De ISO 27001 a NIS2: un plan práctico para cerrar brechas

Para una organización que ya cuenta con ISO 27001, NIS2 es en gran medida una extensión. El mapeo de ENISA relaciona cada medida técnica del Reglamento de Ejecución de NIS2 con ISO 27001, y nuestro análisis punto por punto muestra cómo hacerlo. Pero tener una correspondencia no significa estar terminado, y las partes que ISO no cubre son precisamente las que los reguladores revisan primero. Este es el orden de trabajo que seguiríamos.

De los 49 puntos de requisito de NIS2, 49 (100%) se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 0 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

Fase 1: confirmar y registrar (semanas 1 a 4)

1. Confirmar el alcance y la clasificación según la ley nacional de cada país de la UE en el que preste servicios: sector, tamaño, entidad esencial o importante.
2. Registrarse ante la autoridad competente cuando sea necesario. Los plazos y los formatos varían según el país.
3. Comparar los ámbitos: su certificado ISO puede cubrir solo parte de la organización, mientras que NIS2 abarca la entidad. Planifique ampliar el alcance del SGSI.

Fase 2: gobernanza (meses 1 a 2)

1. Informar al órgano de dirección sobre sus deberes del artículo 20: aprobar las medidas, supervisarlas y completar la formación. Registrar la aprobación y la formación.
2. Añadir NIS2 al SGSI: incluirlo entre los requisitos legales (A.5.31), tenerlo en cuenta en la evaluación de riesgos y añadir referencias a NIS2 en la Declaración de Aplicabilidad.

Fase 3: notificación (meses 1 a 3)

1. Elaborar el procedimiento de notificación de incidentes significativos: quién decide la significancia, quién notifica al CSIRT o a la autoridad, y cómo cumplir el aviso previo en 24 horas, la notificación en 72 horas y el informe final al mes. Nuestra entrada sobre cómo elaborar ese procedimiento lo explica paso a paso.
2. Probarlo, incluso fuera del horario laboral.

Fase 4: profundizar en las medidas técnicas (meses 2 a 6)

1. Realizar la comparación requisito por requisito con el informe de brechas ISO 27001 → NIS2 y marcar cada punto como cumplido, parcialmente cumplido o no cumplido.
2. Priorizar las brechas habituales: seguridad de la cadena de suministro (criterios para proveedores y cláusulas contractuales), gestión de vulnerabilidades y divulgación coordinada, política de criptografía y evaluación de la eficacia (artículo 21, apartado 2, letra f).
3. Incorporar el detalle de NIS2 en los controles ISO existentes en lugar de crear controles paralelos.

Fase 5: demostrar que funciona (continuo)

1. Incluir NIS2 en la auditoría interna y en la revisión por la dirección.
2. Conservar evidencias de eficacia: métricas, resultados de pruebas y hallazgos de auditoría, porque las autoridades de supervisión piden pruebas de que las medidas funcionan, y no solo de que existen.
3. Vigilar la orientación nacional: las autoridades siguen publicando expectativas y plantillas.

Quién hace qué

Un plan así necesita más que el responsable del SGSI:

• El órgano de dirección: aprueba las medidas, completa la formación y recibe informes periódicos.
• Jurídico o cumplimiento: confirma el alcance según la ley nacional, gestiona el registro y hace seguimiento de la orientación nacional.
• Operaciones de seguridad: es responsable del procedimiento de notificación, de la decisión de significancia y de los ejercicios.
• Compras: incorpora los criterios de selección de proveedores y las cláusulas de seguridad en los contratos.
• Ingeniería y TI: cierra las brechas técnicas, como la divulgación de vulnerabilidades, la criptografía y las métricas de eficacia.
• El responsable del SGSI: coordina, mantiene actualizadas la correspondencia y las evidencias, y dirige la auditoría interna.

Nombrar estos roles desde el principio evita el fallo más común: un programa NIS2 gestionado íntegramente por el equipo de seguridad, que no puede aprobar sus propias medidas ni reescribir los contratos de compras.

Puntos clave

• En organizaciones certificadas en ISO, NIS2 es una extensión, no un programa nuevo.
• Empiece por el alcance, el registro, los deberes de la dirección y la notificación.
• Después profundice en la cadena de suministro, la gestión de vulnerabilidades y la criptografía.

La trampa que hay que evitar

Tratar NIS2 como un ejercicio documental. Las organizaciones certificadas en ISO suelen tener ya las políticas; las autoridades de supervisión preguntarán si el procedimiento de notificación funciona a las 2 de la madrugada, si la dirección ha recibido formación de verdad y si los requisitos a proveedores figuran en contratos reales. Dedique primero el esfuerzo a eso.

Consulte la guía de NIS2 y la comparativa ISO 27001 vs NIS2 para ver el panorama completo.

Preguntas

¿Cuánto tiempo se tarda en pasar de ISO 27001 a NIS2?

Depende del alcance y de las brechas detectadas, pero como la mayoría de las medidas técnicas tienen correspondencia, el trabajo se centra principalmente en gobernanza, notificación, seguridad de proveedores y el refuerzo de controles específicos, por lo general en cuestión de meses y no en un nuevo programa plurianual.

¿Necesito recertificar ISO 27001 para NIS2?

No. El cumplimiento de NIS2 lo evalúa su autoridad nacional, no un organismo de certificación. Incorporar los requisitos de NIS2 al SGSI significa que sus auditorías existentes también los verifican.

¿Es vinculante el mapeo de ENISA?

No. El mapeo de ENISA del Reglamento de Ejecución con ISO 27001 y NIST CSF 2.0 es orientación. Las autoridades nacionales deciden sobre el cumplimiento según la legislación nacional.