Comparación

NIS2 frente a ISO 27001: ¿basta con tu SGSI?

ISO/IEC 27001:2022 · NIS2 Implementing Regulation (EU) 2024/2690 · datos 2026-10-27

Por Paul Gillet · Actualizado 2026-10-17

La NIS2 (Directiva (UE) 2022/2555) exige a las entidades esenciales e importantes de toda la UE adoptar medidas para la gestión de riesgos de ciberseguridad y notificar los incidentes significativos. El Reglamento de Ejecución (UE) 2024/2690 de la Comisión detalla dichas medidas para los proveedores de infraestructura digital y de servicios TIC (DNS, nube, centros de datos, proveedores de servicios gestionados y de seguridad gestionados, plataformas en línea y otros). La guía técnica de implementación de ENISA correlaciona cada uno de sus requisitos con la ISO/IEC 27001:2022.

Esa correspondencia es la razón por la que cada punto de la NIS2 que aparece a continuación figura como cubierto si ya tienes ISO 27001: ENISA vincula cada punto con cláusulas concretas de ISO o con controles del Anexo A. Un SGSI conforme a ISO 27001 es la vía más directa hacia la preparación técnica para la NIS2, y muchos Estados miembros lo consideran una evidencia sólida.

Pero ENISA deja claro que implementar las normas correlacionadas "no supone cumplimiento". La NIS2 también introduce obligaciones que ISO no contempla: la responsabilidad y la formación del órgano de dirección (artículo 20), la notificación de incidentes a tu CSIRT o autoridad en plazos fijos (artículo 23: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes), el registro ante tu autoridad nacional y los detalles de transposición nacional, que varían según el país.

Si pasas de la NIS2 a ISO, el trabajo pendiente es el sistema de gestión certificable: alcance, liderazgo, información documentada, auditoría interna y revisión por la dirección.

De un vistazo

	ISO 27001	NIS2
Qué es	Una norma voluntaria y certificable	Derecho de la UE, aplicado mediante legislación nacional
A quién se aplica	A quien decida adoptarla	Entidades esenciales e importantes en 18 sectores
Notificación de incidentes	No exigida por la norma	Alerta temprana en 24 horas, notificación en 72 horas, informe final en un mes
Responsabilidad de la dirección	Compromiso de la dirección (cláusula 5)	La dirección debe aprobar, supervisar y recibir formación, y puede ser responsable
Evaluación	Auditorías de la entidad de certificación	Supervisión, auditorías y sanciones por parte de la autoridad nacional
Correspondencia oficial	—	ENISA correlaciona cada punto del Reglamento de Ejecución con ISO 27001

Lo que ISO 27001 no te proporciona

Plazos de notificación: un procedimiento probado para decidir si un incidente es significativo y notificarlo en 24 y 72 horas, incluso fuera del horario laboral.
Formación y responsabilidad de la dirección: el artículo 20 exige que el órgano de dirección reciba formación y apruebe las medidas.
Registro ante tu autoridad nacional.
Requisitos técnicos específicos: algunos puntos del Reglamento de Ejecución (por ejemplo, en criptografía, gestión de vulnerabilidades y seguridad de la cadena de suministro) son más prescriptivos que el control correspondiente del Anexo A.
Alcance: un certificado ISO puede cubrir solo una parte de la organización; la NIS2 se aplica a la entidad.

Usar ISO 27001 como eje vertebrador

Si estás certificado, realiza un análisis de brechas a partir de tu Declaración de Aplicabilidad frente al Anexo del Reglamento de Ejecución (o al artículo 21 según tu derecho nacional), amplía el alcance del SGSI a toda la entidad si es necesario, y añade el procedimiento de notificación y la formación de la dirección al SGSI para que se auditen junto con el resto. Son las autoridades, no las entidades de certificación, quienes deciden sobre el cumplimiento, pero un SGSI en funcionamiento es una evidencia sólida de medidas eficaces.

Quién necesita cada cosa

La NIS2 es obligatoria para las entidades esenciales e importantes de los sectores que enumera, en general organizaciones medianas y grandes que operan en la UE, además de algunos proveedores más pequeños, como los proveedores de DNS y de servicios de confianza. ISO 27001 es voluntaria, pero con frecuencia la exigen los clientes. Las organizaciones sujetas a la NIS2 que además venden a empresas o concurren a contratos públicos suelen acabar con ambas: la NIS2 porque la ley lo exige, e ISO 27001 porque los clientes piden un certificado.

Coste y esfuerzo

En una organización que ya tiene ISO 27001, la mayor parte del coste de la NIS2 está en la gobernanza y los procesos más que en la tecnología: formación y aprobación por parte de la dirección, un procedimiento probado de notificación de incidentes significativos, requisitos de seguridad para proveedores incorporados a los contratos, registro y evidencias de que las medidas funcionan. Existen brechas técnicas, pero suelen ser más acotadas: divulgación de vulnerabilidades, normas de criptografía y medidas específicas de la cadena de suministro. Para una organización que parte de cero, construir un SGSI de estilo ISO suele ser la forma más eficiente de cumplir las medidas del artículo 21 de la NIS2, tanto si después se certifica como si no.

Calendario

Una organización certificada en ISO normalmente puede cerrar las brechas específicas de la NIS2 en tres a seis meses: primero el registro y la formación de la dirección, después el procedimiento de notificación en el primer trimestre, y luego la seguridad de los proveedores y las medidas técnicas más específicas. Nuestro plan de ISO 27001 a NIS2 detalla el orden de las tareas. Si partes sin ISO, prevé los seis a doce meses que suele requerir un primer SGSI, dando prioridad a la notificación y a la gobernanza porque los supervisores las revisan en primer lugar.

Caso práctico: un proveedor de servicios gestionados

Un proveedor de servicios gestionados de 200 personas en la UE tiene ISO 27001 para sus servicios de alojamiento y soporte. Como proveedor de servicios gestionados, está sujeto a la NIS2, y las medidas detalladas del Reglamento de Ejecución le son de aplicación directa.

La correspondencia de ENISA muestra que cada punto del Reglamento de Ejecución está vinculado a un control ISO que la entidad ya tiene implantado. Por ello, su trabajo de brechas se centra en: ampliar el alcance del SGSI de dos líneas de servicio a toda la entidad; formar al consejo de administración y registrar su aprobación de las medidas; crear un procedimiento de notificación de incidentes significativos en 24 horas con cobertura fuera del horario laboral; añadir requisitos de seguridad y cláusulas de notificación de incidentes a sus propios contratos con proveedores; y publicar una política coordinada de divulgación de vulnerabilidades. En seis meses puede demostrar a su autoridad nacional un conjunto de medidas en funcionamiento y auditadas, con el SGSI aportando la evidencia de eficacia que exige el artículo 21, apartado 2, letra f).

Errores habituales

Suponer que el certificado lo resuelve todo. Los supervisores evalúan el cumplimiento de la NIS2; las entidades de certificación no.
Dejar el alcance demasiado estrecho. Un alcance ISO que cubre una sola línea de servicio no cubre una obligación legal que afecta a toda la entidad.
Redactar un procedimiento de notificación que nadie ha probado, sobre todo fuera del horario laboral, cuando el plazo de 24 horas es más difícil de cumplir.
Ignorar el derecho nacional. El registro, la supervisión y algunos detalles difieren entre Estados miembros.
Formar a la dirección una sola vez y olvidarlo. El artículo 20 espera que la formación se mantenga, no que sea una sesión puntual.

Conclusiones clave

ISO 27001 → NIS2: las medidas técnicas están en gran medida cubiertas; añade los procedimientos de notificación del artículo 23, la formación de la dirección y el registro nacional.
Verifica la transposición de tu país: los requisitos y las prácticas de supervisión difieren según el Estado miembro.
Asegúrate de que la seguridad de la cadena de suministro (sección 5 del CIR) está evidenciada, y no solo recogida en una política.

Descargar esta comparación (CSV) Abrir en análisis de brechas →

Tiene ISO 27001 → necesita NIS2

49 req.

49 asignados · · 0 sin asignación Abrir en vista de brechas →

De los 49 requisitos de NIS2 Implementing Regulation (EU) 2024/2690, 49 se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 0 no tienen correspondencia en nuestros datos.

NIS2 aquí se refiere a las medidas técnicas del Reglamento de Ejecución (UE) 2024/2690, que se aplica directamente a proveedores de infraestructura digital y de servicios TIC; las demás entidades NIS2 siguen la transposición de su país del artículo 21. Los plazos de notificación de incidentes (artículo 23) no están incluidos en el alcance. El mapeo de ENISA no es vinculante.

Correspondencia (49)

NIS2	Requisito	Coincidencia	ISO 27001	Evidencia
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Correspondencia	A.5.1 A.5.37 Clause 5.2+3	Mismo tema: Política de gobernanza
1.2	Roles, responsibilities and authorities	Correspondencia	A.5.2 A.5.4 A.5.3+1	Mismo tema: Funciones y responsabilidades
2. Risk management policy · 3
2.1	Risk management framework	Correspondencia	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3+8	Mismo tema: Gestión de riesgos, Evaluación de riesgos
2.2	Compliance monitoring	Correspondencia	A.5.31 Clause 9.1 A.5.36+2	Mismo tema: Cumplimiento
2.3	Independent review of information and network security	Correspondencia	A.5.31 A.5.36 Clause 9.1+4	Mismo tema: Cumplimiento (selección editorial)
3. Incident handling · 6
3.1	Incident handling policy	Correspondencia	A.5.24 A.5.25 A.5.26	Mismo tema: Respuesta a incidentes
3.2	Monitoring and logging	Correspondencia	A.5.25 A.8.15 A.8.16+2	Mismo tema: SIEM / SOC, Registro y auditoría, Monitoreo cont., Detección de intrusiones
3.3	Event reporting	Correspondencia	A.5.5 A.6.8	Mismo tema: Notificación
3.4	Event assessment and classification	Correspondencia	A.5.25 A.8.16	Mismo tema: SIEM / SOC, Detección de anomalías
3.5	Incident response	Correspondencia	A.5.24 A.5.25 A.5.26+1	Mismo tema: Respuesta a incidentes, Mitigación
3.6	Post-incident reviews	Correspondencia	A.5.27 Clause 10.1	Mismo tema: Lecciones aprendidas
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Correspondencia	A.5.29 A.5.30 A.8.14	Mismo tema: Planificación de la recuperación, Continuidad del negocio, Recuperación ante desastres
4.2	Backup management	Correspondencia	A.5.30 A.8.13 A.8.14	Mismo tema: Recuperación ante desastres, Copias de seguridad y recuperación
4.3	Crisis management	Correspondencia	A.5.26 A.5.29 A.5.30+3	Mismo tema: Comunicaciones y restauración, Continuidad del negocio
5. Supply chain security · 2
5.1	Supply chain security policy	Correspondencia	A.5.19 A.5.20 A.5.21+2	Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores
5.2	Directory of suppliers and service providers	Correspondencia	A.5.19 A.5.20 A.5.22	Mismo tema: Gestión de riesgos de proveedores
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Correspondencia	A.5.19 A.5.20 A.5.21+2	Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores
6.2	Secure development life cycle	Correspondencia	A.8.25 A.8.26 A.8.28+2	Mismo tema: Desarrollo seguro
6.3	Configuration management	Correspondencia	A.8.9	Mismo tema: Configuración segura
6.4	Change management, repairs and maintenance	Correspondencia	A.7.13 A.8.32 Clause 6.3+1	ENISA NIS2 → ISO 27001 mapping
6.5	Security testing	Correspondencia	A.8.8 A.8.29 A.8.33+1	Mismo tema: Gestión de vulnerabilidades
6.6	Security patch management	Correspondencia	A.8.8 A.8.31 A.8.32	Mismo tema: Gestión de parches
6.7	Network security	Correspondencia	A.8.20 A.8.21 A.8.22+1	Mismo tema: Cortafuegos / Segmentación de red
6.8	Network segmentation	Correspondencia	A.5.15 A.8.5 A.8.20+2	Mismo tema: Confianza cero, Cortafuegos / Segmentación de red
6.9	Protection against malicious and unauthorised software	Correspondencia	A.5.14 A.8.19 A.8.1+2	Mismo tema: Seguridad del correo electrónico, Protección de endpoints
6.10	Vulnerability handling and disclosure	Correspondencia	A.8.8	Mismo tema: Gestión de vulnerabilidades
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Correspondencia	Clause 6.1.1 Clause 6.1.3 Clause 6.2+2	Mismo tema: Gestión de riesgos
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Correspondencia	A.6.3 Clause 7.3 A.8.7	Mismo tema: Concienciación y formación
8.2	Security training	Correspondencia	A.6.3 Clause 7.3 Clause 7.2	Mismo tema: Concienciación y formación
9. Cryptography · 1
9.1	Cryptography	Correspondencia	A.8.24 A.5.31	Mismo tema: Cifrado
10. Human resources security · 4
10.1	Human resources security	Correspondencia	A.6.2 A.6.3 Clause 7.1+1	ENISA NIS2 → ISO 27001 mapping
10.2	Verification of Background	Correspondencia	A.6.1 A.6.4 A.8.16	Mismo tema: Amenaza interna
10.3	Termination or change of employment procedures	Correspondencia	A.6.5	ENISA NIS2 → ISO 27001 mapping
10.4	Disciplinary process	Correspondencia	A.6.1 A.6.4 A.8.16+1	Mismo tema: Amenaza interna
11. Access control · 7
11.1	Access control policy	Correspondencia	A.5.15 A.5.16 A.5.18+5	Mismo tema: Control de acceso, Confianza cero
11.2	Management of access rights	Correspondencia	A.5.15 A.5.16 A.5.18+2	Mismo tema: Control de acceso
11.3	Privileged accounts and system administration accounts	Correspondencia	A.8.2 A.8.18	Mismo tema: Acceso privilegiado
11.4	Administration systems	Correspondencia	A.8.2 A.8.18	Mismo tema: Acceso privilegiado
11.5	Identification	Correspondencia	A.5.15 A.5.16 A.5.18+1	Mismo tema: Control de acceso
11.6	Authentication	Correspondencia	A.5.15 A.8.5 A.8.22+1	Mismo tema: Confianza cero, Autenticación multifactor
11.7	Multi-factor authentication	Correspondencia	A.8.5	Mismo tema: Autenticación multifactor
12. Asset management · 5
12.1	Asset classification	Correspondencia	A.5.12 A.5.13 A.5.9	Mismo tema: Clasificación de datos
12.2	Handling of assets	Correspondencia	A.5.14 A.8.10 A.8.11+3	Mismo tema: Protección de datos
12.3	Removable media policy	Correspondencia	A.5.14 A.8.10 A.8.11+3	Mismo tema: Protección de datos
12.4	Asset inventory	Correspondencia	A.5.9 A.5.11 A.7.14	Mismo tema: Gestión de activos
12.5	Deposit, return or deletion of assets upon termination of employment	Correspondencia	A.5.11 A.5.18 A.8.24	ENISA NIS2 → ISO 27001 mapping
13. Environmental and physical security · 3
13.1	Supporting utilities	Correspondencia	A.7.1 A.7.2 A.7.3+6	Mismo tema: Seguridad física
13.2	Protection against physical and environmental threats	Correspondencia	A.7.1 A.7.2 A.7.3+6	Mismo tema: Seguridad física
13.3	Perimeter and physical access control	Correspondencia	A.7.1 A.7.2 A.7.3+6	Mismo tema: Seguridad física

Tiene NIS2 → necesita ISO 27001

123 req.

104 asignados · · 6 sin asignación Abrir en vista de brechas →

De los 123 requisitos de ISO/IEC 27001:2022, 104 se corresponden con algo en NIS2, 13 solo guardan una relación tangencial y 6 no tienen correspondencia en nuestros datos.

Probablemente trabajo nuevo: requisitos de ISO 27001 sin correspondencia con NIS2 (6)

ISO 27001	Requisito	Coincidencia	NIS2	Evidencia
ISMS clauses 4–10 · 6
Clause 4.3	Determining the scope of the ISMS	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
Clause 5.1	Leadership and commitment	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
Clause 7.5.1	General	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
Clause 7.5.2	Creating and updating	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
Clause 7.5.3	Control of documented information	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.
Clause 10.2	Nonconformity and corrective action	Sin correspondencia en nuestros datos	—	Sin correspondencia con NIS2 en nuestros datos.

Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (13)

ISO 27001	Requisito	Coincidencia	NIS2	Evidencia
A.5 Organizational controls · 3
A.5.8	Information security in project management	Relación tangencial	5.1 5.2 6.2+2	Solo comparte subcategorías de CSF GV.OC-05, ID.AM-08: relacionado, no es una correspondencia
A.5.33	Protection of records	Relación tangencial	9.1 12.3	Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia
A.5.34	Privacy and protection of PII	Relación tangencial	1.1 6.1	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
A.6 People controls · 2
A.6.6	Confidentiality or non-disclosure agreements	Relación tangencial	2.1 10.1 10.2+1	Solo comparte subcategorías de CSF GV.RR-03, GV.RR-04: relacionado, no es una correspondencia
A.6.7	Remote working	Relación tangencial	1.1 10.1 10.2+5	Solo comparte subcategorías de CSF GV.PO-01, GV.RR-04: relacionado, no es una correspondencia
A.7 Physical controls · 1
A.7.9	Security of assets off-premises	Relación tangencial	9.1 12.3	Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia
A.8 Technological controls · 4
A.8.4	Access to source code	Relación tangencial	9.1 11.1 11.2+4	Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.AA-05: relacionado, no es una correspondencia
A.8.6	Capacity management	Relación tangencial	6.6 6.9	Solo comparte subcategorías de CSF DE.CM-09: relacionado, no es una correspondencia
A.8.23	Web filtering	Relación tangencial	6.7 6.8	Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia
A.8.27	Secure system architecture and engineering principles	Relación tangencial	4.3	Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia
ISMS clauses 4–10 · 3
Clause 4.1	Understanding the organization and its context	Relación tangencial	1.1	Solo comparte subcategorías de CSF GV.OC-02: relacionado, no es una correspondencia
Clause 4.2	Understanding the needs and expectations of interested parties	Relación tangencial	5.1 1.1 9.1+5	Solo comparte subcategorías de CSF GV.OC-03, GV.SC-05, GV.SC-06, GV.OC-02…: relacionado, no es una correspondencia
Clause 4.4	Information security management system	Relación tangencial	1.1	Solo comparte subcategorías de CSF GV.OC-02: relacionado, no es una correspondencia

Correspondencia (104)

ISO 27001	Requisito	Coincidencia	NIS2	Evidencia
A.5 Organizational controls · 34
A.5.1	Policies for information security	Correspondencia	1.1	Mismo tema: Política de gobernanza
A.5.2	Information security roles and responsibilities	Correspondencia	1.2	Mismo tema: Funciones y responsabilidades
A.5.3	Segregation of duties	Correspondencia	1.2 11.2	ENISA NIS2 → ISO 27001 mapping
A.5.4	Management responsibilities	Correspondencia	1.2 1.1	Mismo tema: Funciones y responsabilidades
A.5.5	Contact with authorities	Correspondencia	3.3	Mismo tema: Notificación
A.5.6	Contact with special interest groups	Editorial	4.3	Mismo tema: Comunicación (selección editorial)
A.5.7	Threat intelligence	Correspondencia	2.1	ENISA NIS2 → ISO 27001 mapping
A.5.9	Inventory of information and other associated assets	Correspondencia	12.4 12.1 12.2	Mismo tema: Gestión de activos
A.5.10	Acceptable use of information and other associated assets	Correspondencia	12.2	ENISA NIS2 → ISO 27001 mapping
A.5.11	Return of assets	Correspondencia	12.4 12.5	Mismo tema: Gestión de activos
A.5.12	Classification of information	Correspondencia	12.1	Mismo tema: Clasificación de datos
A.5.13	Labelling of information	Correspondencia	12.1	Mismo tema: Clasificación de datos
A.5.14	Information transfer	Correspondencia	6.9 12.2 12.3	Mismo tema: Seguridad del correo electrónico, Protección de datos
A.5.15	Access control	Correspondencia	6.8 11.1 11.2+2	Mismo tema: Confianza cero, Control de acceso
A.5.16	Identity management	Correspondencia	11.1 11.2 11.5	Mismo tema: Control de acceso
A.5.17	Authentication information	Correspondencia	11.6	ENISA NIS2 → ISO 27001 mapping
A.5.18	Access rights	Correspondencia	11.1 11.2 11.5+1	Mismo tema: Control de acceso
A.5.19	Information security in supplier relationships	Correspondencia	5.1 5.2 6.1+1	Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores
A.5.20	Addressing information security within supplier agreements	Correspondencia	5.1 5.2 6.1+1	Mismo tema: Gestión de riesgos de proveedores
A.5.21	Managing information security in the ICT supply chain	Correspondencia	5.1 6.1 2.1	Mismo tema: Riesgo de la cadena de suministro
A.5.22	Monitoring, review and change management of supplier services	Correspondencia	5.1 5.2 6.1	Mismo tema: Gestión de riesgos de proveedores
A.5.23	Information security for use of cloud services	Correspondencia	6.1	Mismo tema: Seguridad en la nube
A.5.24	Information security incident management planning and preparation	Correspondencia	3.1 3.5	Mismo tema: Respuesta a incidentes
A.5.25	Assessment and decision on information security events	Correspondencia	3.1 3.2 3.4+1	Mismo tema: Respuesta a incidentes, SIEM / SOC
A.5.26	Response to information security incidents	Correspondencia	3.1 3.5 4.3	Mismo tema: Respuesta a incidentes, Mitigación, Comunicaciones y restauración
A.5.27	Learning from information security incidents	Correspondencia	3.6	Mismo tema: Lecciones aprendidas
A.5.28	Collection of evidence	Correspondencia	3.5 3.2 10.4	Mismo tema: Análisis forense
A.5.29	Information security during disruption	Correspondencia	4.1 4.3	Mismo tema: Planificación de la recuperación, Continuidad del negocio
A.5.30	ICT readiness for business continuity	Correspondencia	4.1 4.2 4.3	Mismo tema: Planificación de la recuperación, Continuidad del negocio, Recuperación ante desastres
A.5.31	Legal, statutory, regulatory and contractual requirements	Correspondencia	2.2 2.3 9.1	Mismo tema: Cumplimiento
A.5.32	Intellectual property rights	Correspondencia	6.9	ENISA NIS2 → ISO 27001 mapping
A.5.35	Independent review of information security	Correspondencia	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
A.5.36	Compliance with policies, rules and standards for information security	Correspondencia	2.2 2.3 1.1	Mismo tema: Cumplimiento (selección editorial)
A.5.37	Documented operating procedures	Correspondencia	1.1	Mismo tema: Política de gobernanza
A.6 People controls · 6
A.6.1	Screening	Correspondencia	10.2 10.4	Mismo tema: Amenaza interna
A.6.2	Terms and conditions of employment	Correspondencia	10.1	ENISA NIS2 → ISO 27001 mapping
A.6.3	Information security awareness, education and training	Correspondencia	8.1 8.2 10.1	Mismo tema: Concienciación y formación
A.6.4	Disciplinary process	Correspondencia	10.2 10.4	Mismo tema: Amenaza interna
A.6.5	Responsibilities after termination or change of employment	Correspondencia	10.3	ENISA NIS2 → ISO 27001 mapping
A.6.8	Information security event reporting	Correspondencia	3.3	Mismo tema: Notificación
A.7 Physical controls · 13
A.7.1	Physical security perimeters	Correspondencia	13.1 13.2 13.3	Mismo tema: Seguridad física
A.7.2	Physical entry	Correspondencia	13.1 13.2 13.3+1	Mismo tema: Seguridad física
A.7.3	Securing offices, rooms and facilities	Correspondencia	13.1 13.2 13.3	Mismo tema: Seguridad física
A.7.4	Physical security monitoring	Correspondencia	13.1 13.2 13.3	Mismo tema: Seguridad física
A.7.5	Protecting against physical and environmental threats	Correspondencia	13.1 13.2 13.3	Mismo tema: Seguridad física
A.7.6	Working in secure areas	Correspondencia	13.1 13.2 13.3	Mismo tema: Seguridad física
A.7.7	Clear desk and clear screen	Correspondencia	12.3	ENISA NIS2 → ISO 27001 mapping
A.7.8	Equipment siting and protection	Correspondencia	13.1 13.2 13.3	Mismo tema: Seguridad física
A.7.10	Storage media	Correspondencia	12.2 12.3	ENISA NIS2 → ISO 27001 mapping
A.7.11	Supporting utilities	Correspondencia	13.1 13.2 13.3	Mismo tema: Seguridad física
A.7.12	Cabling security	Correspondencia	13.1 13.2 13.3	Mismo tema: Seguridad física
A.7.13	Equipment maintenance	Correspondencia	6.4	ENISA NIS2 → ISO 27001 mapping
A.7.14	Secure disposal or re-use of equipment	Correspondencia	12.4	Mismo tema: Gestión de activos
A.8 Technological controls · 30
A.8.1	User endpoint devices	Editorial	6.9	Mismo tema: Protección de endpoints (selección editorial)
A.8.2	Privileged access rights	Correspondencia	11.3 11.4	Mismo tema: Acceso privilegiado
A.8.3	Information access restriction	Correspondencia	11.1 11.2 11.5	Mismo tema: Control de acceso
A.8.5	Secure authentication	Correspondencia	6.8 11.1 11.6+1	Mismo tema: Confianza cero, Autenticación multifactor
A.8.7	Protection against malware	Correspondencia	6.9 8.1	Mismo tema: Protección de endpoints (selección editorial)
A.8.8	Management of technical vulnerabilities	Correspondencia	6.5 6.6 6.10	Mismo tema: Gestión de vulnerabilidades, Gestión de parches
A.8.9	Configuration management	Correspondencia	6.3	Mismo tema: Configuración segura
A.8.10	Information deletion	Correspondencia	12.2 12.3	Mismo tema: Protección de datos
A.8.11	Data masking	Correspondencia	12.2 12.3	Mismo tema: Protección de datos
A.8.12	Data leakage prevention	Correspondencia	12.3	Mismo tema: DLP
A.8.13	Information backup	Correspondencia	4.2	Mismo tema: Copias de seguridad y recuperación
A.8.14	Redundancy of information processing facilities	Correspondencia	4.1 4.2 4.3	Mismo tema: Continuidad del negocio, Recuperación ante desastres
A.8.15	Logging	Correspondencia	3.2	Mismo tema: Registro y auditoría
A.8.16	Monitoring activities	Correspondencia	3.2 3.4 10.2+2	Mismo tema: Monitoreo cont., Detección de intrusiones, SIEM / SOC, Detección de anomalías, Amenaza interna
A.8.17	Clock synchronization	Correspondencia	3.2	Mismo tema: Registro y auditoría
A.8.18	Use of privileged utility programs	Correspondencia	11.3 11.4	Mismo tema: Acceso privilegiado
A.8.19	Installation of software on operational systems	Correspondencia	6.9	Mismo tema: Protección de endpoints
A.8.20	Networks security	Correspondencia	6.7 6.8	Mismo tema: Cortafuegos / Segmentación de red
A.8.21	Security of network services	Correspondencia	6.7 6.8 11.1	Mismo tema: Cortafuegos / Segmentación de red
A.8.22	Segregation of networks	Correspondencia	6.7 6.8 11.1+1	Mismo tema: Cortafuegos / Segmentación de red, Confianza cero
A.8.24	Use of cryptography	Correspondencia	9.1 12.5	Mismo tema: Cifrado
A.8.25	Secure development life cycle	Correspondencia	6.2	Mismo tema: Desarrollo seguro
A.8.26	Application security requirements	Correspondencia	6.2	Mismo tema: Desarrollo seguro
A.8.28	Secure coding	Correspondencia	6.2	Mismo tema: Desarrollo seguro
A.8.29	Security testing in development and acceptance	Correspondencia	6.2 6.5	Mismo tema: Desarrollo seguro
A.8.30	Outsourced development	Correspondencia	5.1	ENISA NIS2 → ISO 27001 mapping
A.8.31	Separation of development, test and production environments	Correspondencia	6.2 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.32	Change management	Correspondencia	6.4 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.33	Test information	Correspondencia	6.5	ENISA NIS2 → ISO 27001 mapping
A.8.34	Protection of information systems during audit testing	Correspondencia	2.3 6.5	ENISA NIS2 → ISO 27001 mapping
ISMS clauses 4–10 · 21
Clause 5.2	Policy	Correspondencia	1.1	Mismo tema: Política de gobernanza
Clause 5.3	Organizational roles, responsibilities and authorities	Correspondencia	1.2	ENISA NIS2 → ISO 27001 mapping
Clause 6.1.1	General	Correspondencia	2.1 7.1	Mismo tema: Gestión de riesgos
Clause 6.1.2	Information security risk assessment	Correspondencia	2.1	Mismo tema: Evaluación de riesgos
Clause 6.1.3	Information security risk treatment	Correspondencia	2.1 7.1	Mismo tema: Gestión de riesgos, Evaluación de riesgos
Clause 6.2	Information security objectives and planning to achieve them	Correspondencia	2.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 6.3	Planning of changes	Correspondencia	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 7.1	Resources	Correspondencia	10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.2	Competence	Correspondencia	8.2 10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.3	Awareness	Correspondencia	8.1 8.2	Mismo tema: Concienciación y formación
Clause 7.4	Communication	Correspondencia	4.3	Mismo tema: Comunicación, Comunicaciones y restauración
Clause 8.1	Operational planning and control	Correspondencia	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 8.2	Information security risk assessment	Correspondencia	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 8.3	Information security risk treatment	Correspondencia	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.1	Monitoring, measurement, analysis and evaluation	Correspondencia	2.2 2.3 7.1	Mismo tema: Cumplimiento
Clause 9.2.1	General	Correspondencia	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.2.2	Internal audit programme	Correspondencia	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.1	General	Correspondencia	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.2	Management review inputs	Correspondencia	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.3	Management review results	Correspondencia	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 10.1	Continual improvement	Correspondencia	3.6 2.3	Mismo tema: Lecciones aprendidas (selección editorial)

Por tema

Ambos cubren (43):

Política de gobernanza Concienciación y formación Gestión de riesgos Riesgo de la cadena de suministro Funciones y responsabilidades Cumplimiento Gestión de activos Evaluación de riesgos Clasificación de datos Gestión de vulnerabilidades Control de acceso Autenticación multifactor Cifrado Protección de datos Copias de seguridad y recuperación Acceso privilegiado Cortafuegos / Segmentación de red Protección de endpoints Gestión de parches Configuración segura Desarrollo seguro Seguridad del correo electrónico Confianza cero Seguridad en la nube DLP Monitoreo cont.Registro y auditoría Detección de intrusiones Detección de anomalías SIEM / SOC Respuesta a incidentes Análisis forense Comunicación Mitigación Notificación Planificación de la recuperación Continuidad del negocio Lecciones aprendidas Comunicaciones y restauración Recuperación ante desastres Amenaza interna Gestión de riesgos de proveedores Seguridad física

Solo ISO 27001 (7):

Entorno empresarial Inteligencia de amenazas Seguridad web Seguridad móvil Seguridad DNS WAF Seguridad de APIs

Preguntas

¿La certificación ISO 27001 satisface la NIS2?

No por sí sola. Cubre la mayoría de las medidas técnicas y organizativas, pero no los plazos de notificación, la formación de la dirección, el registro ni cada requisito técnico específico.

¿Exigirá la NIS2 la certificación ISO 27001?

La NIS2 permite a los Estados miembros exigir esquemas de certificación para algunos servicios, pero no exige con carácter general la ISO 27001. Consulta tu derecho nacional.

¿Aceptan los reguladores de la NIS2 los certificados ISO 27001?

Las autoridades pueden tener la certificación en cuenta como evidencia, y algunas leyes nacionales la mencionan, pero evalúan el cumplimiento frente a la propia NIS2. Un certificado no cubre las obligaciones de notificación, gobernanza y registro.

¿Es la NIS2 más estricta que la ISO 27001?

En algunos aspectos. La NIS2 añade obligaciones legales que ISO no contempla (plazos de notificación, responsabilidad de la dirección, supervisión con multas), y el Reglamento de Ejecución es más prescriptivo en algunos puntos técnicos. La ISO 27001 exige un sistema de gestión completo, algo que la NIS2 no exige.

¿Se aplica la NIS2 a empresas fuera de la UE?

Sí, puede aplicarse. Algunos proveedores digitales que ofrecen servicios en la UE sin estar establecidos allí deben designar un representante en un Estado miembro y cumplir la norma.

¿Cuáles son las sanciones previstas en la NIS2?

Los Estados miembros deben permitir multas de al menos 10 millones de euros o del 2 % del volumen de negocio anual mundial para las entidades esenciales, y de 7 millones de euros o del 1,4 % para las entidades importantes, aplicándose la cuantía más alta.

¿Debe una empresa sin ISO 27001 certificarse para la NIS2?

La certificación no es obligatoria, pero un SGSI es una forma eficiente de implantar y evidenciar las medidas de la NIS2. Muchas organizaciones construyen el SGSI para la NIS2 y deciden la certificación por separado.

Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.

Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · Relación tangencial solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.