Qué es la Directiva NIS2, si afecta a tu pyme, qué exige (arts. 20, 21 y 23), cómo va su transposición en España y por qué no hay certificación NIS2.
Por Alex Fernández, Auditor Líder ISO/IEC 27001 e ISO/IEC 42001 · Actualizado el
NIS2 (Directiva (UE) 2022/2555) es la directiva europea de ciberseguridad que obliga a las medianas y grandes empresas de 18 sectores a gestionar sus riesgos, notificar los incidentes graves en 24 y 72 horas y hacer responsable a su dirección. En España todavía no hay ley que la transponga, pero eso no la frena: si tu pyme no está en el alcance, lo más probable es que NIS2 te llegue igualmente a través de un cliente que sí lo está. En esta guía explico cómo saber si te afecta, qué te van a pedir, por qué no existe la «certificación NIS2» y qué te falta si ya tienes la ISO 27001. La escribo desde el sitio desde el que sé escribir: el del auditor que después tiene que encontrar la evidencia.
NIS2 es la Directiva (UE) 2022/2555, de 14 de diciembre de 2022. En la versión oficial en español se llama «Directiva SRI 2», de seguridad de las redes y sistemas de información: si buscas el texto en español, búscala también con ese nombre. Su artículo 1 fija el objetivo, un elevado nivel común de ciberseguridad en toda la Unión.
Es una directiva, no un reglamento. Obliga a los Estados, que tienen que trasladarla a una ley propia, y mientras esa ley no exista sus obligaciones no se pueden exigir directamente a una empresa. Por eso, aunque la directiva está en vigor desde 2023, en España todavía no te obliga por ley.
Sustituye a la primera directiva NIS, la Directiva (UE) 2016/1148, derogada desde el 18 de octubre de 2024. En España aquella se trasladó con el Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, que sigue en vigor: si tu empresa es operador de servicios esenciales o proveedor de servicios digitales con arreglo a esa norma, sus obligaciones siguen siendo exigibles hoy. El anteproyecto español prevé derogarlo cuando se apruebe la ley nueva.
El cambio que más se nota está en quién entra. Con NIS1, cada Estado identificaba a sus operadores de servicios esenciales. NIS2 fija en la propia directiva una regla general (estar en un sector de sus anexos y ser, como mínimo, mediana empresa) y amplía los sectores. Ya no depende de que el Estado te designe: con la regla en la mano, te toca a ti saber si estás dentro, y para eso sirven las tres preguntas que planteo más abajo.
Sigo por la situación legal porque es donde más ruido hay, y un artículo sobre regulación que no data sus afirmaciones no vale el clic. Esto es lo que hay, comprobado el 8 de octubre de 2026 en el BOE, en el Congreso y en las referencias del Consejo de Ministros:
Conviene leer bien el tercer punto, porque es donde más se equivoca el titular fácil: quien está ante el Tribunal es el Estado español, no tu empresa. Esa multa, si llega, la paga el Estado por no legislar a tiempo; ninguna empresa va a ser sancionada por un retraso que no es suyo. Lo que sí dice el dato es otra cosa, y es la que importa para planificar: con una multa coercitiva diaria pedida contra el Estado, la ley va a salir, y lo previsible es que salga con prisa y con plazos de adaptación cortos. Las elecciones cambian el cuándo, no el qué.
Dos consecuencias prácticas. Primera: desconfía de cualquier contenido que afirme que «NIS2 ya se ha transpuesto en España». Circula mucha pieza que atribuye la transposición a normas que no lo son, y el criterio del auditor es simple: si no está en el BOE, no existe. Segunda: que no haya ley española no significa que puedas esperar. Las obligaciones de fondo de la directiva no van a cambiar en la tramitación, tus clientes grandes ya las están trasladando a sus proveedores por contrato y, cuando la ley se publique, el que empiece entonces llegará tarde.
Hay dos respuestas. En la Unión, desde el 16 de enero de 2023, y los Estados debían aplicarla desde el 18 de octubre de 2024. En España, cuando se publique su ley: el anteproyecto prevé que entre en vigor al día siguiente de su publicación en el BOE, y esa fecha hoy no tiene calendario.
Dos detalles más. El texto de 2025 trae plazos que ya han vencido (el 17 de enero y el 17 de abril de 2025, para el registro de entidades), así que la versión que se apruebe tendrá que cambiarlos: el margen para adaptarte lo decidirá esa versión, no la de 2025. Y la primera directiva NIS se trasladó con un real decreto-ley, el 12/2018, que aprobó el Gobierno y entró en vigor al día siguiente de publicarse. No planifiques con el calendario electoral: la ley puede tardar mucho o llegar de un día para otro.
El texto público es el que el Ministerio del Interior sometió a audiencia pública. No es derecho vigente, pero enseña por dónde va la ley. Cuatro puntos que a una pyme le conviene conocer ya:
NIS2 no se aplica «a todas las empresas», pero su alcance es mucho más amplio que el de la antigua NIS1. Para saber si va contigo basta con contestar tres preguntas, y conviene hacerlo por escrito: ese análisis es tu primera evidencia.
Fíjate en el anexo II: buena parte de la industria manufacturera española está ahí, y mucha todavía no lo sabe.
La regla general: estás en el alcance si operas en uno de esos sectores y eres mediana empresa o mayor según la definición europea (Recomendación 2003/361/CE). En la práctica, dejas de ser pequeña si tienes 50 o más personas en plantilla, o si tu volumen de negocio y tu balance anual superan a la vez los 10 millones de euros. Dos matices que cambian resultados: la definición computa los datos de las empresas asociadas o vinculadas, así que la filial pequeña de un grupo grande puede no ser pyme a estos efectos; y algunas entidades entran con independencia de su tamaño, como los prestadores cualificados de servicios de confianza, los registros de nombres de dominio de primer nivel, los proveedores de DNS o quien sea el único proveedor en el país de un servicio esencial.
Es la pregunta que más pymes se saltan, y la que más les va a afectar. El artículo 21 obliga a las entidades en alcance a gestionar la seguridad de su cadena de suministro, y su apartado 3 les pide tener en cuenta las vulnerabilidades de cada proveedor directo y la calidad de sus prácticas de ciberseguridad. Traducido: si le vendes software, mantenimiento, logística o servicios gestionados a una entidad esencial o importante, sus obligaciones bajan hacia ti por contrato. No te multará la autoridad; te descartará el cliente. En un tejido de muchas pymes proveedoras de unas pocas empresas tractoras es la vía de entrada más habitual, y la aterrizo con datos locales en la página de ciberseguridad para empresas de Asturias.
Si las tres respuestas son «no», NIS2 no te obliga, y no dejes que nadie te venda miedo. Si la primera y la segunda son «sí», estás en el alcance directo. Y si solo la tercera es «sí», te llegará igual, pero a través de tus contratos: la sección siguiente va de eso. Para aterrizar tu caso concreto, la Checklist NIS2 tiene 16 dominios y 149 controles con criterio de auditor.
Dentro del alcance, la directiva distingue entidades esenciales y entidades importantes. Como regla general son esenciales las grandes empresas de los sectores del anexo I —250 o más personas en plantilla, o más de 50 millones de volumen de negocio junto con más de 43 millones de balance—, más algunos casos especiales; el resto de las que están en alcance son importantes. Las obligaciones de fondo son las mismas para ambas. Lo que cambia es la supervisión: a las esenciales se las puede inspeccionar de forma proactiva, y a las importantes a posteriori, cuando hay indicios de incumplimiento. Una pyme que entra en el alcance casi siempre lo hace como entidad importante.
Cambian también las multas. La directiva obliga a que el máximo sea de al menos 10 millones de euros o el 2 % del volumen de negocio anual mundial, lo que sea mayor, para las esenciales, y de al menos 7 millones o el 1,4 % para las importantes. Para las esenciales contempla además, en casos graves, la prohibición temporal de ejercer funciones de dirección. Las cifras concretas en España las fijará la ley cuando se publique.
Aquí está el NIS2 real para la mayoría de las pymes españolas: no llega en el BOE, llega en un correo del departamento de compras con un cuestionario adjunto. Tu cliente tiene que demostrar que gestiona la seguridad de sus proveedores directos (artículo 21, apartados 2.d y 3), y la forma más barata de hacerlo es trasladarte las preguntas. Estas son las que aparecen una y otra vez en esos cuestionarios, y lo que conviene tener preparado para cada una:
| Lo que te van a pedir | Por qué te lo piden | Qué evidencia tener preparada |
|---|---|---|
| Cuestionario de seguridad de proveedor | Tienen que evaluar a cada proveedor directo (art. 21.3) | Respuestas ya redactadas y revisadas, con el documento que respalda cada una |
| Cláusula de notificación de incidentes | Su alerta temprana vence a las 24 horas de enterarse (art. 23): si tú tardas, ellos no llegan | Procedimiento de incidentes con plazo, contacto y plantilla de aviso al cliente |
| MFA, copias y parcheo | Son medidas mínimas que ellos mismos deben aplicar (art. 21.2) | Configuración de MFA, prueba de restauración con fecha e informe de parcheo |
| Derecho de auditoría | Auditar al proveedor es la forma de comprobar lo que declara | Evidencia ordenada y navegable, y alguien que sepa enseñarla |
| Vulnerabilidades y desarrollo seguro | El art. 21.3 cita las prácticas de desarrollo seguro de los proveedores | Proceso de parches y, si desarrollas, requisitos de seguridad y pruebas documentadas |
| Subcontratistas | El riesgo de tu proveedor también es el suyo | Lista de subcontratistas con acceso a sus datos o sistemas y cómo los controlas |
| Certificado o informe de un tercero | Una declaración propia vale menos que una verificación independiente | Certificado ISO 27001, conformidad ENS o, al menos, un informe de auditoría interna reciente |
El error típico es contestar cada cuestionario desde cero, a la desesperada y con la persona que menos tiempo tiene. Lo que funciona es lo contrario: un único expediente de evidencias —políticas aprobadas, análisis de riesgos, registro de incidentes, prueba de restauración, configuración de MFA, lista de proveedores— que reutilizas en cada cuestionario. Se prepara una vez y se mantiene; el segundo cuestionario ya se contesta en horas, no en semanas.
Y al contestar, tres respuestas, no dos: «Sí», con la evidencia localizada al lado; «Parcial», con lo que falta y una fecha; «No», con el plan o con el motivo por el que no aplica. Ningún «Sí» sale sin su documento: si no aparece, la respuesta baja a «Parcial». Lo que contestas puede acabar anexado al contrato, y la primera revisión del cliente te pedirá la evidencia de cada «Sí». Un cuestionario con menos «Sí», pero todos defendibles, aguanta esa revisión; uno optimista, no. El método completo, de lo que conviene preguntar antes de contestar a lo que no se manda, con un ejemplo trabajado, está en la guía del cuestionario de seguridad de un cliente.
El corazón técnico de NIS2 es el artículo 21.2: diez medidas mínimas de gestión de riesgos. Leídas en el boletín parecen abstractas; traducidas a lo que un auditor va a pedirte, son esto:
| # | Medida (art. 21.2) | Qué significa en tu empresa |
|---|---|---|
| a | Políticas de análisis de riesgos y seguridad de los sistemas | Un análisis de riesgos vivo (no el Excel de hace dos años) y políticas aprobadas por dirección |
| b | Gestión de incidentes | Procedimiento escrito, roles definidos y registro de incidentes que se usa de verdad |
| c | Continuidad de negocio y gestión de crisis | Copias de seguridad probadas, plan de recuperación y gestión de crisis ensayada |
| d | Seguridad de la cadena de suministro | Inventario de proveedores críticos, cláusulas de seguridad y evaluación proporcional |
| e | Seguridad en adquisición, desarrollo y mantenimiento | Requisitos de seguridad al comprar y desarrollar; gestión y divulgación de vulnerabilidades |
| f | Políticas para evaluar la eficacia de las medidas | Auditorías internas, métricas y revisiones: demostrar que lo anterior funciona |
| g | Ciberhigiene básica y formación | Parcheo, bastionado y concienciación demostrable para toda la plantilla |
| h | Criptografía y cifrado | Política de cifrado: qué se cifra, con qué y quién custodia las claves |
| i | Seguridad de RR. HH., control de acceso y gestión de activos | Altas y bajas con proceso, mínimo privilegio e inventario de activos real |
| j | Autenticación multifactor y comunicaciones seguras | MFA desplegado, comunicaciones de voz, vídeo y texto seguras y canal de emergencia |
Si has trabajado con la ISO 27001 lo habrás visto: esta lista encaja en los requisitos del SGSI y en muchos controles del Anexo A. No es una equivalencia automática, pero el solape es enorme; más abajo detallo qué te falta exactamente.
Es el cambio cultural más profundo de NIS2 y el que menos se cuenta. El artículo 20 exige que los órganos de dirección aprueben las medidas de gestión de riesgos, supervisen su puesta en práctica y respondan por los incumplimientos. Y añade una obligación muy concreta: los miembros de la dirección deben formarse en ciberseguridad. La formación análoga para la plantilla, la directiva la impulsa como algo a ofrecer periódicamente, y la concienciación de los empleados llega igualmente como exigencia por la vía del artículo 21.
En la práctica, esto entierra el modelo «la seguridad es cosa del informático». Un consejo o un comité de dirección que firma una política sin haberla discutido no está aprobando nada: está generando un papel que no resiste dos preguntas de un supervisor. Lo que sí resiste: actas de comité donde se ven decisiones, un cuadro de mando que dirección entiende y certificados de la formación recibida. Cómo se prepara un acta así, con las siete entradas que pide la ISO 27001, lo cuento en la guía de la revisión por la dirección. Quién arma todo eso para que dirección pueda ejercer su responsabilidad es, precisamente, la función que describo en la guía del CISO externo (vCISO): la responsabilidad legal no se puede externalizar, pero hacerla ejercible, sí.
El artículo 23 fija el mecanismo que más sudores fríos provoca, y con razón, porque se cumple con preparación previa o no se cumple. Ante un incidente significativo —el que causa o puede causar una perturbación operativa grave o pérdidas económicas, o afecta a terceros con daños considerables—, la entidad debe remitir a su CSIRT de referencia o autoridad competente:
Con un ejemplo se ve mejor desde dónde cuenta cada plazo. Viernes, 18:40: el EDR avisa de que se están cifrando ficheros en un servidor, y los registros dicen que el cifrado empezó a las 17:40. Las 24 y las 72 horas cuentan desde las 18:40, cuando se tiene conocimiento del incidente, no desde las 17:40: la alerta temprana vence el sábado a las 18:40 y la notificación, el lunes a las 18:40. El informe final no cuenta desde el viernes: si la notificación sale el lunes a mediodía, el mes empieza ahí. Es el plazo más fácil de calcular mal, porque es cómodo contarlo todo desde el incidente.
En España, los CSIRT de referencia operativos hoy son INCIBE-CERT (sector privado y ciudadanía), CCN-CERT (sector público) y ESPDEF-CERT (defensa). La arquitectura definitiva de autoridades la fijará la ley; el anteproyecto prevé un Centro Nacional de Ciberseguridad como autoridad nacional única.
El apunte de auditor: 24 horas no dan tiempo a improvisar nada. O tienes el procedimiento escrito, los contactos cargados, los criterios de «significativo» definidos y el borrador de comunicación preparado antes del incidente, o el plazo se incumple mientras el comité discute a quién hay que llamar. Es igual que con el RGPD y sus 72 horas ante la AEPD: los que notifican a tiempo son los que ensayaron.
Conviene decirlo claro porque se vende mucho: NIS2 no crea ningún certificado para tu empresa. No hay un esquema de certificación de entidades ni un sello de «empresa certificada en NIS2», y quien te lo ofrezca te está vendiendo una etiqueta que no existe. Lo que sí contempla la directiva es otra cosa: su artículo 24 permite a los Estados exigir el uso de productos y servicios TIC certificados bajo los esquemas europeos del Reglamento (UE) 2019/881. Eso certifica el producto que compras, no a tu organización.
Tampoco existe un «auditor NIS2 acreditado» equivalente al auditor certificado de ISO 27001: sin esquema de certificación no hay acreditación que obtener. En la práctica conviven dos cosas distintas. Una es la auditoría de cumplimiento o gap assessment voluntaria: alguien con criterio de auditor mide tu situación real contra el artículo 21 y te deja un plan priorizado. La otra son las auditorías que puede imponer la autoridad dentro de sus poderes de supervisión, y ahí ya no eliges ni el momento ni el alcance. Mi consejo de método: hazte la primera antes de que te hagan la segunda, porque un hallazgo que encuentras tú es un plan de trabajo y uno que encuentra un supervisor es un expediente.
Para demostrar cumplimiento ante un cliente o una autoridad, lo que se enseña es evidencia: análisis de riesgos, medidas del artículo 21 implantadas, procedimiento de notificación ensayado y actas donde se ve a la dirección decidir. Y la forma más reconocida de respaldarlo con un tercero independiente sigue siendo un SGSI certificado en ISO 27001.
Si ya tienes la ISO 27001, o la estás preparando, tienes la mayor parte del camino hecho. Esta es la tabla con la que mido el hueco, requisito a requisito:
| Lo que exige NIS2 | Dónde lo cubre la ISO 27001:2022 | Lo que te falta |
|---|---|---|
| Análisis de riesgos y políticas (art. 21.2.a) | Cláusulas 6.1, 8.2 y 8.3; control 5.1 | Que el alcance del SGSI incluya los servicios que te meten en NIS2 |
| Gestión de incidentes (art. 21.2.b) | Controles 5.24 a 5.28 y 6.8 | Los criterios de «incidente significativo» y el reloj de 24 h, 72 h y un mes hacia el CSIRT (art. 23) |
| Continuidad y crisis (art. 21.2.c) | Controles 5.29, 5.30, 8.13 y 8.14 | Copias restauradas de verdad y una gestión de crisis ensayada, con acta |
| Cadena de suministro (art. 21.2.d y 21.3) | Controles 5.19 a 5.23 | Evaluar las vulnerabilidades y las prácticas de desarrollo de cada proveedor directo |
| Adquisición, desarrollo y vulnerabilidades (art. 21.2.e) | Controles 8.8 y 8.25 a 8.29 | Una vía para recibir y gestionar avisos de vulnerabilidades de terceros |
| Evaluación de la eficacia (art. 21.2.f) | Cláusulas 9.1, 9.2 y 9.3 | Poco, si las métricas tienen un umbral fijado de antemano y alguien firma la conclusión. Un cuadro de mando sin umbral no es una evaluación de eficacia |
| Ciberhigiene y formación (art. 21.2.g) | Control 6.3 y controles técnicos del tema 8 | La formación específica de la dirección (art. 20.2), con certificado |
| Criptografía (art. 21.2.h) | Control 8.24 | Normalmente nada, si la política de cifrado se aplica |
| RR. HH., accesos y activos (art. 21.2.i) | Controles 5.9, 5.15 a 5.18 y 6.1 a 6.5 | Normalmente nada |
| MFA y comunicaciones seguras (art. 21.2.j) | Controles 5.14 y 8.5 | MFA donde de verdad importa y un canal de comunicación de emergencia |
| Responsabilidad de la dirección (art. 20) | Cláusula 5.1 (liderazgo) | Aprobación y supervisión con actas, formación de la dirección y conciencia de su responsabilidad personal |
| Registro ante la autoridad | No lo cubre | Registrarte cuando la ley española lo active |
El delta real es acotado: el reloj de notificación ensayado, lo que el artículo 20 exige a la dirección, el apriete a la cadena de suministro y el registro. Quien tiene un SGSI vivo lo cierra en semanas; quien tiene una ISO 27001 de carpeta descubrirá que su problema no era NIS2.
Lo he medido también en la organización de demostración de Salvik, la plataforma de cumplimiento que estoy construyendo, con datos sintéticos. De 15 requisitos clave de NIS2 modelados (la gobernanza del artículo 20, las diez medidas del 21.2 y tres hitos de notificación del 23), 12 comparten al menos un control con la ISO 27001 o con el ENS. Los tres que se quedan sin ningún control detrás son la formación de la dirección (20.2), la evaluación de la eficacia (21.2.f) y el informe final al mes (23.4.d). Compartir un control no es cumplir el requisito: eso se comprueba con la evidencia delante.
El Esquema Nacional de Seguridad (Real Decreto 311/2022) no es la versión española de NIS2: es otra norma, en vigor y sin nada pendiente, que se exige al sector público y a los sistemas con los que una empresa privada le presta servicios. Si no trabajas ni quieres trabajar con la Administración, no te obliga. Si trabajas con ella, te llegará por el pliego, y lo que más se malinterpreta es quién puede certificarte y cómo es esa auditoría del ENS.
Si te tocan las dos, no montes dos proyectos: monta un sistema con dos salidas. Un único análisis de riesgos y un único cuerpo de evidencias, con la ISO 27001 como columna vertebral; encima, la conformidad ENS en la categoría que exija el pliego y la preparación NIS2 (notificación, dirección y proveedores). El propio Centro Criptológico Nacional regula en su guía CCN-STIC 825 cómo usar la certificación ISO 27001 como evidencia en el ENS.
Ni «kit NIS2 en una semana» ni proyecto faraónico de 18 meses. Esto es lo que una pyme con voluntad real puede hacer en un trimestre:
Al final del trimestre no estás «certificado en NIS2», porque eso no existe: estás defendible. Ante un cliente, ante un pliego y ante el supervisor que vendrá. Es una diferencia enorme frente a la mayoría de tu competencia.
He ejecutado auditorías internas ISO 27001 —con dos ciclos externos consecutivos cerrados con cero no conformidades, 2025 y 2026— y múltiples auditorías internas ISO/IEC 42001 en 2026. Estos son los patrones que se repiten:
Es la Directiva (UE) 2022/2555, la norma europea de ciberseguridad que sustituye a la primera directiva NIS; en su versión oficial en español se llama «Directiva SRI 2». Se aplica a las entidades medianas y grandes de los sectores de sus anexos I y II, y a algunas sin importar su tamaño. Les exige gestionar sus riesgos con al menos diez medidas (artículo 21), notificar los incidentes significativos con una alerta en 24 horas, una notificación en 72 horas y un informe final en un mes (artículo 23), y que su dirección apruebe y supervise todo ello (artículo 20). Como es una directiva, cada Estado tiene que trasladarla a una ley propia, y a 8 de octubre de 2026 España aún no lo ha hecho.
Con precisión de auditor: la directiva está en vigor en la UE desde enero de 2023, pero a 8 de octubre de 2026 España no ha publicado su ley de transposición. El texto sigue siendo un anteproyecto, aprobado en primera vuelta en enero de 2025 y sin remitir todavía a las Cortes, así que sus obligaciones no son exigibles directamente a las empresas. En la práctica, sus efectos ya llegan por otras vías: contratos con clientes en alcance, matrices europeas de países que sí la transpusieron y pliegos públicos. Las Cortes, además, están disueltas desde el 6 de octubre de 2026 por la convocatoria de elecciones, y hasta que se constituyan las nuevas no se puede tramitar ninguna ley. Y el 8 de julio de 2026 la Comisión Europea llevó a España al Tribunal de Justicia de la UE por el retraso, con petición de multa: la sanción sería para el Estado, no para tu empresa, pero indica que cuando la ley salga los plazos serán cortos.
A las pequeñas empresas, en general, no de forma directa: la directiva se aplica a partir de mediana empresa (50 o más personas, o volumen de negocio y balance por encima de 10 millones a la vez), salvo excepciones que entran sin umbral. Pero las pymes son las más afectadas por la vía indirecta: si le vendes a una entidad esencial o importante, te trasladará sus obligaciones de cadena de suministro por contrato. La pregunta útil no es «¿me aplica la directiva?», sino «¿quién de mis clientes me la va a exigir?».
Dos comprobaciones: sector (¿apareces en los anexos I o II?) y tamaño según la definición europea de pyme, que computa también las empresas asociadas o vinculadas. Como regla general, la gran empresa del anexo I es esencial y el resto en alcance es importante, con casos especiales que entran sin umbral de tamaño. Si la respuesta es «no estoy seguro», haz el análisis por escrito: es tu primera evidencia y tu primera defensa.
La directiva obliga a que las multas máximas sean de al menos 10 millones de euros o el 2 % del volumen de negocio anual mundial (lo que sea mayor) para entidades esenciales, y de al menos 7 millones o el 1,4 % para las importantes, además de la posible prohibición temporal de ejercer funciones de dirección en entidades esenciales en casos graves. Las cifras aplicables en España las fijará la ley de transposición.
Desde que se presenta la notificación del incidente, no desde el incidente (artículo 23.4.d). La alerta temprana (24 horas) y la notificación (72 horas) cuentan desde que se tiene conocimiento del incidente significativo; el informe final, hasta un mes después de haber notificado. Si en ese momento el incidente sigue abierto, se presenta un informe de situación y el final llega un mes después de haberlo gestionado.
No. NIS2 no crea ningún certificado para empresas, y quien venda un «sello NIS2» vende una etiqueta que no existe. Lo que se demuestra es cumplimiento, con evidencia. El artículo 24 solo permite exigir productos y servicios TIC certificados bajo los esquemas europeos (Reglamento (UE) 2019/881), que certifican el producto, no a tu organización. Para respaldarlo ante terceros, lo más reconocido sigue siendo un SGSI certificado en ISO 27001.
No existe un «auditor NIS2 acreditado», porque no hay esquema de certificación que acreditar. Lo que sí existe es la auditoría voluntaria de cumplimiento —un análisis de diferencias contra el artículo 21 hecho con criterio de auditor, que te deja un plan priorizado— y las auditorías que puede imponer la autoridad a las entidades en alcance. Conviene hacerse la primera antes de que llegue la segunda.
Depende de cuatro cosas: si estás en el alcance directo o solo te llega por contrato, cuántos servicios y proveedores críticos tienes, la madurez de partida y si ya tienes un SGSI. El dinero no se va en documentos: se va en horas internas y en generar evidencia de que las medidas funcionan. Por eso desconfía de cualquier precio cerrado sin un análisis de diferencias previo: no es un precio, es un anzuelo. Y si ya tienes la ISO 27001, lo que te queda es un delta acotado, no un proyecto nuevo.
Es la mejor base posible, pero no una equivalencia automática. Las diez medidas del artículo 21 encajan casi por completo en un SGSI bien montado; lo que queda fuera es el reloj de notificación de 24 y 72 horas, las obligaciones de la dirección del artículo 20, el apriete a la cadena de suministro y el registro ante la autoridad.
No montes dos proyectos: monta un sistema con dos salidas. Un único análisis de riesgos y un único cuerpo de evidencias; encima, la conformidad ENS en la categoría que exija el pliego y la preparación NIS2. Y si más adelante entra la gobernanza de IA, ese mismo esqueleto admite el alcance de ISO 42001 sin montar un cuarto sistema.
Por saber dónde estás: alcance por escrito, inventario y un análisis de diferencias honesto (la Checklist NIS2 de 149 controles te sirve de guion). Después, las mejoras rápidas que no requieren proyecto: MFA, copias probadas y parcheo. Y si nadie puede ser dueño del tema con autoridad real, plantéate la función antes que las herramientas: para eso escribí la guía del CISO externo.
Soy Alex Fernández, Lead Auditor ISO 27001 (AENOR) e ISO 42001, con dos ciclos externos de ISO 27001 cerrados con cero no conformidades (2025 y 2026). Si quieres saber en 30 minutos si NIS2 va contigo —por ley o por tus clientes— y cuánto trabajo real te separa de estar preparado, cuéntame tu situación en una llamada y te lo digo con honestidad de auditor.