NIS2, ENS e ISO/IEC 27001: tres marcos distintos
La Directiva (UE) 2022/2555, conocida como NIS2, establece obligaciones de ciberseguridad y notificación para las entidades que entran en su ámbito. El ENS, regulado en España por el Real Decreto 311/2022, establece principios y requisitos para los sistemas comprendidos en su ámbito, especialmente en el sector público y en las relaciones con este. ISO/IEC 27001:2022 es una norma internacional con requisitos para un sistema de gestión de seguridad de la información.
- NIS2: regulación europea dirigida a entidades de determinados sectores y categorías; la aplicabilidad depende de criterios legales y de la actividad.
- ENS: esquema español cuyo ámbito y obligaciones deben analizarse conforme al Real Decreto 311/2022.
- ISO/IEC 27001: norma de gestión que una organización puede adoptar; la certificación, cuando se busca, requiere una evaluación independiente conforme al esquema correspondiente.
Situación de NIS2 en España
A fecha de esta actualización, 14 de octubre de 2026, la Comisión Europea ha comunicado que remitió a España ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa de NIS2. El Gobierno publicó un anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, pero un anteproyecto no es una ley vigente. La Directiva europea y el marco nacional aplicable deben analizarse distinguiendo el texto europeo, las normas españolas vigentes y la futura transposición.
Cómo orientar el análisis
Empieza por identificar actividad, tamaño, servicios, clientes, sistemas y contratos. Después determina qué norma resulta aplicable y qué evidencias exige. No concluyas que una empresa está o no afectada solo por su sector comercial o por una lista genérica. Las obligaciones concretas dependen de la entidad y de su contexto jurídico.
Fuentes oficiales: Directiva NIS2, estado de transposición comunicado por la Comisión Europea, Real Decreto 311/2022 (ENS) y ISO/IEC 27001.
Preparación y cumplimiento
Analiza qué requisitos se aplican a tu organización
El alcance normativo y técnico debe evaluarse caso por caso.