NIS2, mapeada a ISO 27001

Las diez medidas del artículo 21(2) de NIS2 como lista de comprobación: cada letra citada, las secciones del Reglamento detrás, y los controles ISO 27001 que ya las producen

El artículo 21(2) enumera diez medidas que toda entidad esencial e importante debe adoptar, desde las políticas de análisis de riesgos hasta la autenticación multifactorial. Para los proveedores de nube, de servicios gestionados y los demás proveedores digitales, el Reglamento de Ejecución 2024/2690 detalla cada una en 13 secciones escritas a partir de ISO/IEC 27001 y 27002. Una sola tabla: las diez letras tal como las formula la Directiva, las secciones que detallan cada una, y las cláusulas ISO 27001 y controles del anexo A que producen las pruebas, con los dos puntos que un SGSI no alcanza.

El artículo 20 de NIS2 para el consejo: lo que el órgano de dirección debe aprobar, supervisar y aprender, los doce lugares donde el Reglamento de Ejecución lo nombra, y qué significa la responsabilidad

El artículo 20 de NIS2 obliga al órgano de dirección de una entidad esencial o importante a aprobar las medidas para la gestión de riesgos de ciberseguridad, supervisar su puesta en práctica, responder por los incumplimientos del artículo 21 por parte de la entidad, y asistir a formaciones. El Reglamento de Ejecución 2024/2690 nombra después al órgano de dirección en doce lugares de su anexo: una aprobación fechada de la política, una revisión anual, una línea de información directa, la aceptación de los riesgos residuales, informes de cumplimiento, un programa de sensibilización. Cada uno de los doce como registro, la cláusula de ISO 27001 que ya lo produce, y lo que los artículos 32 y 34 dicen sobre la responsabilidad.

NIS2 para una empresa SaaS: es usted un proveedor de servicios de computación en nube, y esto es lo que sigue

El considerando 33 de la Directiva nombra el software como servicio entre los modelos de servicio en nube, de modo que una empresa SaaS de tamaño mediano o mayor es una entidad de NIS2 como proveedor de servicios de computación en nube: importante por debajo de los límites de las medianas empresas, esencial por encima. Lo que sigue, en el orden en que llega: el Estado de su establecimiento principal, el registro en el que debía estar a más tardar el 17 de enero de 2025, las medidas del Reglamento de Ejecución 2024/2690, los cuatro umbrales de incidente de su artículo 7 y los relojes del artículo 23, y la línea entre todo esto y el CRA.

NIS2 para proveedores de servicios gestionados y MSSP: una entidad del anexo I por definición, y el proveedor en el que aterriza la diligencia de cada cliente

El artículo 6(39) convierte a quien instala, gestiona, explota o mantiene TIC para clientes, in situ o a distancia, en proveedor de servicios gestionados, y el artículo 6(40) convierte a los que ayudan en la gestión de riesgos de ciberseguridad en MSSP. Ambos son tipos del anexo I: importantes en tamaño mediano, esenciales por encima de los límites, bajo la ley del establecimiento principal, en el registro de la ENISA, directamente bajo el Reglamento de Ejecución 2024/2690, con los cuatro umbrales de incidente de su artículo 10. Y el considerando 86 dice a cada cliente esencial e importante que actúe con mayor diligencia al elegirle.

NIS2 o CRA: qué reloj de incidentes corre para una empresa de software, y qué hace 'significativo' un incidente

Ambas normas le dan 24 horas, 72 horas y un mes, y ambas ponen en marcha el reloj cuando usted 'tiene constancia'. Casi todo lo demás difiere: qué lo activa, quién lo recibe, en qué plataforma y qué cuenta. El artículo 23 de NIS2 y el Reglamento de Ejecución 2024/2690 para la empresa que opera un servicio en la nube; el artículo 14 del CRA para la empresa que entrega un producto; ambos para la empresa que hace las dos cosas. Los umbrales, criterio por criterio, y un solo procedimiento que satisface a los dos.

ISO 27001 frente a NIS2: lo que cubre el certificado y lo que no

NIS2 es ley e ISO 27001 es una norma certificable, así que no son alternativas. Aquí está dónde un SGSI existente satisface los requisitos de la directiva, y los dos lugares donde no.

La transposición de NIS2, Estado por Estado: lo que muestra el registro de la propia Comisión

No el rastreador de un despacho: las medidas nacionales que los Estados miembros han comunicado a la Comisión como transposición de la Directiva (UE) 2022/2555, leídas en la Oficina de Publicaciones el 12 de septiembre de 2026. 25 de los 27 Estados han comunicado al menos una, 303 medidas en total; España e Irlanda ninguna; Francia 15 textos, todos anteriores a la Directiva. El acto que cada Estado llama su ley NIS2, cuándo entró en vigor, y qué hace una empresa de software con la respuesta.

¿CRA o NIS2? Cuál se aplica a una empresa de software, y si pueden ser las dos

El Reglamento de Ciberresiliencia regula productos introducidos en el mercado; NIS2 regula entidades que prestan servicios. Una empresa de software puede estar bajo una, la otra, ambas o ninguna, y la respuesta depende de dos preguntas: si introduce un producto en el mercado y si es una entidad mediana o mayor en un sector listado. Las fechas, los relojes de notificación, las multas y la tabla de decisión, a partir de los dos textos.

Qué países de la UE nombran ISO 27001 en las licitaciones públicas: 1.548 anuncios alemanes, 829 polacos, y Grecia tiene la mayor cuota

En 365 días, ISO 27001 aparece en 3.415 anuncios de TED. Alemania y Polonia suman el 70% de ellos, Grecia la nombra en el 2% de todo lo que compra, y Francia, España e Italia apenas la nombran. Aquí está la tabla, la consulta y lo que significan las cifras.