Dos obligaciones que en España conviven. El error es creer que con una tienes la otra.
Miguel Ángel Carriazo
7 mayo 2026
8 min de lectura
Ficha rápida
Los dos marcos de un vistazo
ENS
NIS2
Base legal
Real Decreto 311/2022
Directiva UE 2022/2555
Ámbito geográfico
España — nacional
Unión Europea — comunitario
A quién aplica
AAPP españolas y proveedores TIC del sector público
Entidades esenciales e importantes de 15 sectores críticos en la UE
Enfoque
Requisitos mínimos concretos por categoría de sistema
Gestión de riesgos y resiliencia — objetivos más que métodos
Categorización
Básico, Medio, Alto — medidas distintas por nivel
Entidades esenciales / importantes — obligaciones distintas
Sanciones
Pérdida de contratos públicos — sin multa directa
Hasta 10M€ o 2% facturación global (esenciales)
Estado transposición en España
Plenamente vigente
Anteproyecto de Ley aprobado en enero 2025 — pendiente aprobación definitiva
Puente oficial entre ambos
El CCN publicó el Perfil de Cumplimiento Específico NIS2 (PCE-NIS2) para que las organizaciones ENS puedan alinearse con NIS2 desde su marco actual
Marco nacional · Directiva europea
Dos capas regulatorias que pueden coincidir sobre la misma organización
La comparación es una herramienta de decisión. El solapamiento ayuda a reutilizar controles; las diferencias determinan qué debes gobernar y demostrar.
El contexto que importa
Por qué esta batalla es única en España
En la mayoría de países europeos, NIS2 llega a organizaciones que no tienen un marco nacional de seguridad equivalente. En España no. Aquí existe el ENS desde 2010, actualizado en 2022, con un sistema de categorización, auditoría y certificación maduro.
Esto tiene una consecuencia importante: las organizaciones españolas del sector público — y sus proveedores — que ya cumplen ENS tienen una base sólida para NIS2. El CCN lo reconoció publicando el PCE-NIS2, un perfil de cumplimiento específico que mapea los requisitos NIS2 sobre el marco ENS.
Pero la sinergia no es automática. ENS y NIS2 tienen ámbitos distintos, enfoques distintos y en algunos puntos exigencias distintas. Asumir que uno cubre al otro es el error más frecuente en organizaciones que operan en ambos contextos.
Y hay otro dato relevante: la transposición española de NIS2 sigue pendiente de aprobación definitiva. El anteproyecto de ley fue aprobado por el Consejo de Ministros en enero de 2025, pero aún está en tramitación parlamentaria. Mientras tanto, la directiva europea ya es aplicable — y la Comisión Europea ya inició un procedimiento de infracción contra España por el retraso.
Lo que comparten
Donde ENS da ventaja para NIS2
Una organización con ENS bien implantado tiene una ventaja real para afrontar NIS2. Las áreas de solapamiento son sustanciales.
Área
ENS
NIS2
Gestión de riesgos
Principio básico y requisito mínimo — análisis obligatorio
Art. 21A — gestión continua de riesgos TIC
Gestión de incidentes
Medida operacional op.exp.7
Art. 21B — detección, respuesta y notificación
Continuidad operativa
Medida op.cont — planes de continuidad
Art. 21C — continuidad, backup y gestión de crisis
Art. 21F — evaluación de la eficacia de las medidas
Lo que NO comparten
Donde cada uno va más lejos
Área
ENS
NIS2
Ámbito de aplicación
Solo sector público español y sus proveedores TIC
15 sectores críticos — públicos y privados — en toda la UE
Notificación de incidentes
Notificación al CCN — sin plazos tan estrictos como NIS2
24h alerta, 72h notificación formal, 30 días informe final
Responsabilidad de la dirección
Responsabilidad institucional — no personal directa
Responsabilidad personal y directa de los órganos de dirección — sancionable individualmente
Sanciones
Consecuencia principal: pérdida de contratos públicos
Hasta 10M€ o 2% facturación global — régimen sancionador duro
Enfoque técnico
Prescriptivo — medidas concretas definidas por categoría
Basado en objetivos — cada organización define cómo los alcanza
Dimensiones de seguridad
5: CIA + Autenticidad + Trazabilidad
3: CIA — sin autenticidad ni trazabilidad explícitas
MFA
No exigida explícitamente en todos los niveles
Art. 21J — exigida directamente donde aplique
¿Cuándo aplica cada uno?
La decisión en una tabla
Situación
ENS
NIS2
Administración Pública española
✓ Obligatorio
✓ También — por ser entidad esencial o importante
Proveedor TIC del sector público español
✓ Obligatorio para los sistemas que gestiona
Puede aplicar si supera umbrales de tamaño y sector
Empresa privada en sector crítico (energía, sanidad, finanzas…)
Solo si presta servicios a la AAPP
✓ Obligatorio bajo NIS2
Empresa privada sin vinculación pública ni sector crítico
No aplica
No aplica directamente — puede llegar vía cadena de suministro
AAPP o proveedor TIC en sector crítico
✓ ENS obligatorio
✓ NIS2 también — las dos a la vez, integradas vía PCE-NIS2
La palanca que pocos conocen
El PCE-NIS2 del CCN
El Centro Criptológico Nacional publicó el Perfil de Cumplimiento Específico NIS2 (PCE-NIS2) como herramienta para que las organizaciones sujetas al ENS puedan alinear su cumplimiento con los requisitos de la directiva europea sin duplicar esfuerzo.
El PCE-NIS2 mapea los artículos operativos de NIS2 sobre las medidas del ENS, identifica los solapamientos y señala dónde hay que añadir controles adicionales. Es el camino más eficiente para organizaciones que ya tienen el ENS implantado y necesitan demostrar cumplimiento NIS2.
Si tienes ENS y te aplica NIS2, el PCE-NIS2 es tu punto de partida. No empieces desde cero.
Cómo decidir
Una matriz común de controles puede ayudar; una conclusión común de cumplimiento, no
ENS y NIS2 pueden afectar a una misma organización desde ángulos diferentes. ENS se centra en la protección de sistemas comprendidos en su ámbito y establece una arquitectura de principios, requisitos y medidas. NIS2 obliga a los Estados miembros a establecer medidas para un nivel común elevado de ciberseguridad en entidades de sectores definidos y refuerza gobierno, medidas de gestión del riesgo e incidentes.
La coincidencia operativa es evidente: continuidad, cadena de suministro, incidentes, seguridad de sistemas, gestión de riesgos. Esto permite diseñar una biblioteca común de controles y evidencias. Pero antes hay que conservar la trazabilidad regulatoria. Una misma medida técnica puede responder a dos obligaciones distintas y ser revisada por autoridades o procesos diferentes.
Yo compartiría controles. No mezclaría conclusiones de aplicabilidad ni declaraciones de cumplimiento.
Ref.
Qué revisaría
Qué necesito demostrar
DEC-01
Mapa de entidades y sistemas
Qué entidad jurídica entra en NIS2 y qué sistemas entran en ENS.
DEC-02
Obligaciones
Requisito regulatorio de origen y propietario de cumplimiento.
DEC-03
Control común
Medida técnica u organizativa que responde a varios marcos.
DEC-04
Evidencia
Prueba reutilizable y contexto adicional necesario en cada marco.
DEC-05
Reporting
Autoridad, proceso y plazos aplicables a incidentes o supervisión.
Mi enfoque
Construiría un modelo de control común con trazabilidad por marco.
GRCREAL
Cuando dos marcos se solapan, duplicar controles es una mala solución. Prefiero un control corporativo bien definido, con propietario, alcance y evidencia, relacionado con cada requisito aplicable. Así una revisión ENS puede llegar a la misma evidencia que una revisión NIS2 sin crear dos procesos operativos.
La clave es que el control común no borre la especialidad. La categorización ENS, las medidas concretas y el proceso de conformidad siguen siendo ENS. La aplicabilidad sectorial, el rol del órgano de dirección y las obligaciones de NIS2 siguen siendo NIS2.
Unificar operación es madurez. Unificar obligaciones por comodidad es riesgo.
Veredicto GRCREAL
No compiten. Se superponen — con matices.
ENS y NIS2 no son alternativas — son marcos que en España conviven y se complementan. Para las AAPP y sus proveedores, ambos son obligatorios. La buena noticia es que el solapamiento es alto y el CCN ha publicado las herramientas para gestionarlo de forma integrada.
El ENS va más lejos en la prescripción técnica — te dice exactamente qué controles aplicar y cómo. NIS2 va más lejos en el régimen sancionador, la responsabilidad de la dirección y los plazos de notificación.
Si tienes ENS y te aplica NIS2: usa el PCE-NIS2, haz el gap analysis y cierra las brechas específicas — especialmente notificación con plazos, responsabilidad directiva y MFA.
Si te aplica NIS2 pero no ENS: ISO 27001 sigue siendo el mejor punto de partida estructural. Pero en España, conocer el ENS te da ventaja — muchos auditores y consultores trabajan con esa referencia.
En España, la pregunta no es ENS o NIS2. Es cómo gestionas las dos a la vez sin duplicar el trabajo.
¿Tu organización tiene ENS y también le aplica NIS2?
El gap no es tan grande — pero está exactamente donde más duele.
Sobre el autor
Miguel Ángel Carriazo · vCISO
vCISO · Arquitecto de Soluciones de Infraestructura y Ciberseguridad | Gobierno, Riesgo y Cumplimiento (GRC) | Gobierno de IA · ISO 42001 | Fundador de GRCreal