NIS2 vs ISO 27001

GRCreal // expediente: versus comparativa: NIS2

Ficha rápida

Los contendientes de un vistazo

	NIS2	ISO 27001
Tipo	Directiva europea — obligación legal	Norma internacional — voluntaria
En vigor	Octubre 2024	2005 / revisión 2022
Alcance	Entidades esenciales e importantes de 15 sectores críticos en la UE	Cualquier organización, sector y tamaño
Sanciones	Hasta 10M€ o 2% facturación global (esenciales)	Ninguna — es voluntaria
Responsabilidad dirección	Personal y directa — sancionable	Liderazgo y compromiso exigido, sin sanción
Artículos operativos clave	Art. 20 (gobernanza), Art. 21 (riesgos), Art. 23 (notificación)	93 controles en Anexo A
Relación entre ambas	El Preámbulo 79 de NIS2 menciona explícitamente la familia ISO 27000 como base recomendada para la gestión de riesgos

Obligación legal · Sistema de gestión

NIS2 define la obligación; ISO 27001 aporta una forma de gestionarla

La comparación es una herramienta de decisión. El solapamiento ayuda a reutilizar controles; las diferencias determinan qué debes gobernar y demostrar.

El mapping oficial

Qué cubre ISO 27001 de cada artículo NIS2

BSI publicó la herramienta de correspondencia oficial NIS2 → ISO 27001. Este es el resultado artículo por artículo. Es el dato que falta en la mayoría de comparativas.

Artículo NIS2	Controles ISO 27001 que cubren	Gap principal
Art. 20 — Gobernanza	A.5.1, A.5.31, A.5.34, A.5.35, A.5.36, A.6.3	ISO 27001 no impone responsabilidad personal ni sanciones a la dirección
Art. 21A — Análisis de riesgos	Cláusulas 5.2, 6.1.2, 6.1.3, 8.2, 8.3 + A.5.1	Cobertura alta — uno de los puntos con mayor solapamiento real
Art. 21B — Gestión de incidentes	A.5.24, A.5.25, A.5.26, A.5.27, A.5.28, A.6.8, A.8.16	ISO 27001 cubre el proceso. NIS2 exige plazos legales: 24h alerta, 72h notificación, 30 días informe final
Art. 21C — Continuidad y backup	A.5.29, A.5.30, A.8.13, A.8.14, A.8.15, A.8.16	NIS2 exige demostrar eficacia operativa real, no solo existencia documental
Art. 21D — Cadena de suministro	A.5.19, A.5.20, A.5.21, A.5.22, A.5.23	En muchos SGSI existe documentalmente pero no está integrada en el ciclo operativo de riesgo. NIS2 exige trazabilidad real
Art. 21E — Desarrollo y vulnerabilidades	A.8.8, A.8.9, A.8.20, A.8.21, A.5.37, A.6.8	Cobertura razonable con los controles técnicos del Anexo A
Art. 21F — Eficacia de las medidas	Cláusulas 9.1, 9.2, 9.3 + A.5.35, A.5.36	ISO 27001 certifica que los controles existen. NIS2 exige demostrar que funcionan en la práctica
Art. 21G — Higiene y formación	Cláusulas 7.3, 7.4 + A.5.15, A.5.16, A.5.18, A.6.3, A.8.2, A.8.5, A.8.7, A.8.22	Cobertura amplia — mayor solapamiento de toda la directiva
Art. 21H — Criptografía	A.8.24	Un solo control. NIS2 va más lejos en el detalle sectorial
Art. 21I — RRHH, acceso y activos	A.5.9–A.5.11, A.5.15–A.5.18, A.6.1, A.6.2, A.6.4, A.6.5, A.6.6	Cobertura alta
Art. 21J — MFA y comunicaciones seguras	A.5.14, A.5.16, A.5.17	MFA no es requisito explícito en ISO 27001. NIS2 la exige directamente donde aplique
Art. 23 — Notificación a autoridades	A.5.14, A.6.8	ISO 27001 cubre reporte interno de eventos. NIS2 exige notificación a autoridades competentes con plazos legales. Son cosas distintas
Art. 24 — Certificación europea	A.5.20	Cobertura parcial vía gestión de proveedores

Los gaps que más duelen

Lo que ISO 27001 no cubre de NIS2

Área	ISO 27001	NIS2
Responsabilidad de la dirección	Liderazgo y compromiso exigido	Responsabilidad personal y directa — sancionable individualmente
Notificación de incidentes	Proceso de gestión de incidentes documentado	Plazos legales: 24h alerta, 72h notificación, 30 días informe final a la autoridad
Criterio de incidente significativo	No definido como requisito explícito	Debe estar definido, documentado y operativo
Autenticación multifactor	No es requisito explícito	Exigida directamente donde aplique
Requisitos sectoriales	Norma agnóstica al sector	Requisitos distintos por sector: sanidad ≠ energía ≠ infraestructura digital
Eficacia demostrable de controles	Certifica que los controles existen y están documentados	Exige demostrar que funcionan operativamente. No vale solo el papel.

¿Cuándo usar cada una?

La decisión en una tabla

Situación	NIS2	ISO 27001
Entidad esencial o importante	✓ Obligatoria. Sin discusión.	✓ Mejor vehículo para cumplirla
Demostrar madurez a clientes / licitaciones	No aplica directamente	✓ Referencia global reconocida
Proveedor de entidad NIS2	Te alcanza por Art. 21D (cadena de suministro)	✓ Respuesta más sólida ante tu cliente
PYME fuera del ámbito NIS2 directo	Puede llegarte vía cadena de suministro	✓ Voluntaria, pero cada vez más exigida
Tienes ISO 27001 y eres entidad NIS2	Haz el gap analysis. No asumas cobertura automática.	Cubre el 60–80% de NIS2. El 20–40% restante es el que tiene consecuencias legales.

El error más frecuente

El certificado no es cumplimiento

Creer que el certificado ISO 27001 demuestra cumplimiento NIS2 es el error más extendido — y el más caro. No lo demuestra. Demuestra que tienes un sistema de gestión de seguridad auditado. Son cosas distintas.

Para demostrar cumplimiento NIS2 necesitas un gap analysis específico contra los artículos de la directiva, no contra los controles del Anexo A. Algunos requisitos NIS2 no tienen equivalente directo en ISO 27001. Otros sí existen pero con exigencias operativas distintas — especialmente en notificación y en responsabilidad de la dirección.

ISO 27001 cubre entre el 60 y el 80 por ciento de los requisitos técnicos de NIS2. El 20–40 por ciento restante incluye exactamente los artículos que tienen consecuencias legales directas: plazos de notificación, responsabilidad de la dirección y eficacia operativa demostrable.

El gap analysis NIS2 contra tu SGSI actual no es opcional. Es el paso que convierte el certificado en cumplimiento real.

Cómo decidir

Primero aplicabilidad legal. Después arquitectura de cumplimiento.

El orden es importante. Una organización no debería empezar preguntando cuánto “cubre” ISO 27001 de NIS2 sin haber resuelto antes si entra en el ámbito, qué entidades jurídicas están afectadas y qué requisitos nacionales desarrollan la Directiva. NIS2 es una directiva europea y su aplicación efectiva depende de la transposición de cada Estado miembro.

Una vez definido el alcance, un SGSI puede aportar mucho: contexto, evaluación del riesgo, política, roles, gestión de proveedores, incidentes, continuidad, auditoría y mejora. Pero NIS2 introduce responsabilidades y obligaciones legales concretas, entre ellas la aprobación y supervisión por los órganos de dirección y el régimen de notificación de incidentes significativos.

ISO 27001 puede ser parte de la arquitectura de cumplimiento. No debería utilizarse como argumento automático de cumplimiento normativo.

Ref.	Qué revisaría	Qué necesito demostrar
DEC-01	Aplicabilidad NIS2	Entidades, sectores, tamaño, excepciones y legislación nacional aplicable.
DEC-02	Gobierno	Aprobación y supervisión de medidas por el órgano de dirección.
DEC-03	Mapa de medidas	Relación entre obligaciones NIS2, riesgos y controles existentes.
DEC-04	Incidentes	Criterios, escalado y capacidad de cumplir ventanas de notificación.
DEC-05	Brecha residual	Requisitos legales que no quedan resueltos por el SGSI existente.

Mi enfoque

No haría un mapping para demostrar cobertura. Lo usaría para localizar trabajo.

GRCREAL

Los mappings son útiles cuando terminan en una lista de decisiones. Qué requisito ya está soportado por un proceso maduro. Qué evidencia existe. Qué control necesita ajuste. Qué obligación no tiene propietario. Qué parte depende de la transposición nacional.

Revisaría especialmente los procesos que suelen funcionar bien “para ISO” pero mal bajo presión regulatoria: reporting a dirección, cadena de suministro, gestión de vulnerabilidades, incidentes y continuidad. No porque ISO 27001 no los contemple, sino porque el nivel de detalle, responsabilidad o plazo exigido puede cambiar.

La ventaja de un SGSI maduro es reducir el trabajo nuevo. El riesgo es utilizar la certificación para dejar de preguntar.

Veredicto GRCREAL

NIS2 obliga. ISO 27001 estructura. Las dos juntas funcionan.

NIS2 te obliga. ISO 27001 te ayuda a cumplirla de forma estructurada y demostrable. Son complementarias — no alternativas.

Sin ISO 27001: demostrar el cumplimiento NIS2 es más difícil, más caro y menos creíble ante una autoridad supervisora.

Con ISO 27001 sola: cubres la base técnica, pero te quedas sin cubrir lo que más duele — los plazos legales, la responsabilidad personal de la dirección y la demostración de que los controles funcionan en la práctica.

La transición hacia NIS2 suele durar entre 1 y 3 años. Si aún no has empezado, ya vas tarde.

¿Tienes ISO 27001
y crees que ya cumples NIS2?

Probablemente tienes el 60–80%. El resto son exactamente los artículos con consecuencias legales.

Sobre el autor

Miguel Ángel Carriazo · vCISO

vCISO · Arquitecto de Soluciones de Infraestructura y Ciberseguridad | Gobierno, Riesgo y Cumplimiento (GRC) | Gobierno de IA · ISO 42001 | Fundador de GRCreal