El cumplimiento comienza en la puerta.
Las normas de seguridad de la información también imponen requisitos de acceso físico. ¿Quién tiene permiso para entrar en qué sala, cuándo y cómo se puede verificar esto posteriormente? Con CyberLock y CyberAudit-Web, usted obtiene una respuesta definitiva a estas preguntas.
El acceso físico forma parte de la seguridad de la información.
Una sala de servidores, un botiquín, un armario de contadores o un edificio de bombas están sujetos a los mismos estándares que la red que los respalda. En la práctica, el acceso físico suele ser el menos documentado. Las llaves mecánicas se pueden copiar, las listas de llaves se almacenan en Excel y nadie sabe quién abrió una puerta a las tres de la madrugada.
Desde el 15 de agosto de 2026, la Ley de Ciberseguridad (la transposición neerlandesa de la NIS2) y la Ley de Resiliencia de Entidades Críticas (la transposición de la Directiva CER) están en vigor. La primera se refiere a la resiliencia digital, la segunda a la resiliencia física y organizativa, incluyendo el acceso a instalaciones y edificios. El consejo de administración tiene la responsabilidad última. Las normas BIO2 (gobierno) y NEN 7510:2024 (sanidad) también se han actualizado y ahora siguen la estructura de la ISO 27001:2022. Todos estos marcos requieren lo mismo: zonas seguras, acceso solo para personas autorizadas, registro de eventos y verificación periódica de los derechos de acceso.
Debes poder aportar pruebas.
Sellox suministra cuatro componentes en un solo sistema para este fin.
Derechos en la llave
Qué cilindros, qué días, qué intervalo de tiempo y cuánto tiempo permanece válida la llave sin actualizarla. Una llave que no se ha renovado deja de funcionar. En caso de pérdida o rescisión del contrato laboral, usted revoca los derechos a través del software.
Registro en llave y cilindro
Abierto, rechazado, fuera de horario, caducado. El cilindro almacena hasta 6500 eventos, la llave hasta 12 000. Siempre se puede ver qué llave se usó y dónde, incluso sin alimentación eléctrica ni acceso a la red.
Informe para la auditoría
CyberAudit-Web Enterprise recopila toda la información en un único registro de auditoría con fecha, hora, llave, persona y cilindro. Los informes están disponibles por persona, por puerta o por período. Se puede instalar localmente o en la nube de Sellox.
Revisión periódica
Inmediatamente SX HealthCheck Sellox revisa sus instalaciones: llaves sin propietario, empleados que se han marchado pero que conservan derechos de acceso, diagramas incorrectos, cilindros que no informan y las versiones de software y firmware.
Lo que exigen las normas sobre llaves y puertas
Seleccione una casilla. Esto no constituye asesoramiento legal.
ISO 27001:2022
- ¿Para quién?
- Organizaciones con certificación ISMS. También constituyen la base de BIO2 y NEN 7510.
- Lo que pide
- Zonas seguras con control de acceso (7.1–7.3), monitoreo de la seguridad física (7.4), otorgamiento, modificación y revocación de derechos de acceso según la política (5.15–5.18), registro de eventos (8.15).
- Cómo Sellox implementa esto
- Permisos por clave y por zona, claves que caducan automáticamente, el registro de auditoría como fuente de información y reportes para el control de permisos.
NIS2 / Ley de Ciberseguridad
- ¿Para quién?
- Entidades esenciales e importantes en 18 sectores, entre ellos energía, agua potable, sanidad, transporte, infraestructuras digitales y gobierno. En vigor desde el 15 de agosto de 2026.
- Lo que pide
- Deber de diligencia con las medidas adecuadas, incluida una política de control de acceso y seguridad del personal y los bienes; obligación de informar sobre incidentes importantes; responsabilidad de la dirección.
- Cómo Sellox implementa esto
- El acceso a las salas técnicas y a las instalaciones de campo está restringido a personal autorizado, sin necesidad de cableado y con registro previo. En caso de incidente, se puede identificar de inmediato qué llave se utilizó y dónde.
Ley de Resiliencia de Entidades Críticas (CER)
- ¿Para quién?
- Aproximadamente 500 organizaciones designadas como entidades críticas por sus respectivos ministerios, en sectores como energía, agua potable y saneamiento, control y gestión de inundaciones, transporte, sanidad, infraestructura digital y gobierno. En vigor desde el 15 de agosto de 2026, junto con la Ley de Ciberseguridad: la Ley de Ciberseguridad (Cbw) se refiere a la resiliencia digital, mientras que la Ley de Ciberseguridad (Wwke) se refiere a la resiliencia física y organizativa.
- Lo que pide
- En un plazo de 9 meses desde su designación, se realizará una evaluación de riesgos y, en un plazo de 10 meses, se adoptarán las medidas técnicas, organizativas y físicas adecuadas, incluida la protección de las instalaciones y los edificios con control de acceso, la gestión de los derechos de acceso y la verificación de antecedentes para puestos sensibles; asimismo, se deberá informar de los incidentes que interrumpan el funcionamiento del sistema en un plazo de 24 horas.
- Cómo Sellox implementa esto
- Control de acceso para objetos sin alimentación eléctrica ni red (estaciones de bombeo, estaciones, cerraduras, estructuras hidráulicas), derechos por persona, zona y franja horaria, revocación al marcharse y un registro de auditoría que muestra lo sucedido por llave y por cilindro, incluso después de un incidente.
BIO2 (gobierno)
- ¿Para quién?
- Gobierno nacional, provincias, municipios y juntas de agua. BIO2 v1.3 fue adoptado el 5 de marzo de 2026 y reemplaza al antiguo BIO.
- Lo que pide
- La misma estructura que la norma ISO 27001:2022, complementada con medidas gubernamentales para zonas seguras, acceso a zonas de confianza y avisos en caso de riesgos concretos.
- Cómo Sellox implementa esto
- Zonificación por grupos de cilindros, llaves que solo funcionan donde y cuando está permitido, y un registro de auditoría para la elaboración de informes ENSIA.
CSIR 3.0 (objetos con automatización de procesos)
- ¿Para quién?
- Propietarios y gestores de puentes, esclusas, estaciones de bombeo, plantas de tratamiento y otras instalaciones con automatización de procesos. La guía proviene de Rijkswaterstaat y las juntas de agua, pero los municipios y otros gestores también la incluyen en sus contratos, por lo que se aplica a sus contratistas y proveedores. La Guía de Implementación de Ciberseguridad para Instalaciones complementa la BIO para la automatización industrial, tomando como referencia la norma IEC 62443.
- Lo que pide
- Acceso físico a las salas, terrenos y edificios de IA solo para personas autorizadas (Capítulo 2.1); un plan de cierre actualizado y gestión activa de llaves y cajas fuertes (FTG9, FTG29); emisión y revocación de credenciales de acceso en caso de cambio de función o salida (LP10); derechos basados en el rol y la necesidad (LP2); revisión de los derechos de acceso al menos cada seis meses (LP4).
- Cómo Sellox implementa esto
- Un plan de llaves electrónicas por propiedad, derechos por función y por zona, llaves que caducan si no se actualizan e informes por persona y por propiedad para la verificación semestral de derechos.
NEN 7510:2024 (atención sanitaria)
- ¿Para quién?
- Hospitales, servicios de salud mental, residencias de ancianos, atención domiciliaria, farmacias y sus proveedores.
- Lo que pide
- El acceso físico a las áreas que contienen información de pacientes y equipos médicos está restringido al personal autorizado, con registro y supervisión; la gestión de llaves y medios de acceso forma parte del SGSI.
- Cómo Sellox implementa esto
- Botiquines, salas de archivo, salas de servidores y salas técnicas con una llave por empleado, derechos de acceso por servicio o departamento y registro por apertura.
AVG / RGPD
- ¿Para quién?
- Todas las organizaciones. Un registro de auditoría que contiene nombres constituye el procesamiento de datos personales.
- Lo que pide
- Una base jurídica y una finalidad para el registro, un período de conservación, acceso a los datos limitado a quienes lo necesiten e inspección por parte del interesado.
- Cómo Sellox implementa esto
- El registro de auditoría se encuentra en su propio servidor o alojado por Sellox en los Países Bajos, los períodos de retención son configurables y el acceso a CyberAudit-Web se gestiona por usuario y rol.
Anexo 11 de las Buenas Prácticas de Fabricación (BPF) de la UE (farmacia)
- ¿Para quién?
- Fabricantes y distribuidores que cumplen con las Buenas Prácticas de Fabricación (BPF).
- Lo que pide
- El acceso a las áreas y equipos pertinentes a las Buenas Prácticas de Fabricación (BPF) está restringido a personas autorizadas y se registra un historial de auditoría.
- Cómo Sellox implementa esto
- El acceso a las salas blancas, las cámaras frigoríficas y los armarios de muestras se registra por llave y por sala.
ABRO 2026 (Gobierno Nacional y Policía)
- ¿Para quién?
- Empresas que trabajan en una misión especial del gobierno central o la policía, una misión que afecta a la seguridad nacional, incluyendo a sus subcontratistas y proveedores. Aplicable desde el 1 de enero de 2026, sustituye a la ABDO 2019, que se aplicaba únicamente al sector de Defensa. No es una ley, sino un requisito contractual; la Oficina Nacional de Seguridad Industrial (NBIV) evalúa y emite la declaración ABRO.
- Lo que pide
- El Cliente determina el nivel de seguridad y los capítulos de la NBIV aplicables a cada proyecto: gobernanza y organización, confiabilidad del personal, seguridad física, ciberseguridad y nube. Seguridad física: seguridad por capas adaptada al nivel, acceso restringido a personas autorizadas según necesidad, registro de visitantes y registro de acceso a intereses protegidos. A partir de TBB 3, no se permite la gestión remota.
- Cómo Sellox implementa esto
- Sellox conoce bien estos requisitos gracias a sus propios contratos de defensa. Compartimentación por zonas, validación sin conexión inalámbrica y gestión in situ cuando sea necesario, llaves con un período de validez corto y un registro de auditoría por llave y por cilindro.
Tres preguntas detrás de cada derecho de acceso
Independientemente del marco normativo aplicable, un auditor siempre llega a las mismas tres preguntas. Así es como se traducen en llaves y puertas.
La información, y los espacios donde se encuentra, son accesibles únicamente para quienes la necesitan para realizar su trabajo. Una sala de servidores, un archivo o un armario de contadores no son áreas de acceso público.
Los permisos se aplican por zona en lugar de por edificio. Una llave solo abre los cilindros asociados a la función.
Acceso restringido al lugar y horario de la actividad: esta ubicación, este servicio, este intervalo de tiempo. Quienes no necesiten estar allí no podrán entrar.
Ventanas de tiempo por clave y una validez que expira si la clave no se actualiza. Un servicio de asistencia técnica tiene derechos para un único servicio.
Para ciertas áreas, se requiere una designación o certificación válida, como por ejemplo para trabajos en instalaciones de alta tensión o para asegurar una instalación. El derecho de acceso no es un permiso de trabajo, pero ambos deben complementarse.
Met dynamische toegang (de module Dynamic Tags) koppelt u een recht aan een voorwaarde. Verloopt de certificering of eindigt het dienstverband, dan vervalt het recht vanzelf. Meer over dynamische toegang
Siete preguntas de un auditor
¿Quién tiene acceso actualmente a su sala de servidores, botiquín o sala técnica?
Informe los derechos de acceso por cilindro o zona, directamente desde CyberAudit-Web.
¿Quién abrió una puerta específica en los últimos 30 días y cuándo?
Registro de auditoría por cilindro: fecha, hora, llave y persona.
¿Qué ocurre con el acceso de un empleado que abandona la empresa hoy?
Revoca los permisos en el software. La clave ya no funcionará en ningún otro lugar.
¿Cuántas llaves hay en circulación cuyo paradero desconoces?
Información general clave con propietario, estado y hora del último contacto.
¿Es posible copiar una clave sin que te des cuenta?
Las CyberKeys son electrónicas y no se pueden copiar.
¿Cuándo se revisaron por última vez todos los derechos de acceso y se registró dicha revisión?
Informe de derechos con fecha, como evidencia para la auditoría periódica.
¿También se registra el acceso en lugares sin electricidad ni red?
Sí. La llave y el cilindro se registran automáticamente, sin necesidad de cableado.
En el caso de CAW, está cubierto por un informe.
De forma demostrable y en orden en cuatro pasos.
Inventario
Mapeo de zonas, claves y marco de estándares, traducido en un plan clave.
Mobiliario
Sustitución de cilindros sin cables, derechos basados en personas y zonas, CyberAudit-Web Enterprise local o alojado en la nube.
Informes
Registro de auditoría e informes adaptados a las preguntas de su auditor.
Mantenimiento
Periódico SX HealthCheck, también después de reorganizaciones y cambios de personal.