Guía NIS2 · 7 min
ISO 27001 y NIS2: lo que su SGSI ya cubre — y las brechas que no
Si ya tiene la ISO/IEC 27001, no parte de cero con NIS2 — ni mucho menos. Un SGSI operativo cubre la mayor parte de la base del artículo 21. Pero la certificación no es conformidad: NIS2 añade deberes legales que un SGSI, por sí solo, no satisface. Esta guía cartografía qué se traslada, dónde están las brechas reales y cómo cerrarlas sin reconstruir lo que ya tiene.
Puntos clave
- La ISO 27001 cubre la mayoría de las medidas del art. 21 de NIS2 — gestión de riesgos, control de acceso, criptografía, continuidad, controles de proveedores — así que es una buena ventaja.
- Pero la certificación no es conformidad: NIS2 añade los plazos legales de notificación, la responsabilidad de la dirección, el registro y la garantía continua de la cadena de suministro.
- Las mayores brechas suelen ser el deber de notificación a 24/72 horas y la monitorización continua de terceros, no los controles básicos.
- Cierre las brechas sobre el SGSI — no reconstruya; asigne sus controles del Anexo A a la lista del art. 21 y añada lo que falte.
Lo que su SGSI ya cubre
La base del artículo 21 de NIS2 y la ISO/IEC 27001 (con sus controles del Anexo A) se solapan ampliamente. Si su SGSI funciona de verdad — no solo está certificado — gran parte de la sustancia técnica y organizativa de la directiva ya está implantada:
- Gestión de riesgos — su proceso de apreciación y tratamiento de riesgos del SGSI se asigna directamente al art. 21(2)(a).
- Control de acceso y criptografía — los controles de acceso y criptografía del Anexo A se alinean con el art. 21(2)(i) y (h).
- Gestión de incidentes — su proceso de incidentes cubre la parte de tratamiento del art. 21(2)(b) (en la parte de notificación NIS2 añade más).
- Continuidad de negocio — los controles de copia de seguridad, recuperación y continuidad se asignan al art. 21(2)(c).
- Relaciones con proveedores — los controles de proveedores del Anexo A son la base sobre la que se apoya el art. 21(2)(d).
Dónde NIS2 va más allá de su SGSI
La certificación demuestra que existe un sistema gestionado para un alcance definido. NIS2 es una obligación legal para toda la entidad afectada y añade deberes que un certificado ISO, por sí solo, no cumple:
Notificación legal de incidentes — la ISO 27001 exige gestionar incidentes; NIS2 exige notificar los significativos a una autoridad nacional con un reloj de 24 h / 72 h / un mes (art. 23). Ningún plazo del SGSI equivale a esto.
Responsabilidad y formación de la dirección — NIS2 obliga al órgano de dirección a aprobar y supervisar las medidas, recibir formación y ser personalmente responsable (art. 20). La ISO pide compromiso de la dirección, no responsabilidad jurídica.
Garantía continua de la cadena de suministro — los controles de proveedores del Anexo A son en gran medida puntuales. El art. 21(2)(d) de NIS2, leído con el criterio de "medidas adecuadas", empuja hacia una monitorización continua del riesgo de proveedores.
Registro y alcance — muchas entidades deben registrarse ante su autoridad nacional, y NIS2 se aplica a toda la organización afectada con independencia del alcance del SGSI que elija.
Realidad de la supervisión — una no conformidad ISO es entre usted y su certificador; un incumplimiento de NIS2 puede significar instrucciones vinculantes y multas de hasta 10 M€ o el 2 % del volumen de negocios (art. 34).
Cerrar la brecha sin reconstruir
La vía eficiente trata NIS2 como un añadido sobre un SGSI operativo, no como un programa paralelo:
- Asigne sus controles del Anexo A a la lista art. 21(2)(a)–(j) — la mayoría de las casillas ya estarán rellenas.
- Monte el flujo de notificación: quién decide la "importancia", quién contacta al CSIRT, y el playbook de 24/72 horas.
- Lleve la gobernanza NIS2 al consejo: aprobación de medidas, reporte de supervisión y formación de la dirección (art. 20).
- Eleve la garantía de proveedores de un cuestionario anual a una monitorización continua para los proveedores críticos.
- Confirme el registro ante su autoridad nacional, y que el alcance de su SGSI cubre los servicios afectados.
Fuente: Directiva (UE) 2022/2555 (NIS2), artículos 20, 21 y 23 — la asignación a ISO/IEC 27001 es indicativa; confirme los requisitos vinculantes en su ley nacional de transposición.
Cómo ayuda norppa.io
Las dos brechas que un SGSI deja más abiertas son justo aquellas para las que norppa.io está hecho: garantía continua de proveedores y evidencia lista para notificar. Cada proveedor monitorizado se comprueba a diario en más de 100 puntos de control, con hallazgos asignados a las mismas subcláusulas del art. 21 que su SGSI ya habla — así el control de la cadena de suministro pasa a ser continuo, no anual.
Y como todo lleva marca de tiempo y es exportable, la evidencia que respalda una notificación del art. 23 o una inspección se sitúa junto a su documentación del SGSI en lugar de en un silo aparte. norppa.io complementa la ISO 27001; no la duplica.