¿Te sirve la ISO 27001 para cumplir la NIS2?
Sirve de base y no basta. Las diez medidas del artículo 21 de la NIS2 son las que trabaja un sistema de gestión de la seguridad, y el Reglamento 2024/2690 dice que sus requisitos se basan en la ISO/IEC 27001. Pero la directiva añade avisos de incidentes, deberes de la dirección y supervisión pública.
Lo dice el propio texto europeo. El considerando 3 del Reglamento de Ejecución (UE) 2024/2690, que detalla las medidas de la NIS2 para los proveedores digitales, explica que sus requisitos «se basan en normas europeas e internacionales, como las normas ISO/IEC 27001, ISO/IEC 27002 y ETSI EN 319401». Y el artículo 21.1 de la directiva pide tener en cuenta «las normas europeas e internacionales pertinentes» al elegir las medidas.
| Situación | NIS2 | ISO/IEC 27001 |
|---|---|---|
| Qué es | Una directiva europea que cada Estado incorpora a su ley | Una norma internacional de observancia no obligatoria (Reglamento 1025/2012) |
| Quién te la exige | La ley, si eres entidad esencial o importante; tus clientes obligados, por contrato | Un cliente, un pliego o tu propia decisión |
| Quién lo comprueba | La autoridad competente: inspecciones, auditorías y requerimientos (artículos 32 y 33) | Una entidad de certificación; en España, las acredita ENAC |
| Qué pasa si fallas | Multas con un máximo de al menos 10 M€ o el 2 % de la facturación mundial (esenciales) y 7 M€ o el 1,4 % (importantes), artículo 34 | No obtienes el certificado o lo pierdes, más lo que diga tu contrato |
| ¿Se certifica? | No hay certificado NIS2: las medidas se demuestran con pruebas | Sí, para el alcance que figura en el certificado, con auditorías de seguimiento y de renovación |
En España, a octubre de 2026, la NIS2 no tiene ley de transposición en el BOE y sigue vigente el Real Decreto-ley 12/2018; el detalle, en el estado de la NIS2 en España. Si todavía no sabes qué pide la directiva, empieza por qué es la NIS2.
¿Qué medidas del artículo 21 de la NIS2 trabaja un sistema ISO 27001?
Las diez tienen correspondencia. La tabla de ENISA relaciona los 49 requisitos con que el Reglamento 2024/2690 desarrolla el artículo 21.2 con apartados de la ISO/IEC 27001:2022, y todos tienen al menos uno. Que exista la referencia no significa que tu sistema lo cumpla: depende del alcance certificado y de los controles que elegiste.
| Medida del artículo 21.2 | Apartado del Reglamento 2024/2690 (puntos) | Qué revisar en tu sistema ISO 27001 |
|---|---|---|
| a) Políticas de seguridad y análisis de riesgos | 1 y 2 (5) | Que la dirección revise la política y el análisis de riesgos al menos una vez al año (1.1.2 y 2.1.4) |
| b) Gestión de incidentes | 3 (6) | Que el procedimiento incluya los avisos a la autoridad de 24 horas, 72 horas y un mes (artículo 23) |
| c) Continuidad, copias y gestión de crisis | 4 (3) | Copias fuera de la red del sistema y planes con plazos de recuperación (4.2.2) |
| d) Cadena de suministro | 5 (2) | Un registro de proveedores directos con su contacto y lo que te prestan (5.2) |
| e) Adquisición, desarrollo y mantenimiento | 6 (10) | Parches aplicados en un plazo razonable y probados antes de llegar a producción (6.6.1) |
| f) Evaluar la eficacia de las medidas | 7 (1) | Qué se mide, cómo, cuándo y quién lo evalúa (7.2) |
| g) Ciberhigiene y formación | 8 (2) | Sensibilización que incluya a la dirección y a los proveedores directos (8.1.1) |
| h) Criptografía y cifrado | 9 (1) | Reglas de cifrado según la clasificación de cada activo (9.1) |
| i) Recursos humanos, accesos y activos | 10, 11 y 12 (15) | Un inventario de activos completo, preciso y actualizado (12.4.1) |
| j) Autenticación multifactor | 11.7 (1) | Doble factor según la clasificación del activo al que se accede (11.7.1) |
Para la política y los riesgos, ENISA cita cláusulas del cuerpo de la norma, como el tratamiento de riesgos (6.1.3), la auditoría interna (9.2) y la revisión por la dirección (9.3); para la mayoría de los demás puntos, controles de su anexo A. El reglamento obliga solo a proveedores digitales, como los de nube, centros de datos o servicios gestionados; para el resto de empresas es la mejor referencia de lo que se espera en cada letra, como explica el checklist de la NIS2.
¿Qué pide la NIS2 que un certificado ISO 27001 no resuelve?
Lo que depende de la ley y no de la norma: avisar al CSIRT o a la autoridad de un incidente significativo en 24 horas, 72 horas y un mes (artículo 23); que la dirección apruebe las medidas, las supervise, se forme y responda (artículo 20); y la supervisión pública (artículos 32 y 33).
24 horas
Alerta temprana
Indica si se sospecha una acción ilícita o un efecto en otros países.
72 horas
Notificación del incidente
Evaluación inicial: gravedad, impacto e indicadores de compromiso.
Si lo piden
Informe intermedio
A petición del CSIRT o de la autoridad.
1 mes
Informe final
Desde la notificación: descripción, causa probable y medidas aplicadas.
Fuente: Directiva (UE) 2022/2555 (NIS2), arts. 3, 20, 21, 23, 24, 25, 32, 33 y 34, consultado el .
Tu sistema ISO puede tener un buen procedimiento de incidentes, pero esos plazos y ese destinatario los fija la directiva, no la norma. Comprueba que están escritos, con quién decide avisar y quién avisa, y únelos a tu plan de respuesta a incidentes.
La responsabilidad de la dirección tampoco se delega en un certificado. El artículo 20 pide que los órganos de dirección aprueben las medidas, supervisen su aplicación, respondan del incumplimiento y asistan a formación; lo desarrolla la guía de la responsabilidad de la dirección. Y la lista de entidades esenciales e importantes la elabora cada Estado (artículo 3.3): ningún certificado privado te mete ni te saca de ella.
¿Es verdad que la ISO 27001 cubre el 70 % de la NIS2?
No hay fuente oficial para ese porcentaje. La correspondencia que publicó ENISA va requisito a requisito, no da ninguna cifra global y advierte de que no evalúa si una norma cubre del todo lo que pide el reglamento. Un porcentaje no te dice qué te falta; la lista de requisitos, sí.
La cifra del 70 % se repite en páginas de consultoras y de fabricantes sin enlace a un estudio. Y aunque fuera cierta para una empresa, no lo sería para otra: un certificado cuyo alcance es un solo servicio deja fuera el resto de sistemas, mientras que el artículo 21.1 habla de los sistemas de redes y de información que la empresa usa en sus operaciones o en la prestación de sus servicios.
La guía técnica de ENISA añade otra advertencia que vale para cualquier lista: aplicar sus orientaciones y ejemplos, en parte o enteros, no supone cumplir el reglamento. Lo que cuenta es que cada medida exista, funcione y tenga su prueba.
¿Te obliga la NIS2 a certificarte en la ISO 27001?
No. La directiva pide a los Estados fomentar normas europeas e internacionales sin imponer una tecnología (artículo 25). Su artículo 24 solo prevé exigir productos, servicios o procesos TIC certificados con esquemas europeos de ciberseguridad, que no son la ISO 27001. Quien sí puede pedírtela es tu cliente.
Una norma ISO es, por definición legal, una especificación «cuya observancia no es obligatoria» (Reglamento (UE) 1025/2012, artículo 2.1). La petición llega por el lado del cliente, que tiene que cuidar la seguridad de sus proveedores directos y valorar sus prácticas (artículo 21, apartados 2.d y 3). La guía técnica de ENISA, entre las opciones para tratar con proveedores grandes, cita elegir los que tienen certificaciones estándar, con la ISO 27001 y el informe SOC 2 como ejemplos.
Si te la piden y no la tienes, mira primero cómo está redactado el requisito: lo explica me piden la ISO 27001 y no la tengo. Qué es el otro ejemplo que pone ENISA, en el informe SOC 2. Y qué exige la norma y cuándo compensa certificarse, en ISO 27001 para pymes.
¿Para qué sirve la tabla de correspondencia de ENISA entre la NIS2 y la ISO 27001?
Para saber qué parte de tu sistema ISO 27001 enseñar cuando te pregunten por un requisito de la NIS2. ENISA la publicó el 26 de junio de 2025; la versión vigente en octubre de 2026, la 1.2, es del 21 de agosto de 2025. Es orientativa: no sustituye a lo que fije cada Estado.
49 de 49
requisitos del anexo del Reglamento 2024/2690 que la tabla de ENISA relaciona con algún apartado de la ISO/IEC 27001:2022. Los 49 tienen también correspondencia con el Esquema Nacional de Seguridad.
Además de la ISO 27001, la tabla relaciona cada requisito con el marco de ciberseguridad 2.0 del NIST, la norma ETSI EN 319 401, la especificación técnica CEN/TS 18026:2024 y cinco marcos nacionales, entre ellos el español: el Esquema Nacional de Seguridad. Cómo se compara el ENS con la ISO 27001 para una empresa que vende en España está en ENS o ISO 27001.
Úsala así: busca el requisito, mira qué apartado de la ISO 27001 cita y comprueba en tu declaración de aplicabilidad que ese control está aplicado y tiene una prueba reciente. Los ejemplos de evidencia de cada requisito están en la guía técnica, en inglés. ENISA también advierte de que la tabla no es vinculante y de que cada Estado decide cómo supervisa.
¿Qué evidencias de la ISO 27001 reutilizas para la NIS2?
Casi todo el sistema documental: la política aprobada por la dirección, el análisis de riesgos con su plan de tratamiento, la declaración de aplicabilidad, el registro de incidentes, los informes de auditoría interna y las actas de revisión por la dirección. ENISA da ejemplos de evidencia por requisito, y muchos coinciden.
Documentos que ya tienes
- Política de seguridad con la fecha en que la aprobó la dirección
- Análisis de riesgos y plan de tratamiento (el reglamento pide revisarlos al menos cada año)
- Declaración de aplicabilidad, con los controles que aplicas
- Alcance del sistema, con los servicios y las sedes que cubre
Registros que ya llevas
- Registro de incidentes y sus revisiones posteriores
- Informes de auditoría interna
- Actas de revisión por la dirección
- Registros de formación y sensibilización
Lo que suele faltar para la NIS2
- Procedimiento de aviso en 24 horas, 72 horas y un mes, con quién decide y a quién se avisa
- Registro de proveedores directos con su contacto y lo que te prestan
- Formación específica de la dirección
- Un alcance que cubra todos los sistemas que usas en tu actividad, no solo un servicio
Ordenar todo eso para enseñarlo por partes es lo que hace un dossier de evidencias; qué lleva cada apartado, en el índice del dossier. Qué documentos tiene un sistema de gestión de la seguridad, en qué es un SGSI.
¿Por dónde empieza una pyme que no tiene ni la ISO 27001 ni la NIS2?
Por saber si la NIS2 te aplica: empresas de sus sectores con 50 personas o más, o con menos si superan 10 M€ de facturación y 10 M€ de balance. Si no te aplica, tus clientes obligados te pedirán medidas. En los dos casos, el orden es riesgos, medidas, pruebas y, si lo exigen, certificado.
¿Tu empresa está en un sector de la NIS2 y supera el umbral?
- Sí
- Las diez medidas serán obligación legal: la ISO 27001 es una forma de organizarlas
- No
- Te llegarán igual, en los cuestionarios y cláusulas de tus clientes obligados
¿Un cliente o un pliego pide el certificado ISO 27001 sin alternativa?
- Sí
- Planifica la certificación con el alcance que te piden
- No
- Un sistema documentado con pruebas basta para responder
¿Tienes ya el análisis de riesgos por escrito?
- Sí
- Revisa tu declaración de aplicabilidad contra las diez letras del artículo 21.2
- No
- Empieza por ahí: decide qué medidas pones y en qué orden
El umbral exacto está en el umbral de la NIS2; cómo se hace el análisis, en análisis de riesgos de ciberseguridad, y qué cuesta, en cuánto cuesta cumplir la NIS2. Más guías, en normativa.
Talvit no certifica. Aplicamos buena parte de las medidas, documentamos tu sistema de gestión de la seguridad y reunimos las pruebas cada mes en tu dossier, que sirven para responder por la NIS2 y de base si decides certificarte en la ISO 27001. Cómo lo hacemos, en la página de la NIS2.
Lo que esta guía no cubre
- No es asesoramiento jurídico: si tu empresa es entidad esencial o importante lo dirá la ley española de transposición, que a octubre de 2026 no está en el BOE.
- No reproduce la ISO/IEC 27001, que es una norma de pago: citamos lo que publican ENISA y el Foro Internacional de Acreditación.
- No recorre los 49 requisitos uno a uno: para eso está la tabla de ENISA.
Preguntas frecuentes
¿Me sirve un certificado ISO 27001 de la versión 2013 para la NIS2?
No está en vigor: el Foro Internacional de Acreditación fijó que las certificaciones de la versión 2013 caducaran o se retiraran al acabar la transición, el 31 de octubre de 2025. La tabla de ENISA, además, cita la versión de 2022.
¿Existe un certificado de cumplimiento de la NIS2?
No. La directiva no crea un certificado propio: las medidas se demuestran con pruebas. El artículo 24 permite a los Estados exigir productos, servicios o procesos TIC certificados con esquemas europeos, que es otra cosa.
¿Mi certificadora ISO puede auditarme la NIS2?
La supervisión de la NIS2 es de la autoridad competente, que puede someter a la empresa a auditorías de un organismo independiente (artículos 32 y 33). Qué papel tendrán las certificadoras en España lo dirá la ley de transposición.
¿Y el ENS sirve para la NIS2?
ENISA lo incluye como marco nacional en su tabla, con correspondencia para los 49 requisitos y el mismo aviso: no mide equivalencia. La ley española que concrete cómo se acredita la NIS2 no está en el BOE.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), arts. 3, 20, 21, 23, 24, 25, 32, 33 y 34, consultado el
- Reglamento de Ejecución (UE) 2024/2690, considerandos 3 y 7, art. 1 y anexo, consultado el
- ENISA, NIS2 Technical Implementation Guidance, versión 1.0, 26 de junio de 2025, consultado el
- ENISA, tabla de correspondencia de la guía técnica de la NIS2, versión 1.2, 21 de agosto de 2025, consultado el
- IAF MD 26:2023, transición a la ISO/IEC 27001:2022, consultado el
- Reglamento (UE) 1025/2012, sobre la normalización europea, art. 2.1, consultado el
- Recomendación 2003/361/CE de la Comisión, definición de pyme, anexo, art. 2, consultado el
- BOE, Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información (vigente), consultado el
- ENAC, Entidad Nacional de Acreditación, consultado el
Registro de cambios
- : Publicación.
