyectos. Debajo corren los plazos de notificación del incidente actual, y cada tarjeta lleva directamente a la lista correspondiente.

26 Marcos normativos en el portal

Progreso global de todos los proyectos
Plazos de notificación en curso

Vista general de marcos normativos: medidas transversales y los proyectos en los que cuentan

Resumen · 2 de 3

Implantar una vez, acreditar para cada marco normativo

Habitual hoy: ISO 27001, NIS2 y la CRA exigen muchas cosas por duplicado, y cada requisito se gestiona en una lista propia.
Con Complass: La vista general de marcos normativos asigna a cada medida transversal los proyectos en los que cuenta. Lo que se ha implantado y acreditado una vez surte efecto en cada marco normativo que lo exige.

Medidas transversales
Efecto por proyecto

Proyecto ISO 27001 para las plantas de Hagen e Iserlohn con progreso, siguiente paso y fases

Resumen · 3 de 3

Un proyecto por marco normativo, paso a paso hasta la auditoría

Habitual hoy: El plan del proyecto está en manos de una sola persona, y solo ella sabe qué viene a continuación.
Con Complass: El proyecto ISO 27001 para ambas plantas muestra el progreso de cada fase y el siguiente paso abierto, con un clic para seguir trabajando. La preauditoría y la auditoría de certificación figuran como fechas en el proyecto.

Su siguiente paso
Fases hasta la auditoría

Capítulo 2

De la brecha a la medida: Análisis de brechas, aplicabilidad, medidas

Análisis de brechas con escala de madurez y evaluación por área

De la brecha a la medida · 1 de 4

¿Dónde se encuentra hoy Kellenbach?

Habitual hoy: El análisis de brechas es el resultado de un taller que pasados unos meses nadie vuelve a actualizar.
Con Complass: Cada medida transversal se evalúa desde «inexistente» hasta «eficaz y revisada», con objetivo y justificación. Complass muestra dónde están las mayores brechas y, si lo desea, las incorpora directamente al plan de medidas.

Escala de madurez
Evaluación por área

Declaración de aplicabilidad según el anexo A de ISO 27001 con estado de evaluación y exportación

De la brecha a la medida · 2 de 4

La declaración de aplicabilidad como documento controlado

Habitual hoy: La declaración de aplicabilidad es un archivo de Excel cuyas justificaciones nadie sabe ya atribuir en la siguiente auditoría.
Con Complass: Para cada control del anexo A, el catálogo recoge si es aplicable, por qué, en qué medida está implantado y dónde se encuentra la evidencia. Tras su revisión, la declaración se aprueba como versión y se exporta a Word, Excel o PDF.

Estado de evaluación del catálogo
Exportación a Word, Excel y PDF

Plan de medidas con filtros, responsables, fechas de vencimiento y prioridades

De la brecha a la medida · 3 de 4

Cada brecha se convierte en una tarea con nombre y fecha

Habitual hoy: Las tareas derivadas de la auditoría y del análisis de brechas se dispersan entre correos, notas de reuniones y tickets.
Con Complass: El plan de medidas reúne todas las tareas con responsable, fecha de vencimiento, prioridad y el marco normativo que las exige. Los responsables reciben un correo al asignárseles la tarea y un recordatorio antes del vencimiento; lo vencido salta a la vista de inmediato.

Tareas con responsable y fecha de vencimiento
Filtro por marco normativo, prioridad y persona

Comentarios con menciones y una consulta resuelta en una tarea

De la brecha a la medida · 4 de 4

Consultas allí donde está el trabajo

Habitual hoy: La coordinación sobre una medida se hace por correo y en la siguiente auditoría ya no es posible encontrarla.
Con Complass: Los comentarios con menciones figuran directamente en la tarea y una consulta se marca como resuelta. Así, en la auditoría queda claro quién revisó y decidió qué.

Comentarios en la tarea

Capítulo 3

Trabajar en Teams y Jira: Tareas y plazos en sus herramientas habituales

Microsoft Teams en las integraciones: canal activo con sus eventos

Trabajar en Teams y Jira · 1 de 2

Los plazos y las aprobaciones llegan a Microsoft Teams

Habitual hoy: Quien no quiera perderse ningún plazo ni ninguna aprobación tiene que consultar con regularidad la herramienta de cumplimiento.
Con Complass: El canal «Informationssicherheit» recibe una tarjeta cuando se registra un incidente, vence un plazo de notificación, se asigna una tarea o esta se retrasa, o hay una aprobación pendiente. El enlace de la tarjeta abre la entrada en Complass, donde las personas la gestionan con sus propios derechos.

Canal con sus eventos

Tarea con una incidencia de Jira vinculada, el aviso «Jira indica completado» y el formulario de confirmación

Trabajar en Teams y Jira · 2 de 2

La medida se convierte en una incidencia de Jira

Habitual hoy: Desarrollo trabaja en Jira, cumplimiento en listas, y al final alguien concilia ambos a mano.
Con Complass: Con un clic, una medida se convierte en una incidencia de Jira, de una en una o varias a la vez. El estado, los comentarios y los responsables se sincronizan de vuelta. Cuando Jira indica «completado», la persona responsable confirma la medida en Complass con un breve comentario, de modo que la evidencia lleva la confirmación de una persona.

Incidencia de Jira vinculada
Confirmación en Complass

Capítulo 4

Incidente con plazo de notificación: Un incidente NIS2 en curso

Lista de incidentes con el incidente de ransomware en curso y su próximo plazo de notificación

Incidente con plazo de notificación · 1 de 2

Ransomware en los servidores de archivos de la administración

Habitual hoy: En una emergencia, el equipo debe aclarar primero si hay que notificar, a quién y antes de cuándo.
Con Complass: El incidente en curso está registrado, evaluado como notificable conforme a NIS2 y muestra el próximo plazo con el tiempo restante. Los incidentes cerrados, entre ellos un caso de la CRA en la pasarela propia, siguen siendo trazables con todas sus notificaciones.

3 Incidentes del ejemplo

Incidente abierto con su próximo plazo
Plazos a la vista

Fases de notificación del incidente NIS2 con plazos, alerta temprana presentada y notificación pendiente

Incidente con plazo de notificación · 2 de 2

Las fases de notificación según NIS2 con sus plazos

Habitual hoy: Alguien calcula los plazos a mano bajo presión de tiempo, y lo presentado consta en un correo.
Con Complass: Complass calcula los plazos desde el momento en que se tiene conocimiento del incidente: alerta temprana, notificación y informe final. Las fases presentadas figuran con la hora y el número de expediente; la notificación en sí se envía, como está prescrito, a través del portal de la autoridad competente.

Próximo plazo
Fases de notificación según NIS2

Capítulo 5

Producto propio (CRA): KB Connect Gateway y KB Insight

Lista de vulnerabilidades con CVSS, KEV, prioridad, fecha de vencimiento y responsables

Producto propio (CRA) · 1 de 5

Vulnerabilidades por urgencia, no por orden de llegada

Habitual hoy: Los informes de los escáneres llegan en PDF, y qué hallazgo se corrige primero lo decide la intuición.
Con Complass: Todos los hallazgos figuran en una lista con CVSS, indicador de vulnerabilidades explotadas activamente (KEV), prioridad, plazo y responsables. Arriba aparece lo que se está explotando y es accesible.

Hallazgos por prioridad

Hallazgo en el portal de clientes KB Insight con CVSS, KEV, decisión SSVC y activo afectado

Producto propio (CRA) · 2 de 5

Un hallazgo con todo lo que necesita la decisión

Habitual hoy: El número CVE, la evaluación y el sistema afectado figuran en tres herramientas distintas.
Con Complass: El hallazgo en el portal de clientes propio, KB Insight, muestra la evaluación, la entrada KEV y la decisión SSVC junto al activo afectado y su accesibilidad desde internet. Así queda justificado por qué se trata de inmediato.

Evaluación de la vulnerabilidad
Activo afectado

Medidas recomendadas para un hallazgo con fuente y «Adoptar como medida»

Producto propio (CRA) · 3 de 5

Del hallazgo a la medida

Habitual hoy: Lo que hay que hacer está disperso en avisos de fabricantes, bases de datos y foros.
Con Complass: Cada hallazgo incluye las medidas recomendadas con su fuente: actualización del fabricante, requisito de la CISA, medida general para el tipo de vulnerabilidad. Con un clic se convierte en una tarea con plazo.

Medidas recomendadas con su fuente

SBOM del firmware de KB Connect con componentes, licencias y vulnerabilidades abiertas

Producto propio (CRA) · 4 de 5

La SBOM de KB Connect Gateway

Habitual hoy: Qué componentes lleva el firmware lo sabe el desarrollo; la gestión de producto y el soporte no lo saben.
Con Complass: La SBOM muestra el firmware con el gestor de arranque, el kernel y las bibliotecas, sus licencias y las vulnerabilidades abiertas. Se importa desde CycloneDX, se contrasta de forma continua con las nuevas vulnerabilidades y se exporta en formato estándar.

Componentes del firmware
Exportación en formato estándar

Aviso de seguridad de un fabricante de ejemplo con los activos propios afectados

Producto propio (CRA) · 5 de 5

Asignar los avisos de fabricantes a los propios dispositivos

Habitual hoy: Los avisos de seguridad de los proveedores llegan por correo, y alguien comprueba a mano si los dispositivos propios están afectados.
Con Complass: Los avisos en formato CSAF se importan y se asignan a los activos propios según el modelo y la versión. La lista muestra de inmediato qué dispositivo está afectado y cuál sigue en investigación.

Sus activos afectados
Exportar

Capítulo 6

Cadena de suministro: Evaluar a los proveedores sin perder de vista sus evidencias

Cockpit de proveedores con cifras de la cadena de suministro y la lista «Requiere atención»

Cadena de suministro · 1 de 3

Dónde la cadena de suministro requiere atención

Habitual hoy: Qué proveedor es crítico y qué certificado está a punto de caducar: la información está dispersa en listas de compras y correos electrónicos.
Con Complass: El cockpit de proveedores cuenta los proveedores críticos, las evaluaciones pendientes, las evidencias que caducan y los contratos de encargo del tratamiento que faltan. Debajo aparece quién requiere atención primero: arriba del todo, el riesgo más alto según la clasificación y la última evaluación.

Estado de la cadena de suministro
Requiere atención

Evaluaciones de un proveedor: autoevaluación en modo externo con progreso, nueva invitación automática y recordatorios

Cadena de suministro · 2 de 3

El proveedor responde él mismo al cuestionario

Habitual hoy: Los cuestionarios van y vienen como archivos de Excel, y nadie sabe con certeza qué versión es la válida.
Con Complass: Druck & Service Hagen responde a los requisitos básicos de seguridad en su propio acceso al portal de proveedores. Kellenbach ve el progreso y revisa las respuestas una vez enviadas. Antes de que venza el plazo, Complass envía un recordatorio al proveedor y, si lo desea, se envía automáticamente una nueva evaluación para la próxima revisión.

Autoevaluación del proveedor
Nueva invitación automática

Evidencias de un proveedor de hosting con su validez, el aviso «Caduca pronto» y la comprobación del alcance

Cadena de suministro · 3 de 3

Certificados e informes de auditoría con fecha de caducidad

Habitual hoy: Que el certificado de un proveedor de servicios ha caducado a menudo no se nota hasta la auditoría.
Con Complass: Para cada proveedor figuran los certificados, informes de auditoría y seguros con su validez y la cuestión de si su alcance cubre el servicio. Lo que caduca pronto se marca y aparece en el cockpit antes de que surja una brecha.

Evidencias con caducidad

Capítulo 7

Planta de Hagen (OT): Zonas, conductos y niveles de seguridad

Zonas y conductos de la planta de Hagen con indicadores y plano de red por niveles de Purdue

Planta de Hagen (OT) · 1 de 2

Zonas y conductos con nivel objetivo y nivel alcanzado

Habitual hoy: El modelo de zonas es un dibujo del último proyecto que ya no es correcto tras la siguiente reforma.
Con Complass: La planta de Hagen está dividida en zonas y conductos conforme a IEC 62443. Complass muestra las brechas entre el nivel de seguridad objetivo y el alcanzado, así como el tráfico observado sin un conducto autorizado, también en el plano de red por niveles de Purdue.

Zonas, conductos y brechas de SL
Plano de red por niveles de Purdue

Inventario de activos con zona, responsable y necesidad de protección

Planta de Hagen (OT) · 2 de 2

Un inventario para TI y OT

Habitual hoy: TI se ocupa de los servidores, y cada planta lleva en una lista propia las máquinas y los controladores.
Con Complass: Servidores, puestos de trabajo, controladores y paneles de operador figuran en un único inventario con zona, necesidad de protección y responsable. Pendiente y visible: los activos de la planta de Iserlohn aún no tienen zona; el proyecto OT correspondiente sigue en 2027.

38 activos registrados

Inventario con zona y necesidad de protección

Capítulo 8

Riesgos: Evaluar, tratar, informar

Registro de riesgos con evaluación y tratamiento

Riesgos · 1 de 3

Un registro de riesgos para toda la empresa

Habitual hoy: Los riesgos figuran en una lista que se actualiza una vez al año para la auditoría.
Con Complass: Cada riesgo tiene evaluación, tratamiento, propietario del riesgo y fecha de la próxima revisión, vinculados con activos, vulnerabilidades y medidas. El registro, el mapa de calor y el método están en una misma página.

12 riesgos evaluados

Registro de riesgos
Registro, mapa de calor y método

Mapa de calor con el riesgo inherente y el riesgo residual lado a lado

Riesgos · 2 de 3

Antes y después de un vistazo

Habitual hoy: Para la dirección, el mapa de calor se vuelve a montar cada trimestre en una presentación.
Con Complass: El mapa de calor se genera a partir del registro: a la izquierda, el riesgo inherente; a la derecha, el riesgo residual tras las medidas implantadas. Un clic en una cifra abre los riesgos que hay detrás.

Riesgo inherente y riesgo residual

Evaluación de un riesgo con propuesta no vinculante y sus motivos

Riesgos · 3 de 3

Una propuesta de evaluación; la decisión se queda en la empresa

Habitual hoy: Cada evaluación empieza desde cero, y cada departamento evalúa con su propio criterio.
Con Complass: Complass deduce una propuesta a partir de la necesidad de protección y la exposición de los activos vinculados y de las vulnerabilidades abiertas, e indica los motivos. La propuesta no es vinculante; los especialistas de la empresa la adoptan o la ajustan.

Propuesta con justificación

Capítulo 9

Dirección: Obligaciones de la dirección según NIS2

Cockpit de la dirección con las obligaciones de una entidad importante y sus disposiciones legales

Dirección · 1 de 3

Lo que la dirección debe cumplir según NIS2

Habitual hoy: La dirección responde personalmente, pero solo ve el estado una vez al año en una presentación.
Con Complass: El cockpit de la dirección muestra a Katharina Kellenbach y a Dr. Martin Oberholz lo que se aplica a una entidad importante: aplicar la gestión de riesgos, notificar los incidentes significativos, registrarse, supervisar la aplicación y formarse. Cada obligación va acompañada de su disposición legal.

Lo que se aplica a usted

Resolución sobre las medidas de gestión de riesgos con el estado de las confirmaciones, supervisión trimestral y estado de la formación por miembro

Dirección · 2 de 3

Resolver, supervisar, formarse: cada paso, confirmado

Habitual hoy: Que la dirección ha aprobado las medidas lo demuestra, como mucho, una frase en el acta de una reunión.
Con Complass: Sabine Hartwig prepara la resolución sobre las medidas de gestión de riesgos y cada miembro de la dirección la confirma tras volver a iniciar sesión. La supervisión se realiza cada trimestre con un plazo, y para cada miembro figura la última formación con su validez. Lo que está vencido o vence pronto salta a la vista de inmediato.

Resolución sobre las medidas
Supervisión trimestral
Formación por miembro

Evidencia de las obligaciones de la dirección como PDF sellado y como versión de trabajo

Dirección · 3 de 3

Una evidencia de las obligaciones de la dirección que se sostiene

Habitual hoy: Lo que la dirección decidió y aprendió, y cuándo, hay que buscarlo primero en carpetas cuando de verdad importa.
Con Complass: La evidencia de las obligaciones de la dirección reúne en un PDF sellado las resoluciones, supervisiones, formaciones y tomas de conocimiento de la dirección para un periodo. Los destinatarios comprueban su autenticidad en la página de verificación sin iniciar sesión.

Evidencia de las obligaciones de la dirección

Capítulo 10

Auditoría y acceso: Evidencias y permisos

Exportación de auditoría con el alcance del paquete

Auditoría y acceso · 1 de 2

El paquete de auditoría bajo demanda

Habitual hoy: Antes de la auditoría, alguien pasa días reuniendo documentos, listas y evidencias de distintas carpetas.
Con Complass: La exportación de auditoría reúne documentos, catálogos, registros, evidencias y protocolos en un archivo ZIP, con página de inicio y lista de sumas de verificación. Incluye únicamente lo que la persona solicitante puede leer; cada exportación queda registrada en el registro del cliente.

Alcance de la exportación

Auditoría y acceso · 2 de 2

Quién puede hacer qué, acreditado para la auditoría

Habitual hoy: Quién puede acceder a qué está repartido entre sistemas y correos, y el resumen para la auditoría se elabora de nuevo cada vez.
Con Complass: Para cada persona y área queda establecido: sin acceso, lectura o escritura, además de permisos especiales como exportar o aprobar. El resumen se puede filtrar y exportar como evidencia.

¿Quién puede hacer qué?
Permisos por área

Capítulo 11

Evidencias automáticas: Comprobaciones desde sus propios sistemas

Conexión con Microsoft Entra ID y Microsoft 365 con los resultados de las comprobaciones y la última y la próxima ejecución

Evidencias automáticas · 1 de 3

Complass lee la configuración cada día

Habitual hoy: Para la auditoría se hacen capturas de pantalla de la consola de administración, que al día siguiente pueden estar ya desactualizadas.
Con Complass: La conexión con Microsoft Entra ID y Microsoft 365 lee una vez al día, solo en modo lectura, ajustes como la obligación de MFA, el inicio de sesión robusto para administradores o el número de administradores globales. Cada comprobación recibe un semáforo; se guardan cifras y resultados, no nombres de personas. Una organización de GitHub puede conectarse del mismo modo.

Comprobaciones con semáforo
Ejecución diaria

Requisito de la declaración de aplicabilidad con una propuesta de estado a partir de una evidencia automática fallida y las evidencias automáticas de Microsoft Entra ID

Evidencias automáticas · 2 de 3

La evidencia está en el requisito

Habitual hoy: Si un requisito se sigue cumpliendo solo se vuelve a comprobar poco antes de la siguiente auditoría.
Con Complass: En la declaración de aplicabilidad, el requisito sobre los principios de control de acceso indica qué comprobaciones automáticas lo acreditan, con resultado, antigüedad e historial. Como una comprobación falla, Complass propone aquí «Parcialmente implantado» e indica el motivo; la propuesta solo se adopta a mano.

Propuesta de estado con su motivo
Evidencias automáticas en el requisito

Resumen de las evidencias automáticas con el estado de todas las comprobaciones y las fuentes de evidencia

Evidencias automáticas · 3 de 3

Todas las comprobaciones de un vistazo

Habitual hoy: Qué evidencias están desactualizadas se suele notar solo cuando el auditor las pide.
Con Complass: El resumen muestra cuántas comprobaciones están en orden, caducan pronto o han fallado, y de qué fuente proceden. Además de los conectores, también sus propios sistemas, como el backup o el pipeline de build, aportan resultados a través de la API.

Estado de todas las comprobaciones
Fuentes de evidencia

Su siguiente paso: Complass con sus propios datos

Cree usted mismo su acceso de prueba, 14 días gratis y sin datos de pago. O le mostramos Complass en una demostración adaptada a sus marcos normativos.

Probar gratis Solicitar una demo

Comprobar la aplicabilidad Paquetes y precios