Cómo leer un escenario: hecho, plazo, documentos y opciones

Cada pantalla de decisión del simulador tiene siempre los mismos bloques. Saber qué es cada uno te ahorra tiempo y evita que te saltes información relevante:

• Título del nodo. Un resumen en tres o cuatro palabras de lo que está pasando (“Nuevo sistema en producción”, “Incidente significativo detectado”, “Auditoría bienal programada”, “Requerimiento de la autoridad”).
• Badge o etiqueta. Un calificador corto que indica la naturaleza del momento: “Alerta”, “Análisis”, “Incumplimiento”, “Planificación”, “Diligencia”, “Plazo comprometido”, “Falta de independencia”, “Insuficiencia”. No es decorativo: te dice qué tipo de situación estás gestionando.
• Descripción. El hecho desencadenante. Casi siempre empieza con una fecha y una hora (“09:00 · Lunes”, “08:15 · Martes”, “03:40 · Sábado”), y sigue con lo que ha pasado en una o dos frases.
• Meta. El plazo legal o la condición aplicable, si la hay. Aparece como una línea independiente debajo de la descripción.
• Consecuencia. Solo aparece cuando el nodo anterior ha tenido un efecto sobre el escenario. Por ejemplo: “Conforme al Anexo I, si alguna dimensión alcanza nivel MEDIO y ninguna supera ese nivel, la categoría del sistema es MEDIA.”
• Opciones. Las decisiones que puedes tomar. Cada una con un texto visible y, en modo estándar, un detalle adicional.
• Expediente de evidencia. La lista de documentos disponibles para adjuntar.
• Gráfico de evolución. La tendencia de riesgo y evidencia hasta ese momento.

En el briefing inicial (antes de la primera decisión) aparece además la checklist de autoverificación, que veremos en el acordeón 04.

La descripción del nodo es la parte más importante del escenario. Casi siempre te da tres datos que debes identificar antes de mirar las opciones:

• Qué ha pasado. Un sistema nuevo que hay que categorizar, un incidente de ciberseguridad, una auditoría programada, un proveedor crítico que incumple, un requerimiento de la autoridad. El tipo de hecho determina qué bloque normativo aplica.
• Cuándo. La fecha y la hora no son decorativas: marcan el momento desde el que corre el cronómetro y, en algunos escenarios, desde el que empieza a contar el plazo legal. En el Simulacro 2 (notificación NIS2), el incidente se detecta a las 08:15 de un martes, y desde ese momento corre la cuenta de las 24 horas para la alerta temprana.
• Quién o qué está afectado. Un sistema de gestión de expedientes, un servicio esencial, una sede electrónica, datos personales de ciudadanos, la dirección del organismo. El alcance del incidente o del proyecto condiciona la respuesta.

La meta es el plazo legal o la condición aplicable, cuando existe. Aparece como una línea aparte debajo de la descripción. Por ejemplo:

• “Plazo deseado por dirección: 2 semanas” (Simulacro 1, categorización).
• “Plazos: 24h (alerta temprana), 72h (notificación), 1 mes (informe final)” (Simulacro 2, notificación NIS2).
• “El plan de continuidad debe activarse de inmediato” (Simulacro 6, continuidad de servicios esenciales).

No es una sugerencia: es el marco temporal que el simulador usa para penalizar la latencia. Si te lo saltas, la latencia sube y el score baja.

Ejemplo del Simulacro 2. El nodo “Incidente significativo detectado” dice: “08:15 · Martes. El sistema de gestión de expedientes presenta una indisponibilidad prolongada y accesos anómalos. El equipo técnico confirma que se trata de un incidente de ciberseguridad con impacto en la prestación del servicio.” Y añade: “Plazos: 24h (alerta temprana), 72h (notificación), 1 mes (informe final).” Con esa lectura ya sabes tres cosas: es un incidente de ciberseguridad, afecta a un servicio esencial y tienes tres plazos escalonados. Antes de mirar las opciones, eso es lo que tienes que tener claro.

El bloque de consecuencia solo aparece en los nodos intermedios, no en el primero. Su función es contarte qué ha provocado la decisión anterior. No es un castigo ni una recompensa: es información nueva que debes incorporar a la siguiente decisión.

Por ejemplo, en el Simulacro 1, si en el primer nodo eliges “Realizar la valoración de las cinco dimensiones con criterios documentados”, el siguiente nodo (“Valoración de dimensiones”) incluye esta consecuencia: “Conforme al Anexo I, si alguna dimensión alcanza nivel MEDIO y ninguna supera ese nivel, la categoría del sistema es MEDIA.” Eso no es una opinión: es el criterio que aplica el simulador a partir de lo que acabas de descubrir. Y ese criterio cambia el peso de las opciones que vienen después, porque ahora sabes que la categoría correcta es MEDIA.

Otro ejemplo, en el Simulacro 2. Si en el primer nodo eliges “Evaluar significatividad y activar el protocolo de notificación en tres fases”, el siguiente nodo (“Protocolo de notificación activado”) incluye esta consecuencia: “La notificación debe incluir información que permita al CSIRT evaluar repercusiones transfronterizas.” Es un dato nuevo: la información que remitas al CSIRT tiene que ser suficiente para que este evalúe si el incidente tiene impacto más allá de las fronteras.

Cómo leerla: la consecuencia es siempre información que antes no tenías. Léela dos veces. Muchas veces la opción correcta del siguiente nodo está directamente relacionada con esa consecuencia, y las opciones incorrectas ignoran lo que acabas de descubrir.

Si un nodo no tiene bloque de consecuencia, significa que la decisión anterior no ha cambiado el estado del escenario, solo ha movido las métricas.

El expediente de evidencia documental es un desplegable con los documentos que el escenario pone a tu disposición. No son documentos genéricos: son los específicos de ese caso. En el Simulacro 1 aparecen la valoración de dimensiones, el informe de categorización, el análisis de riesgos, la Declaración de Aplicabilidad y el perfil de cumplimiento. En el Simulacro 2 aparecen la alerta temprana (24h), la notificación del incidente (72h), el informe final (1 mes), el registro interno del incidente, la evaluación inicial del impacto y la comunicación a destinatarios.

Cada documento lleva una referencia normativa al lado (“Anexo I RD 311/2022”, “Art. 41 RD 311/2022”, “Art. 23.4.a NIS2”, “Art. 25 RD 311/2022”). Esa referencia te dice para qué sirve el documento y en qué bloque del escenario encaja.

Cuándo adjuntar: no hay una regla fija. El simulador te deja adjuntar todos los documentos si quieres, y cada uno suma +8 de evidencia. Pero adjuntar todo sin criterio no es lo mismo que adjuntar lo que corresponde. La lógica profesional es: adjunta lo que acredite la decisión que estás tomando. Si en el nodo estás categorizando un sistema, adjunta la valoración de dimensiones y el informe de categorización. Si estás notificando un incidente, adjunta la alerta temprana y la notificación. Adjuntar la Declaración de Aplicabilidad cuando estás gestionando una notificación de incidente no aporta nada al caso y, aunque el simulador no lo penalice, no refleja una actuación diligente.

La checklist de autoverificación aparece solo en el briefing inicial, antes de la primera decisión. Es una lista de cinco o seis puntos que resume lo que deberías verificar en ese escenario. No es un examen: es una referencia. Léela antes de empezar y vuelve a ella mentalmente cuando tomes decisiones. Por ejemplo, en el Simulacro 1 la checklist incluye: “Valoradas las cinco dimensiones de seguridad”, “Documentado el impacto por dimensión”, “Aplicada la regla del nivel máximo por dimensión”, “Revisada anualmente o ante modificaciones significativas”, “Declaración de Aplicabilidad firmada por el responsable de seguridad”. En el Simulacro 2 incluye: “Incidente evaluado como significativo”, “Alerta temprana remitida en 24 horas”, “Notificación del incidente en 72 horas”, “Informe final en un mes”, “Comunicación a destinatarios afectados si procede”, “Registro interno del incidente”. Si alguna de esas cosas no la has hecho al terminar, probablemente tu resultado no sea el óptimo.

Cada nodo tiene entre dos y tres opciones. Cada opción se compone de dos partes:

• Texto visible. La decisión en sí, en una frase. Es lo que ves siempre, en cualquier modo.
• Detalle. Una línea adicional que orienta sobre la norma aplicable o sobre el razonamiento correcto. Se muestra en modo estándar y se oculta en modo experto.

Ejemplo del Simulacro 1. La primera opción del nodo “Nuevo sistema en producción” tiene:

• Texto: “Realizar la valoración de las cinco dimensiones con criterios documentados”.
• Detalle (visible en estándar): “Aplica el Anexo I del RD 311/2022”.

Ejemplo del Simulacro 2. La primera opción del nodo “Incidente significativo detectado” tiene:

• Texto: “Evaluar significatividad y activar el protocolo de notificación en tres fases”.
• Detalle (visible en estándar): “Art. 23 NIS2”.

En modo estándar ves el texto y el detalle, y tienes 15 minutos. En modo experto solo ves el texto, sin detalle, y tienes 10 minutos. El modo experto no te da más información: te quita la red de seguridad y te exige deducir tú qué norma aplica y por qué esa opción es la correcta.

Qué mirar en las opciones antes de elegir:

• ¿La opción responde al hecho desencadenante o lo esquiva?
• ¿Respeta el plazo o la condición que indica la meta?
• ¿Tiene en cuenta la consecuencia del nodo anterior, si la hay?
• ¿Aporta evidencia documental o la destruye?
• ¿Es diligente o es una salida rápida?

Las opciones incorrectas suelen ser plausibles: “asignar categoría BÁSICA por defecto”, “copiar la categorización de un sistema similar”, “esperar al informe forense completo”, “notificar únicamente al proveedor tecnológico”, “realizar la auditoría con personal interno”, “mantener el contrato sin cambios porque es el más económico”. No son disparates: son atajos que en la vida real también se toman, y por eso el simulador los penaliza. La diferencia entre una opción correcta y una incorrecta no siempre es evidente en el texto, pero sí lo es cuando la lees con la checklist y la meta en la mano.

Este es el orden que sigue un lector experimentado antes de hacer clic en cualquier opción. Puedes aplicarlo a los diez simulacros:

1. Lee el badge. Te dice qué tipo de nodo es: alerta, análisis, incumplimiento, planificación, diligencia, plazo comprometido. Eso te orienta sobre la urgencia y el tono.
2. Lee la descripción completa. Identifica qué ha pasado, cuándo y a quién afecta. No te saltes la fecha ni la hora: marcan el inicio del cómputo.
3. Lee la meta. Es el plazo legal o la condición aplicable. Si no hay meta, no hay plazo explícito y la urgencia la marca la propia descripción.
4. Lee la consecuencia, si existe. Es información nueva que debes incorporar. Pregúntate: ¿qué ha cambiado respecto al nodo anterior?
5. Lee las opciones y elige. Antes de hacer clic, comprueba que la opción elegida responde al hecho, respeta el plazo o la condición, tiene en cuenta la consecuencia y aporta evidencia. Si no cumple las cuatro, probablemente no sea la correcta.

Después de elegir, no olvides pasar por el expediente de evidencia y adjuntar los documentos que acrediten la decisión que acabas de tomar. Es el paso que más gente olvida y el que más pesa en el score final, porque la evidencia vale un 45 % de la nota.

• Cada nodo tiene: título, badge, descripción, meta, consecuencia (si aplica), opciones, expediente y gráfico.
• La descripción te da qué ha pasado, cuándo y a quién afecta. La meta te da el plazo legal o la condición aplicable.
• La consecuencia es información nueva: léela dos veces y pregúntate qué ha cambiado.
• El expediente son los documentos del caso. Adjunta lo que acredite la decisión que estás tomando, no todo por defecto.
• La checklist del briefing es tu referencia de verificación. Vuelve a ella mentalmente.
• En estándar, las opciones muestran el detalle de la norma aplicable. En experto, ese detalle se oculta.
• Antes de hacer clic, comprueba cuatro cosas: responde al hecho, respeta el plazo o la condición, tiene en cuenta la consecuencia y aporta evidencia.
• Después de decidir, adjunta los documentos que acrediten la decisión. Es el paso que más gente olvida y el que más pesa.

En la siguiente lección entrarás en la lógica de las opciones: por qué una decisión concreta es correcta y otra no, usando como ejemplo el Simulacro 1 (categorización de un sistema) y el Simulacro 2 (notificación de incidente NIS2). Verás el criterio que aplica el simulador en cada caso, con el impacto concreto de cada opción y la razón de fondo.