Glosario
Plan de remediación
Documento que asigna a cada hallazgo abierto un responsable, una acción concreta y una fecha comprometida, y registra su cierre verificado.
- Plan de acción
- Plan de tratamiento
La diferencia entre un plan de remediación y una lista de tareas está en cuatro campos: responsable nominal —una persona, no un departamento—, acción verificable, fecha comprometida y evidencia de cierre.
El campo que más se omite y más valor tiene es la fecha de detección, separada de la fecha de aprobación del plan. La distancia entre ambas es lo que mide un auditor cuando quiere saber si la organización reacciona, y es lo que exige el artículo 21.4 de la NIS2 cuando habla de corregir «sin dilación indebida».
Los plazos funcionan mejor fijados por categoría que negociados hallazgo a hallazgo. «Crítico expuesto: siete días; crítico interno: treinta; resto: ciclo mensual» se puede medir y se puede incumplir de forma visible. Un plazo pactado individualmente con cada equipo no se puede auditar, porque siempre habrá una razón por la que ese caso era distinto.