NIS2, ENS e ISO 27001: diferencias y cuál necesitas
Publicado el
¿Qué diferencia hay entre NIS2, el ENS e ISO 27001?
NIS2 es una directiva europea que obliga por ley, según tu sector y tamaño. El ENS es un reglamento español que obliga por cliente: se aplica si prestas servicios al sector público. ISO 27001 es una norma voluntaria que exige el mercado. No son alternativas: se acumulan según a quién vendas.
Esa triple lógica de obligación es la clave que las comparativas suelen omitir:
- NIS2 obliga por sector y tamaño. Afecta a las entidades de los sectores de sus Anexos I y II que alcanzan al menos el tamaño de mediana empresa —50 empleados o más— o bien, con menos de 50, superan los 10 millones de euros de facturación anual Y los 10 millones de euros de balance anual, con excepciones sin umbral para casos críticos, según los arts. 2 y 3 de la Directiva (UE) 2022/2555.
- El ENS obliga por cliente y ya está en vigor. El art. 2.3 del Real Decreto 311/2022 lo extiende a las empresas privadas que prestan servicios o proveen soluciones a cualquier Administración; la exigencia llega dentro del pliego de contratación. Y su plazo transitorio venció el 5 de mayo de 2024 (disposición transitoria única): para un proveedor del sector público no es un requisito futuro, es exigible hoy.
- ISO 27001 no la impone ninguna ley española. Su fuerza es contractual: la piden corporates y clientes internacionales. A cambio, es la única de las tres con un certificado reconocido en todo el mundo (ISO/IEC 27001:2022).
Un matiz sectorial antes de seguir: si tu empresa es financiera (banca, seguros, inversión), el Reglamento (UE) 2022/2554 (DORA) desplaza a NIS2 como norma especial, según el art. 4 de la Directiva. Esa comparativa es otra.
NIS2, ENS e ISO 27001 frente a frente
| NIS2 | ENS | ISO 27001 | |
|---|---|---|---|
| Qué es | Directiva europea (2022/2555) | Reglamento español (RD 311/2022) | Norma internacional voluntaria |
| Quién la exige | La ley, por sector y tamaño (Anexos I-II) | El cliente público, vía pliegos (art. 2.3) | El mercado, vía contratos |
| Qué pide | 10 medidas mínimas (art. 21.2), gobernanza con formación de la dirección (art. 20) y notificación de incidentes en 24 h / 72 h / 1 mes (art. 23) | 73 medidas del Anexo II, aplicadas según categoría BÁSICA, MEDIA o ALTA | Un SGSI —sistema de gestión documentado— (cláusulas 4-10) y 93 controles del Anexo A seleccionados por riesgo |
| ¿Certificado? | No existe certificado NIS2 | Declaración de Conformidad (BÁSICA) o certificación con auditoría al menos bienal (MEDIA/ALTA), por entidades acreditadas por ENAC (arts. 31 y 38 y Anexo III) | Certificación en ciclos de 3 años con auditoría de seguimiento anual |
| Quién vigila | La autoridad competente: a las esenciales, ex ante y ex post (art. 32); a las importantes, solo ex post (art. 33) | La entidad de certificación y el propio cliente público | Tu entidad de certificación |
Dos detalles prácticos que te conviene saber antes de pedir presupuesto. Primero: los certificados ENS e ISO no se funden en un solo sello. Se emiten bajo dos esquemas de acreditación ENAC distintos (certificación de servicio en el ENS, de sistemas de gestión en ISO), así que son dos auditorías, aunque compartan evidencias. Segundo: NIS2 no exige certificarse. Impone medidas y notificación; su art. 24 permite a los Estados exigir productos TIC certificados bajo esquemas europeos y el art. 25 fomenta el uso de normas internacionales sin imponerlas.
La consecuencia de incumplir también es de naturaleza distinta: con ISO 27001 pierdes un contrato; con el ENS, el acceso a la contratación pública; con NIS2 te expones a multas administrativas. Estas son las que prevé la Directiva:
| Tipo de entidad | Multa máxima |
|---|---|
| Entidades esenciales | hasta 10 000 000 € o el 2 % del volumen de negocios anual global, si esta cifra es superior |
| Entidades importantes | hasta 7 000 000 € o el 1,4 % del volumen de negocios anual global, si esta cifra es superior |
Qué se solapa de verdad (y qué no): la matriz de evidencias
El solapamiento existe y está documentado oficialmente. La guía técnica de ENISA (junio de 2025), redactada para el sector digital pero útil como referencia para el resto, mapea cada requisito NIS2 contra ISO/IEC 27001:2022, ISO/IEC 27002, NIST CSF 2.0 y otros estándares. Y añade una advertencia que conviene enmarcar: el mapeo «no debe interpretarse como una medida de equivalencia» entre marcos.
Esa es la regla que ordena toda esta comparativa: correspondencia en las 10 medidas del art. 21.2, equivalencia en ninguna. En concreto:
- Lo que ISO 27001 no cubre de NIS2: los plazos de notificación del art. 23 (24 h / 72 h / 1 mes), la aprobación y formación obligatoria del órgano de dirección (art. 20), la inclusión en la lista nacional de entidades (art. 3.3 y 3.4; el registro del art. 27 es solo para el sector digital) y un riesgo silencioso: que el alcance del SGSI certificado no incluya todos los servicios sujetos a NIS2.
- Lo que ISO 27001 no cubre del ENS: el ENS fija medidas concretas por categoría —no selección libre por riesgo— y exige notificar los incidentes vía CCN-CERT (arts. 33-34 del RD 311/2022). Aun así, la guía CCN-STIC 825 y su anexo de mapeo permiten presentar la certificación ISO como evidencia parcial del cumplimiento ENS.
Lo importante para tu presupuesto es la lectura inversa: el trabajo de base se hace una vez y se presenta tres veces, adaptando el formato. La propia ENISA señala que integrar varios marcos sirve para reducir duplicidades y agilizar las auditorías. De forma orientativa (los mapeos de referencia son la guía ENISA y la CCN-STIC 825):
| Evidencia (se elabora una vez) | En ISO 27001 | En el ENS | En NIS2 |
|---|---|---|---|
| Análisis de riesgos | Justifica la selección de controles en la SoA (la Declaración de Aplicabilidad de ISO) | Alimenta la Declaración de Aplicabilidad (art. 28) | Base de las medidas del art. 21 |
| Política de seguridad aprobada por la dirección | Requisito del SGSI | Marco organizativo del Anexo II | Gobernanza del art. 20 |
| Plan de continuidad | Controles del Anexo A | Medidas del marco operacional | Medida del art. 21.2 |
| Procedimiento de gestión de incidentes | Controles del Anexo A | Se adapta a la notificación CCN-CERT | Se adapta a los plazos del art. 23 |
¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.
¿NIS2, ENS o ISO 27001 primero? Decide por tu cliente ancla
«¿Cuál elijo?» es la pregunta equivocada: como obligan por vías distintas, elegir uno no elimina los otros. La pregunta correcta es en qué orden, y la responde tu cliente ancla, el que sostiene tu facturación:
- ¿Vendes a la Administración? ENS primero. Es condición de contrato hoy (art. 2.3 del RD 311/2022, con el transitorio ya vencido). Revisa el proceso de certificación ENS y estima los costes del ENS antes de comprometerte en un pliego.
- ¿Vendes a corporates o exportas? ISO 27001 primero: es la única certificable con reconocimiento internacional. Como horquilla orientativa de mercado, una pyme de 50-200 empleados invierte entre 25.000 y 55.000 € el primer año y tarda de 6 a 12 meses en certificarse.
- ¿Operas en un sector de los Anexos I o II? Entonces NIS2 marca el suelo legal irrenunciable (arts. 20, 21 y 23), elijas el sello que elijas: comprueba si NIS2 te obliga antes de decidir nada más. Una adecuación desde cero se mueve, orientativamente, entre 20.000 y 40.000 € el primer año. Cómo se acreditará ese cumplimiento en España lo determina la normativa de transposición:
El error que más dinero cuesta no es elegir mal el marco, sino definir mal el alcance del primero. Si certificas ISO 27001 con un SGSI que deja fuera los servicios sujetos a NIS2 o los sistemas que usa tu cliente público, te tocará ampliar alcance y volver a auditar. El perímetro que fijes al principio —cláusula 4.3 en ISO, Declaración de Aplicabilidad en el ENS— determina cuánta evidencia podrás reutilizar después.
Empieza por ahí: identifica tu cliente ancla, confirma si tu sector está en los anexos de NIS2 y define un alcance que cubra los tres frentes desde el primer día. El orden correcto convierte tres cumplimientos en un solo proyecto con tres entregables.
Preguntas frecuentes
¿ISO 27001 sirve para cumplir NIS2?
Ayuda mucho, pero no basta. Las 10 medidas del art. 21.2 de NIS2 tienen correspondencia en ISO 27001:2022 —la guía técnica de ENISA las mapea requisito a requisito—, pero la propia ENISA advierte de que el mapeo no es equivalencia: ISO no impone los plazos de notificación del art. 23 ni las obligaciones del órgano de dirección del art. 20.
¿El ENS es obligatorio si ya tengo ISO 27001?
Sí, si prestas servicios o soluciones al sector público: el art. 2.3 del RD 311/2022 lo exige a través de los pliegos de contratación, y la ISO no lo sustituye. La guía CCN-STIC 825 permite reutilizar la certificación ISO como evidencia parcial, pero la Declaración o Certificación de Conformidad ENS sigue siendo imprescindible.
¿Qué marco implanto primero?
El que exija tu cliente ancla: si vendes a la Administración, ENS primero (es condición de contrato hoy); si vendes a corporates o al mercado internacional, ISO 27001; si operas en un sector de los anexos de NIS2, la Directiva marca el suelo legal. Después, reutiliza análisis de riesgos, políticas y evidencias: ENISA y el CCN publican los mapeos.
¿NIS2 exige certificarse?
No. La Directiva exige implantar las medidas del art. 21 y notificar incidentes (art. 23), no obtener un certificado. El art. 24 permite a los Estados exigir productos TIC certificados bajo esquemas europeos y el art. 25 fomenta las normas internacionales sin imponerlas. La vía de acreditación española se detalla en el recuadro de estado legislativo de este artículo.
Fuentes oficiales citadas
- Directiva (UE) 2022/2555 (NIS2) — arts. 2-4, 20-25, 27, 32-33
- Real Decreto 311/2022 (ENS) — arts. 2.3, 28, 33-34, 38, D.T. única y Anexo II
- ISO/IEC 27001:2022 — cláusulas 4-10 y Anexo A
- ENISA — Technical Implementation Guidance (junio 2025) — pp. 9-10
- CCN-STIC 825 — ENS y certificaciones 27001
- Reglamento (UE) 2022/2554 (DORA)
¿Te afecta esta normativa?
Pide tu evaluación de aplicabilidad gratuita: en una llamada de 30 minutos te decimos qué obligaciones tienes, qué plazos corren y por dónde empezar.
Pedir mi diagnóstico gratuitoEl contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.