ISO 27001 vs. NIS2: en qué coinciden y en qué se diferencian

Las organizaciones que se preparan para NIS2 suelen preguntarse si ISO/IEC 27001 ya la cubre, o si deberían abordar una antes que la otra. Ambas son de naturaleza distinta. ISO 27001 es una norma internacional voluntaria para un sistema de gestión de seguridad de la información. NIS2 es una directiva de la UE, aplicada mediante la legislación nacional, que establece obligaciones legales para las entidades cubiertas. Se solapan considerablemente, pero ninguna sustituye a la otra. Esta guía explica cómo utilizarlas conjuntamente. Es información general y no constituye asesoramiento legal.

Lo que es

ISO/IEC 27001:2022 especifica los requisitos para establecer, operar y mejorar un sistema de gestión de seguridad de la información (SGSI): contexto y alcance, liderazgo, evaluación y tratamiento de riesgos, apoyo, operación, evaluación del desempeño y mejora. Su anexo A enumera 93 controles de referencia agrupados en los temas organizativo, de personas, físico y tecnológico, que se seleccionan en función de su evaluación de riesgos. Las organizaciones pueden optar por que un organismo de certificación acreditado audite su SGSI. NIS2, en cambio, exige a las entidades cubiertas aplicar medidas de gestión de riesgos en ámbitos definidos, hace responsables a los órganos de dirección y añade una notificación estricta de incidentes a las autoridades, supervisión y sanciones. El solapamiento es amplio: la evaluación de riesgos, las políticas, el control de acceso, la criptografía, la seguridad de los proveedores, la gestión de incidentes, la continuidad y la formación aparecen en ambas. Las diferencias también importan. NIS2 fija plazos legales de notificación, una responsabilidad y una formación explícitas de la dirección y una supervisión nacional; ISO 27001 le permite definir el alcance, que puede no coincidir con los servicios que interesan a NIS2.

Para quién es

Esta comparación es útil para:

Organizaciones con un programa ISO 27001 existente que evalúan sus brechas frente a NIS2
Organizaciones dentro del ámbito de NIS2 que deciden si implantar un SGSI como marco de trabajo
Proveedores a los que sus clientes piden alineación con ISO 27001 o confirmaciones relacionadas con NIS2
Equipos directivos que distribuyen el presupuesto entre marcos

Qué ayuda a aclarar

Compararlas una junto a otra ayuda a aclarar:

Qué controles y registros existentes pueden reutilizarse como evidencia para NIS2
Si el alcance de su SGSI abarca los servicios y sistemas pertinentes en virtud de NIS2
Qué obligaciones de NIS2, como los plazos de notificación, requieren procedimientos adicionales
Si la certificación ISO formal es un requisito de negocio o simplemente un marco útil

Qué se incluye

Compare el alcance de su SGSI con los servicios y sistemas que serían pertinentes en virtud de NIS2
Asigne los controles del anexo A que haya implantado a los ámbitos de medidas del artículo 21 de NIS2
Añada un procedimiento de incidentes para las etapas de notificación de 24 horas, 72 horas y un mes
Documente explícitamente la aprobación, la supervisión y la formación del órgano de dirección
Amplíe la evaluación de proveedores para abarcar a los proveedores TIC que sustentan los servicios críticos
Consulte la transposición nacional para identificar requisitos adicionales o esquemas a los que se haga referencia
Utilice auditorías internas y revisiones por la dirección para demostrar que las medidas son eficaces a lo largo del tiempo
Conserve evidencia de los controles técnicos, no solo de las políticas

Qué no se incluye

Certificación ISO 27001 o una auditoría realizada por un organismo de certificación
Una declaración de que la certificación ISO 27001 satisface las obligaciones de NIS2
La interpretación legal de la legislación nacional sobre NIS2
Títulos o acreditaciones oficiales

Cuándo elegirlo

Utilice esta comparación al planificar su programa de seguridad para los próximos uno o dos años. Si sus clientes exigen un certificado ISO 27001, planifique una auditoría de certificación acreditada como un paso independiente. Si está dentro del ámbito de NIS2, utilice la estructura del SGSI para organizar las medidas, pero añada los elementos específicos de la directiva. Si no dispone de ninguna de las dos, empezar con una revisión estructurada de brechas frente a una referencia acordada suele ser más útil que redactar políticas en primer lugar. Este artículo es información general y no constituye asesoramiento legal.

Nuestro enfoque

Considere ISO 27001 como la estructura de gestión y NIS2 como un conjunto de requisitos legales que esa estructura debe cumplir. Comience con un único conjunto de controles asignado a ambas, de modo que cada control tenga un único responsable y un único conjunto de evidencias. Preste especial atención al alcance: un SGSI que solo cubre una función de la sede central no demostrará gran cosa sobre los sistemas que sustentan un servicio crítico. Nuestro servicio Security Baseline Review puede ayudarle en la vertiente técnica: una visión escrita, clasificada por severidad, de los activos acordados y observaciones sobre brechas de preparación frente a una referencia acordada cuando se incluyan en el alcance confirmado. Es apoyo a la preparación y a la toma de decisiones que le prepara para trabajar con organismos de certificación acreditados, auditores y asesores legales. Si su objetivo es la certificación, elija un organismo de certificación acreditado para la auditoría y mantenga el trabajo de preparación separado de ella.

Security Baseline Review

Ver la página del servicio Security Baseline Review