NIS2, mapeada a ISO 27001

Para quién

Una entidad esencial o importante según NIS2, o un proveedor al que una de ellas pregunta, que ya opera o está construyendo un sistema de gestión ISO/IEC 27001 y quiere saber cuánto del artículo 21 responde ya con él.

Qué se corresponde

Las 10 medidas del artículo 21, apartado 2, cada una con los apartados de ISO/IEC 27001 y los controles del anexo A cuyos registros la evidencian: 73 controles y 14 apartados en total, la lectura de StandardOS, descargable como CSV más abajo.

Qué no

6 lugares donde el reglamento de ejecución pide algo que ningún registro ISO 27001 produce, listados más abajo; y los deberes propios de la directiva, el registro, la formación del órgano de dirección y los plazos de incidentes, que están junto al SGSI, no dentro.

Las diez medidas del artículo 21, apartado 2, correspondidas

Una fila por letra de la directiva: la medida en palabras llanas, el texto de la propia directiva y los apartados de ISO/IEC 27001 y controles del anexo A cuyos registros la evidencian. Entidades esenciales e importantes por igual.

La correspondencia es la lectura de StandardOS de qué registros evidencian qué medida; NIS2 no nombra ninguna norma ni concede presunción de conformidad, y las secciones del reglamento de ejecución de abajo añaden el detalle que la directiva deja abierto.

El considerando 3 del Reglamento es explícito sobre el origen de sus requisitos. Están “based on European and international standards, such as ISO/IEC 27001, ISO/IEC 27002 and ETSI EN 319401”. Eso es lo que hace posible una correspondencia y no una aproximación.

El anexo, sección por sección

Los títulos de las secciones se citan del texto inglés del anexo, ya que la propia ISO 27001 se trabaja en inglés; los títulos de las subsecciones son los del Diario Oficial en este idioma.

Donde un SGSI se detiene, en 6 puntos

Todo lo demás de ese anexo se deriva de un sistema de gestión ISO 27001 conforme. Esto no, y ningún grado de conformidad ISO lo produce:

• 1. Policy on the security of network and information systems

  Los mínimos. El punto 1.1.2 hace que los órganos de dirección revisen la política al menos una vez al año, y el 1.2.3 exige al menos una persona que informe directamente a los órganos de dirección sobre la seguridad de las redes y sistemas de información. La ISO 27001 prevé una revisión por la alta dirección a intervalos planificados y no nombra una línea de reporte así.

• 2. Risk management policy

  El mínimo anual. El punto 2.1.4 exige revisar los resultados de la evaluación de riesgos y el plan de tratamiento de riesgos a intervalos planificados y al menos una vez al año. La ISO 27001 fija los intervalos, sin mínimo.

• 3. Incident handling

  El reloj legal. La ISO 27001 exige un proceso de incidentes; no exige una alerta temprana a 24 horas, una notificación a 72 horas, una doble presentación ante un CSIRT y una autoridad competente, ni una prueba de significancia. Los artículos 3 a 14 del Reglamento de Ejecución hacen todo eso mecánico y uniforme en la UE. El artículo 3, apartado 1, letra a), fija 500.000 € o el 5 % del volumen de negocios, el que sea menor, y nada de ello se deriva por sí solo de un SGSI. Y los registros: según el punto 3.2.5, los registros se conservan y se copian durante un periodo predefinido, protegidos contra el acceso o la modificación no autorizados. A.8.15 pide el registro de eventos; no exige copiar los propios registros durante un periodo fijado.

• 8. Basic cyber hygiene practices and security training

  La formación del órgano de dirección. El artículo 20, apartado 2, de NIS2 exige que los propios miembros del órgano de dirección sigan formación, y el artículo 20, apartado 1, los hace personalmente responsables de aprobar y supervisar las medidas. La ISO 27001 pide compromiso de la dirección y competencia; no inscribe al consejo en el registro de formación ni asocia responsabilidad a la firma.

• 10. Human resources security

  El mínimo anual. El punto 10.1.3 hace que la entidad revise la seguridad de los recursos humanos, incluidos los recursos que le dedica, a intervalos planificados y al menos una vez al año. La ISO 27001 fija los intervalos, sin mínimo.

• 11. Access control

  Varios factores. El punto 11.3.2 exige una identificación y autenticación robustas, como la autenticación multifactor, para las cuentas con privilegios y de administración de sistemas, el 11.7 exige autenticar a los usuarios con varios factores o de forma continua, y el 11.6.2(e) cierra las sesiones inactivas tras un periodo predefinido. A.8.5 pide una autenticación segura y no nombra ninguno de los tres.

Lo que esta página no es

No es una puntuación de cobertura. Un porcentaje único de cuánto de NIS2 cubre la ISO 27001 se cita en muchos sitios. Cada versión es un juicio estructural y no una medición, y no vamos a repetir una cifra cuyo cálculo no podemos mostrar. ENISA publicó una correspondencia legible por máquina en su Technical Implementation Guidance (v1.0, junio de 2025); la correspondencia de arriba es nuestra, a partir de los dos documentos, y debería contrastarla con la suya en lugar de confiar en cualquiera de los dos.

No es un producto NIS2. StandardOS no le registra ante una autoridad nacional, no presenta sus notificaciones de incidentes y no sigue 27 transposiciones nacionales. Si necesita eso, necesita otra cosa, y la versión honesta de nuestra posición es que el conjunto de controles es la parte que merece construirse una vez, porque es la única que es igual en todas partes.

No es una determinación del ámbito. NIS2 obliga a las entidades esenciales e importantes por encima de los umbrales de tamaño del artículo 2. Por debajo de unas 50 personas y 10 millones de euros, muy probablemente queda del todo fuera, con excepciones sectoriales. Esa determinación le corresponde a usted hacerla y registrarla, y no la haremos por usted en una página de marketing.

Los títulos de las secciones se citan del anexo del Reglamento de Ejecución (UE) 2024/2690 tal como está publicado en EUR-Lex, leído el 10 de agosto de 2026. La correspondencia con ISO/IEC 27001 es nuestra y no de ENISA. Esto no es asesoramiento jurídico, y el Reglamento es lo bastante corto para leerlo usted mismo: Reglamento de Ejecución (UE) 2024/2690.