Objetivos de aprendizaje
- Diferenciar una norma voluntaria (ISO/IEC 27001) de una obligación legal (ENS, RGPD, NIS2, DORA).
- Identificar las correspondencias principales entre el SGSI y las medidas del Anexo II del ENS.
- Conocer el estado de NIS2 en España y la aplicación de DORA en el sector financiero.
- Diseñar un SGSI que sirva de base común para cumplir varios marcos a la vez.
1. Voluntario frente a obligatorio
La ISO/IEC 27001 es una norma voluntaria: ninguna ley obliga, con carácter general, a certificarse. Su fuerza procede del mercado (clientes que la exigen, licitaciones que la puntúan) y de su utilidad como marco de gestión. Los marcos legales, en cambio, son obligatorios para quien está en su ámbito de aplicación. La buena noticia es que todos comparten la misma lógica de gestión del riesgo, de modo que un SGSI bien diseñado se convierte en la «columna vertebral» desde la que se cumplen las obligaciones legales.
Recuerde, además, que la cláusula 4.2 exige identificar los requisitos de las partes interesadas, y entre ellos están los requisitos legales y reglamentarios. El control 5.31 (requisitos legales, estatutarios, reglamentarios y contractuales) obliga a identificarlos, documentarlos y mantenerlos actualizados. Por tanto, el SGSI no puede ignorar el marco legal aplicable.
2. ISO/IEC 27001 y el Esquema Nacional de Seguridad
El ENS (Real Decreto 311/2022) es obligatorio para el sector público y para los proveedores privados que le prestan servicios o soluciones que participan en el ejercicio de competencias administrativas. Su Anexo II contiene 73 medidas de seguridad (más sus refuerzos) agrupadas en marco organizativo (org), marco operacional (op) y medidas de protección (mp), que se aplican según la categoría del sistema (BÁSICA, MEDIA, ALTA) o según el nivel exigido en cada dimensión de seguridad.
Las diferencias de enfoque son importantes:
| Aspecto | ISO/IEC 27001:2022 | ENS (RD 311/2022) |
|---|---|---|
| Naturaleza | Norma voluntaria e internacional. | Obligación legal en el ámbito público español. |
| Selección de controles | Libre, a partir de la evaluación de riesgos; justificada en la SoA. | Medidas mínimas exigidas por categoría o por nivel-dimensión, ampliables por el análisis de riesgos. |
| Dimensiones | Confidencialidad, integridad y disponibilidad. | Confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. |
| Evaluación de conformidad | Certificación por entidad acreditada (ENAC en España). | Autoevaluación (categoría BÁSICA) o certificación de conformidad (MEDIA y ALTA). |
| Declaración de controles | Declaración de Aplicabilidad (6.1.3 d). | Declaración de Aplicabilidad de las medidas del Anexo II. |
Correspondencias útiles
Las siguientes correspondencias le ayudarán a reutilizar el trabajo del SGSI. Para el ENS se indica el identificador de la medida del Anexo II y cómo se aplica (por categoría del sistema o por nivel de una dimensión):
| ISO/IEC 27001:2022 | Medida ENS (Anexo II) | Aplicabilidad ENS |
|---|---|---|
| 5.2 Política y control 5.1 | org.1 Política de seguridad; org.2 Normativa de seguridad | Por categoría: BÁSICA, MEDIA y ALTA |
| 6.1.2 / 8.2 Evaluación de riesgos | op.pl.1 Análisis de riesgos (refuerzo r1 semiformal en MEDIA; r2 formal en ALTA) | Por categoría: BÁSICA, MEDIA y ALTA |
| Cláusulas 4 a 10 (sistema de gestión) | op.pl.2.r1 Sistema de gestión; op.pl.2.r2 con mejora continua | Por categoría: r1 en MEDIA y ALTA; r2 en ALTA |
| 5.9 Inventario de activos | op.exp.1 Inventario de activos | Por categoría: BÁSICA, MEDIA y ALTA |
| 5.24–5.26 Gestión de incidentes | op.exp.7 Gestión de incidentes | Por categoría: BÁSICA, MEDIA y ALTA |
| 8.15 Registro de eventos | op.exp.8 Registro de la actividad | Por nivel de la dimensión de trazabilidad (T): BAJO, MEDIO y ALTO |
| 8.7 Protección contra el código malicioso | op.exp.6 Protección frente a código dañino | Por categoría: BÁSICA, MEDIA y ALTA |
| 5.23 Servicios en la nube | op.nub.1 Protección de servicios en la nube | Por categoría: BÁSICA, MEDIA y ALTA |
| 5.29 / 5.30 Continuidad TIC | op.cont.1 Análisis de impacto; op.cont.2 Plan de continuidad | Por nivel de disponibilidad (D): op.cont.1 en MEDIO y ALTO; op.cont.2 solo en ALTO |
| 7.2 / 7.3 y control 6.3 Concienciación, educación y formación | mp.per.3 Concienciación; mp.per.4 Formación | Por categoría: BÁSICA, MEDIA y ALTA |
| 8.13 Copias de seguridad | mp.info.6 Copias de seguridad | Por nivel de disponibilidad (D): BAJO, MEDIO y ALTO |
Es frecuente que una organización que presta servicios al sector público implante un sistema único que cumpla ambos marcos: un solo análisis de riesgos (con las cinco dimensiones del ENS), una sola política, un solo programa de auditoría interna y dos Declaraciones de Aplicabilidad. Algunas entidades de certificación ofrecen auditorías combinadas ISO/IEC 27001 + ENS.
3. Protección de datos: RGPD y LOPDGDD
El Reglamento (UE) 2016/679 (RGPD) obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo para los derechos y libertades de las personas (artículo 32), a notificar brechas de seguridad a la autoridad de control en 72 horas cuando proceda (artículo 33) y a realizar evaluaciones de impacto en determinados tratamientos (artículo 35). La LOPDGDD (Ley Orgánica 3/2018) lo complementa en España.
El SGSI ayuda mucho, pero no sustituye al cumplimiento del RGPD: el riesgo que analiza el RGPD es el riesgo para las personas, no para la organización. En el SGSI esto se refleja en el control 5.34 (privacidad y protección de datos personales), en la identificación de requisitos legales (5.31) y en un procedimiento de incidentes que contemple las brechas de datos personales. Para ir más lejos existe la ISO/IEC 27701.
4. NIS2
La Directiva (UE) 2022/2555 (NIS2) amplía mucho el número de entidades obligadas (entidades esenciales e importantes de sectores como energía, transporte, salud, infraestructura digital, gestión de servicios TIC, administración pública, fabricación o servicios postales). Les exige medidas de gestión de riesgos de ciberseguridad (artículo 21), notificación de incidentes significativos con plazos escalonados (alerta temprana en 24 horas, notificación en 72 horas, informe final en un mes) y responsabilidad directa de los órganos de dirección.
Situación en España (octubre de 2026)
España todavía no ha transpuesto NIS2. El Consejo de Ministros aprobó el 14 de enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que sigue en tramitación. La Comisión Europea remitió a España al Tribunal de Justicia de la UE el 8 de julio de 2026 por no haber completado la transposición. Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que transpuso la Directiva NIS original. Compruebe el estado antes de impartir o aplicar este contenido.
Las medidas del artículo 21 de NIS2 (políticas de análisis de riesgos, gestión de incidentes, continuidad, seguridad de la cadena de suministro, desarrollo seguro, evaluación de la eficacia, higiene cibernética y formación, criptografía, seguridad del personal y control de acceso, autenticación multifactor) tienen correspondencia directa con controles del Anexo A. Un SGSI certificado no equivale automáticamente a cumplir NIS2, pero proporciona la mayor parte de las evidencias.
5. DORA
El Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero (DORA) se aplica desde el 17 de enero de 2025 a bancos, aseguradoras, empresas de servicios de inversión, entidades de pago y otras entidades financieras, y también afecta indirectamente a sus proveedores TIC críticos. Exige un marco de gestión del riesgo TIC, gestión y notificación de incidentes, pruebas de resiliencia operativa, gestión del riesgo de terceros TIC (con requisitos contractuales concretos) e intercambio de información. Si su organización es proveedora TIC de entidades financieras, espere que sus clientes le trasladen requisitos de DORA en los contratos: se registran como requisitos de partes interesadas (4.2) y se gestionan dentro del SGSI.
6. Un SGSI como base común
La estrategia más eficiente es:
- Identificar todos los marcos aplicables en el análisis de partes interesadas (4.2) y en el registro de requisitos legales (5.31).
- Diseñar una metodología de riesgos capaz de cubrirlos (por ejemplo, valorando las cinco dimensiones del ENS y el impacto sobre las personas).
- Mantener una única Declaración de Aplicabilidad con columnas de correspondencia, o declaraciones separadas que se alimenten de la misma fuente.
- Usar un solo programa de auditoría interna y una sola revisión por la dirección.
Caso Nubia Servicios Digitales
Nubia identifica los marcos aplicables: ENS categoría MEDIA (por sus clientes municipales), RGPD (trata datos personales de ciudadanos como encargada del tratamiento), y requisitos contractuales de los pliegos. No es entidad financiera, por lo que DORA no le aplica directamente. Respecto a NIS2, como proveedora de servicios gestionados TIC podría quedar incluida cuando se apruebe la ley española, en función de su tamaño y de los criterios finales. Decide un análisis de riesgos único con las cinco dimensiones del ENS y una SoA ISO con columna de correspondencia ENS.
Ideas clave
- ISO/IEC 27001 es voluntaria; ENS, RGPD, NIS2 y DORA son obligaciones legales para quien entra en su ámbito.
- Los requisitos legales se identifican en 4.2 y en el control 5.31 y forman parte del SGSI.
- El ENS fija medidas mínimas por categoría o nivel; la ISO deja la selección al análisis de riesgos.
- NIS2 aún no está transpuesta en España (oct-2026); sigue vigente el RDL 12/2018.
- Un SGSI bien diseñado es la base común para cumplir varios marcos a la vez.