Qué cubre ISO 27001 de NIS2, punto por punto

Si tiene un certificado ISO 27001 y le aplica NIS2, la primera pregunta es cuánto del trabajo ya está hecho. La buena noticia es que ENISA, la agencia de ciberseguridad de la UE, ha respondido a la mayor parte de ella: su guía de implementación asigna cada punto del Reglamento de Ejecución de NIS2 a cláusulas de ISO 27001 o controles del Anexo A.

A continuación se muestra cómo es esa correspondencia, requisito por requisito, y las partes de NIS2 que no toca.

La cifra clave

De los 49 puntos de requisito de NIS2, 49 (100%) se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 0 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

Cada uno de los puntos de requisitos del Anexo del Reglamento de Ejecución (UE) 2024/2690 tiene correspondencia con algún elemento de ISO 27001. Estos vínculos proceden de la tabla de correspondencia propia de ENISA, no de nuestro criterio, por eso se etiquetan como correspondencia.

Cada punto de NIS2 y su equivalente en ISO

NIS2	Requisito	Coincidencia	ISO 27001
1.1	Policy on the security of network and information systems	Correspondencia	A.5.1A.5.37Clause 5.2A.5.4
1.2	Roles, responsibilities and authorities	Correspondencia	A.5.2A.5.4A.5.3Clause 5.3
2.1	Risk management framework	Correspondencia	Clause 6.1.1Clause 6.1.2Clause 6.1.3A.5.7
2.2	Compliance monitoring	Correspondencia	A.5.31Clause 9.1A.5.36A.5.35
2.3	Independent review of information and network security	Correspondencia	A.5.31A.5.36Clause 9.1A.5.35
3.1	Incident handling policy	Correspondencia	A.5.24A.5.25A.5.26
3.2	Monitoring and logging	Correspondencia	A.5.25A.8.15A.8.16A.8.17
3.3	Event reporting	Correspondencia	A.5.5A.6.8
3.4	Event assessment and classification	Correspondencia	A.5.25A.8.16
3.5	Incident response	Correspondencia	A.5.24A.5.25A.5.26A.5.28
3.6	Post-incident reviews	Correspondencia	A.5.27Clause 10.1
4.1	Business continuity and disaster recovery plan	Correspondencia	A.5.29A.5.30A.8.14
4.2	Backup management	Correspondencia	A.5.30A.8.13A.8.14
4.3	Crisis management	Correspondencia	A.5.26A.5.29A.5.30A.8.14
5.1	Supply chain security policy	Correspondencia	A.5.19A.5.20A.5.21A.5.22
5.2	Directory of suppliers and service providers	Correspondencia	A.5.19A.5.20A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Correspondencia	A.5.19A.5.20A.5.21A.5.22
6.2	Secure development life cycle	Correspondencia	A.8.25A.8.26A.8.28A.8.29
6.3	Configuration management	Correspondencia	A.8.9
6.4	Change management, repairs and maintenance	Correspondencia	A.7.13A.8.32Clause 6.3Clause 8.1
6.5	Security testing	Correspondencia	A.8.8A.8.29A.8.33A.8.34
6.6	Security patch management	Correspondencia	A.8.8A.8.31A.8.32
6.7	Network security	Correspondencia	A.8.20A.8.21A.8.22A.8.16
6.8	Network segmentation	Correspondencia	A.5.15A.8.5A.8.20A.8.21
6.9	Protection against malicious and unauthorised software	Correspondencia	A.5.14A.8.19A.8.1A.8.7
6.10	Vulnerability handling and disclosure	Correspondencia	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Correspondencia	Clause 6.1.1Clause 6.1.3Clause 6.2Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	Correspondencia	A.6.3Clause 7.3A.8.7
8.2	Security training	Correspondencia	A.6.3Clause 7.3Clause 7.2
9.1	Cryptography	Correspondencia	A.8.24A.5.31
10.1	Human resources security	Correspondencia	A.6.2A.6.3Clause 7.1Clause 7.2
10.2	Verification of Background	Correspondencia	A.6.1A.6.4A.8.16
10.3	Termination or change of employment procedures	Correspondencia	A.6.5
10.4	Disciplinary process	Correspondencia	A.6.1A.6.4A.8.16A.5.28
11.1	Access control policy	Correspondencia	A.5.15A.5.16A.5.18A.8.3
11.2	Management of access rights	Correspondencia	A.5.15A.5.16A.5.18A.8.3
11.3	Privileged accounts and system administration accounts	Correspondencia	A.8.2A.8.18
11.4	Administration systems	Correspondencia	A.8.2A.8.18
11.5	Identification	Correspondencia	A.5.15A.5.16A.5.18A.8.3
11.6	Authentication	Correspondencia	A.5.15A.8.5A.8.22A.5.17
11.7	Multi-factor authentication	Correspondencia	A.8.5
12.1	Asset classification	Correspondencia	A.5.12A.5.13A.5.9
12.2	Handling of assets	Correspondencia	A.5.14A.8.10A.8.11A.5.9
12.3	Removable media policy	Correspondencia	A.5.14A.8.10A.8.11A.8.12
12.4	Asset inventory	Correspondencia	A.5.9A.5.11A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	Correspondencia	A.5.11A.5.18A.8.24
13.1	Supporting utilities	Correspondencia	A.7.1A.7.2A.7.3A.7.4
13.2	Protection against physical and environmental threats	Correspondencia	A.7.1A.7.2A.7.3A.7.4
13.3	Perimeter and physical access control	Correspondencia	A.7.1A.7.2A.7.3A.7.4

Lea la tabla como «dónde buscar en su SGSI», no como «ya hecho». Una correspondencia indica que el control ISO aborda el mismo asunto. Si su implementación cumple el punto de NIS2 depende de cómo haya implantado el control y del detalle del texto de NIS2, que suele ser más específico que el Anexo A.

Lo que ISO 27001 no le ofrece

El Reglamento de Ejecución cubre las medidas de gestión de riesgos del artículo 21. La propia NIS2 exige más, y nada de ello está en ISO 27001:

• Plazos de notificación de incidentes (artículo 23): una alerta temprana al CSIRT o a la autoridad competente en un plazo de 24 horas desde que se tiene conocimiento de un incidente significativo, una notificación en 72 horas y un informe final en el plazo de un mes. ISO 27001 exige gestión de incidentes, no notificación regulatoria con plazos.
• Responsabilidad de la dirección (artículo 20): el órgano de dirección debe aprobar las medidas, supervisarlas y participar en la formación, y puede ser considerado responsable. La cláusula 5 de ISO exige compromiso de la dirección, lo cual es más laxo.
• Registro ante su autoridad nacional, y supervisión por parte de esta.
• Alcance: un certificado ISO puede cubrir una parte de la organización. NIS2 se aplica a la entidad.

Algunos puntos del Anexo también van más allá del control ISO correspondiente. La seguridad de la cadena de suministro, la gestión y divulgación de vulnerabilidades y la criptografía son ejemplos habituales: el control ISO existe, pero NIS2 detalla más.

Lo contrario: lo que NIS2 deja fuera de ISO

De los 123 Controles del Anexo A y cláusulas del SGSI de ISO 27001, 104 (85%) se corresponden con algo en NIS2, 13 solo guardan una relación tangencial y 6 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

Los requisitos de ISO sin correspondencia en NIS2 son mecánicas propias del sistema de gestión:

ISO 27001	Requisito	Coincidencia	NIS2
Clause 4.3	Determining the scope of the ISMS	Sin correspondencia en nuestros datos	—
Clause 5.1	Leadership and commitment	Sin correspondencia en nuestros datos	—
Clause 7.5.1	General	Sin correspondencia en nuestros datos	—
Clause 7.5.2	Creating and updating	Sin correspondencia en nuestros datos	—
Clause 7.5.3	Control of documented information	Sin correspondencia en nuestros datos	—
Clause 10.2	Nonconformity and corrective action	Sin correspondencia en nuestros datos	—

NIS2 no exige operar un sistema de gestión certificable, así que el alcance del SGSI, el control documental y las acciones correctivas formales no tienen una contrapartida directa. Esto funciona en ambos sentidos. Una organización que construya su cumplimiento de NIS2 desde cero no los necesita, pero un SGSI le proporciona la prueba más sólida de que sus medidas son eficaces, algo que el artículo 21, apartado 2, letra f), sí exige.

Qué hacer si ya tiene ISO 27001

1. Confirme que está dentro del ámbito de aplicación según la legislación nacional de cada país en el que opera, y regístrese donde sea necesario.
2. Compruebe que el alcance de su certificado abarca toda la entidad, no solo un servicio o una sede.
3. Realice la comparación desde su Declaración de Aplicabilidad hasta los puntos del Anexo indicados arriba; nuestro informe de brechas ISO 27001 → NIS2 lo exporta como un registro de seguimiento.
4. Añada al SGSI lo que ISO no cubre: el procedimiento de notificación con sus plazos de 24 y 72 horas, la formación de la dirección y el registro. Incluirlos dentro del SGSI significa que sus auditorías internas y de vigilancia también los revisarán.
5. Refuerce los controles donde NIS2 es más específica, empezando por la seguridad de la cadena de suministro y la gestión de vulnerabilidades.

Para una visión más amplia, consulte nuestra guía de NIS2 y la comparativa completa entre ISO 27001 y NIS2.

Preguntas

¿La certificación ISO 27001 le hace cumplir con NIS2?

No. Cubre la mayoría de las medidas técnicas y organizativas, pero NIS2 añade plazos de notificación de incidentes, formación y responsabilidad de la dirección, registro ante la autoridad nacional y algunos requisitos más específicos que el Anexo A. Son las autoridades nacionales, no los organismos de certificación, quienes deciden sobre el cumplimiento.

¿Qué es el Reglamento de Ejecución de NIS2?

El Reglamento de Ejecución (UE) 2024/2690 de la Comisión desarrolla en detalle las medidas del artículo 21 de NIS2 para proveedores de DNS, registros de dominios de primer nivel, proveedores de nube y centros de datos, proveedores de servicios gestionados (de seguridad), mercados en línea, motores de búsqueda, redes sociales y prestadores de servicios de confianza.