Quién entra en NIS2, qué pide el ENS (RD 311/2022) y cómo cumplir los dos con un solo sistema. Guía 2026 de un Lead Auditor ISO 27001 y 42001.
NIS2 es la directiva europea de ciberseguridad (Directiva (UE) 2022/2555) que obliga a las medianas y grandes empresas de 18 sectores —y arrastra a sus proveedores— a gestionar riesgos, notificar incidentes en plazos de 24 y 72 horas y hacer responsable a la dirección. El ENS (Real Decreto 311/2022) es la norma española que exige medidas de seguridad concretas a todo el sector público y a las empresas privadas que le prestan servicios. Los dos marcos, más la ISO 27001 que te pedirá algún cliente, comparten la mayoría del trabajo: se implementa una vez, con método, y se responde a los tres. Lo explico desde el sitio del auditor que después tiene que encontrar la evidencia.
La Directiva NIS2 está en vigor desde el 16 de enero de 2023 y el plazo de transposición venció el 17 de octubre de 2024. España todavía no ha publicado la ley de transposición: el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025 y el texto sigue en tramitación parlamentaria, pero, a 18 de agosto de 2026, no consta publicada en el BOE la norma nacional de transposición. El ENS sí está plenamente en vigor: Real Decreto 311/2022 (desde el 5 de mayo de 2022), con los periodos de adecuación ya vencidos.
El expediente europeo ya no está en la fase de aviso: está en el Tribunal. La Comisión Europea envió cartas de emplazamiento el 28 de noviembre de 2024 y dictámenes motivados el 7 de mayo de 2025, y el 8 de julio de 2026 decidió remitir a España —junto a Irlanda, Francia y Países Bajos— al Tribunal de Justicia de la Unión Europea, pidiendo además sanciones económicas: una suma a tanto alzado y una multa coercitiva diaria hasta que se notifique la transposición completa. Conviene leer ese dato con precisión: quien está ante el Tribunal es el Estado español, no tu empresa. Ninguna empresa va a ser sancionada por un retraso que no es suyo. Lo que sí indica es que la vía de escape política se ha agotado: con una multa coercitiva diaria corriendo, la ley va a salir, y va a salir con prisa.
Conclusión de auditor: desconfía de quien afirme que «NIS2 ya se ha transpuesto» —el criterio es simple, si no puedes encontrar la ley en el BOE, no existe—, y no esperes a la ley para empezar, porque tus clientes ya trasladan estas obligaciones por contrato y los plazos de adecuación y registro serán cortos.
Sectores de los anexos I (energía, transporte, banca, sanidad, agua, infraestructura digital, gestión de servicios TIC, administración pública, espacio) y II (postales, residuos, químicas, alimentación, fabricación, proveedores digitales e investigación), con umbral general de mediana empresa según la definición europea (que computa también empresas asociadas o vinculadas): como referencia, 50 o más empleados o más de 10 millones de euros de facturación o balance, y excepciones que entran sin umbral. Las obligaciones de fondo son las mismas para entidades esenciales e importantes; cambian la supervisión y las multas (hasta 10 M€ o el 2% para esenciales; hasta 7 M€ o el 1,4% para importantes). Y la vía más infravalorada: la cadena de suministro — si le vendes a una entidad en alcance, sus obligaciones bajan hacia ti por contrato, y el impacto comercial puede ser igual de serio que una sanción. En un tejido de muchas pymes proveedoras de unas pocas tractoras industriales ese arrastre es la vía de entrada más habitual: lo aterrizo con datos locales en la página de ciberseguridad para empresas de Asturias.
| # | Medida (art. 21.2) | Qué significa en tu empresa |
|---|---|---|
| a | Políticas de análisis de riesgos y seguridad | Un análisis de riesgos vivo y políticas aprobadas por dirección |
| b | Gestión de incidentes | Procedimiento escrito, roles definidos y registro que se usa de verdad |
| c | Continuidad de negocio y gestión de crisis | Copias de seguridad probadas, plan de recuperación y crisis ensayada |
| d | Seguridad de la cadena de suministro | Inventario de proveedores críticos, cláusulas y evaluación proporcional |
| e | Seguridad en adquisición, desarrollo y mantenimiento | Requisitos de seguridad al comprar y desarrollar; gestión de vulnerabilidades |
| f | Evaluación de la eficacia de las medidas | Auditorías internas, métricas y revisiones: demostrar que funciona |
| g | Ciberhigiene básica y formación | Parcheo, hardening y concienciación demostrable para toda la plantilla |
| h | Criptografía y cifrado | Política de cifrado: qué se cifra, con qué y quién custodia las claves |
| i | Seguridad de RRHH, accesos y activos | Altas y bajas con proceso, mínimo privilegio e inventario real |
| j | MFA y comunicaciones seguras | MFA desplegado, comunicaciones seguras y canal de emergencia |
El artículo 20 exige que los órganos de dirección aprueben las medidas, supervisen su aplicación, respondan por los incumplimientos y se formen en ciberseguridad: actas de comité con decisiones, cuadro de mando que dirección entienda y certificados de formación. El artículo 23 fija el reloj de notificación ante incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes, ante el CSIRT de referencia (INCIBE-CERT para el sector privado, CCN-CERT para el público). Las 24 horas se cumplen con procedimiento ensayado o no se cumplen.
El ENS (RD 311/2022) aplica al sector público y a los sistemas con los que las empresas privadas, en virtud de un contrato, prestan servicios o proveen soluciones a las entidades públicas para el ejercicio de sus competencias (art. 2); la vía de entrada práctica es el pliego. Cada sistema se categoriza como básica, media o alta según el impacto en cinco dimensiones, y a cada categoría corresponde un subconjunto de las 73 medidas del anexo II. Matiz que descalifica ofertas: la categoría básica admite autoevaluación (Declaración de Conformidad), pero media y alta exigen Certificación de Conformidad emitida por entidad acreditada por ENAC (guía CCN-STIC 809). El ENS en detalle —categorías, conformidad, certificación y perfiles de cumplimiento— está en la guía del Esquema Nacional de Seguridad.
| NIS2 | ENS (RD 311/2022) | ISO/IEC 27001 | |
|---|---|---|---|
| Qué es | Directiva UE; ley española en tramitación | Real decreto español, en vigor | Norma internacional voluntaria y certificable |
| A quién obliga | Esenciales e importantes + arrastre contractual a proveedores | Sector público + privadas que le prestan servicios | La exige el mercado, no la ley |
| Enfoque | 10 medidas art. 21 + notificación 24h/72h + responsabilidad de dirección | 73 medidas por categoría sobre 5 dimensiones | SGSI + 93 controles del Anexo A |
| «Certificado» | No existe: supervisión pública | Declaración (básica) o Certificación acreditada (media/alta) | Certificado acreditado internacional |
| Si incumples | Hasta 10 M€/2% o 7 M€/1,4% | Exclusión de licitaciones | Pierdes certificado y clientes |
Los tres marcos piden por dentro lo mismo: riesgos, políticas aprobadas, incidentes, continuidad, accesos, cifrado, proveedores, formación y evaluación de eficacia. El CCN lo reconoce en su guía CCN-STIC 825 (ISO 27001 como evidencia ENS). El planteamiento que aplico: ISO 27001 como columna vertebral, ENS como overlay español y NIS2 como overlay regulatorio. Con un plan de 90 días una pyme pasa de cero a defendible: alcance por escrito, inventario y gap analysis (días 1-30); políticas aprobadas, procedimiento de notificación y continuidad probada (31-60); simulacro de incidente, evaluación de eficacia y ruta de conformidad (61-90).
La directiva está en vigor en la UE desde enero de 2023, pero a 18 de agosto de 2026 España aún no ha publicado su ley de transposición, por lo que las obligaciones no son directamente exigibles todavía. Sus efectos ya llegan por contratos, matrices europeas y pliegos. Y hay un dato que acorta el reloj: el 8 de julio de 2026 la Comisión Europea remitió a España al Tribunal de Justicia de la UE por ese retraso, pidiendo suma a tanto alzado y multa coercitiva diaria. La sanción sería para el Estado, no para tu empresa, pero indica que cuando la ley salga los plazos serán cortos.
Sector (anexos I o II) y tamaño (50+ empleados o más de 10 M€). Gran empresa del anexo I = esencial; el resto en alcance = importante, con casos especiales sin umbral. Si no estás seguro, haz el análisis por escrito: es tu primera evidencia.
Hasta 10 millones de euros o el 2% del volumen de negocio anual mundial para esenciales, y hasta 7 millones o el 1,4% para importantes, además de la posible suspensión temporal de directivos en casos graves.
Solo si prestas servicios al sector público: aplica a los sistemas con los que prestas ese servicio (art. 2 del RD 311/2022) y los pliegos lo exigen de forma creciente. El caso concreto, con categorías y vías de conformidad, está desglosado en la guía del ENS.
No. NIS2 no crea ningún certificado para tu empresa: no hay esquema de certificación de entidades ni sello de «empresa certificada en NIS2», y quien lo ofrezca vende una etiqueta que no existe. Lo que sí existe es el artículo 24, que permite a los Estados miembros exigir el uso de productos y servicios TIC certificados bajo los esquemas europeos de certificación de ciberseguridad (Reglamento (UE) 2019/881): eso certifica el producto que compras, no tu organización. Para la empresa lo que se demuestra es cumplimiento, no certificación, y la vía más reconocida para demostrarlo ante un cliente o una autoridad sigue siendo un SGSI certificado en ISO 27001.
No existe un «auditor NIS2 acreditado» equivalente al auditor certificado de ISO 27001: sin esquema de certificación no hay acreditación específica para auditarlo. En la práctica existen dos cosas distintas. Primera, auditorías de cumplimiento o gap assessment voluntarias: alguien con criterio de auditor mide tu situación real contra el artículo 21 y contra lo que exigirá la transposición, y deja un plan priorizado. Segunda, las auditorías que puede imponer la autoridad competente, que la directiva contempla dentro de los poderes de supervisión sobre entidades esenciales; ahí no eliges ni el momento ni el alcance. Consejo de método: hazte la primera antes de que te la hagan, porque un hallazgo que encuentras tú es un plan de trabajo y uno que encuentra un supervisor es un expediente.
Es la mejor base posible, pero no una equivalencia automática. Las 10 medidas del artículo 21 encajan casi por completo en un SGSI bien montado y el CCN admite la ISO 27001 como evidencia ENS (CCN-STIC 825). Quedan deltas propios de cada marco.
No montes dos proyectos: monta un sistema con dos salidas. Un único análisis de riesgos y un único cuerpo de evidencias, con la conformidad ENS y la preparación NIS2 como overlays. Y si más adelante entra la gobernanza de IA, ese mismo esqueleto admite el alcance de ISO 42001 sin montar un cuarto sistema.
Alcance por escrito, inventario y gap analysis honesto; después los quick wins: MFA, copias probadas y parcheo. Si nadie puede ser dueño del tema con autoridad real, plantéate la función de CISO externo antes que las herramientas.
Soy Alex Fernández, Lead Auditor ISO 27001 (AENOR) e ISO 42001, con dos ciclos externos de ISO 27001 cerrados con cero no conformidades (2025 y 2026). Si quieres saber en 30 minutos si NIS2 o el ENS van contigo y cuánto trabajo real te separa de cumplirlos, cuéntame tu situación en una llamada y te lo digo con honestidad de auditor.