NIS2 vs ISO 27001: Guía de Mapeo de Cumplimiento
En el ámbito en constante evolución de la ciberseguridad, las instituciones financieras en Europa deben mantener el cumplimiento de diversas normativas. Dos de las normativas más prevalentes y impactantes son la Directiva de Seguridad de Red e Información (NIS2) y la norma de Organización Internacional de Normalización (ISO) 27001. La Directiva NIS2, que reemplaza a la Directiva NIS de 2016, tiene como objetivo mejorar la ciberseguridad en toda la UE, centrándose en las entidades esenciales e importantes. Por otro lado, la ISO 27001 proporciona un marco completo para establecer, implementar y mantener un Sistema de Gestión de Seguridad de la Información (ISMS). Este artículo explorará estas dos normativas, el mapeo de los requisitos clave de NIS2 a los controles de ISO 27001 y las medidas adicionales necesarias para un cumplimiento total de NIS2.
Requisitos o Conceptos Clave
Requisitos de NIS2
La Directiva (UE) 2022/2555 (NIS2) debía transponerse antes del 17 de octubre de 2024 (Artículo 41). Introduce requisitos de ciberseguridad más estrictos para las entidades esenciales e importantes. La directiva busca lograr un enfoque armonizado en la ciberseguridad en toda la UE, con requisitos específicos centrados en la gestión de riesgos, la notificación de incidentes y la cooperación entre los estados miembros.
Algunos de los requisitos clave de NIS2 incluyen:
Gestión de Riesgos: NIS2 requiere que las organizaciones identifiquen, evalúen y gestionen los riesgos para sus redes y sistemas de información (Artículo 21). La dirección debe aprobar y supervisar estas medidas (Artículo 20).
Notificación de Incidentes: NIS2 manda que las organizaciones notifiquen incidentes significativos al CSIRT o a la autoridad competente: alerta temprana en 24 horas desde que tienen conocimiento, notificación en 72 horas e informe final en un mes (Artículo 23).
Cooperación e Intercambio de Información: NIS2 fomenta la cooperación entre los Estados miembros (Artículo 14) y el intercambio voluntario de información entre entidades (Artículo 29).
Medidas de Seguridad: NIS2 establece que las entidades deben implementar medidas de seguridad proporcionadas al riesgo (Artículo 21(1)).
Estructura de la ISO 27001:2022
La ISO/IEC 27001 tiene dos partes. Los capítulos 4 a 10 fijan las reglas del sistema de gestión: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. El Anexo A recoge 93 controles en cuatro temas:
- A.5 Controles organizacionales (5.1 a 5.37)
- A.6 Controles de personas (6.1 a 6.8)
- A.7 Controles físicos (7.1 a 7.14)
- A.8 Controles tecnológicos (8.1 a 8.34)
La edición de 2013 tenía 14 dominios con otros números. Los certificados según la edición de 2013 caducaron el 31 de octubre de 2025. Usa los números de 2022 de la tabla.
Correspondencia del artículo 21(2) y el artículo 23 de NIS2 con la ISO 27001:2022
| Requisito NIS2 | Capítulos y controles del Anexo A de la ISO 27001:2022 | Brecha que cerrar para NIS2 |
|---|---|---|
| Art. 21(2)(a) Análisis de riesgos y políticas de seguridad de los sistemas de información | Capítulos 6.1.2, 6.1.3, 8.2, 8.3; 5.1 Políticas de seguridad de la información | Cubrir todos los riesgos, también los eventos físicos. |
| Art. 21(2)(b) Gestión de incidentes | 5.24 a 5.28 (planificación, evaluación, respuesta, aprendizaje, recopilación de evidencias); 6.8 Notificación de eventos de seguridad de la información; 8.15 Registro de eventos; 8.16 Actividades de seguimiento | Añadir la prueba de "incidente significativo" de NIS2. |
| Art. 21(2)(c) Continuidad de las actividades, copias de seguridad, recuperación ante desastres, gestión de crisis | 5.29 Seguridad de la información durante una interrupción; 5.30 Preparación de las TIC para la continuidad del negocio; 8.13 Copias de seguridad de la información; 8.14 Redundancia de las instalaciones de tratamiento de la información | Redactar un plan de gestión de crisis. La ISO 27001 no lo nombra. |
| Art. 21(2)(d) Seguridad de la cadena de suministro | 5.19 a 5.22 (relaciones con proveedores, acuerdos, cadena de suministro TIC, seguimiento); 5.23 Seguridad de la información en el uso de servicios en la nube | Tener en cuenta las evaluaciones coordinadas de riesgos a nivel de la UE (art. 22). |
| Art. 21(2)(e) Seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión y divulgación de vulnerabilidades | 8.8 Gestión de las vulnerabilidades técnicas; 8.9 Gestión de la configuración; 8.25 a 8.29 (desarrollo y pruebas seguros); 8.32 Gestión de cambios | Añadir un proceso de divulgación coordinada de vulnerabilidades (art. 12). |
| Art. 21(2)(f) Evaluar la eficacia de las medidas | Capítulos 9.1, 9.2, 9.3; 5.35 Revisión independiente de la seguridad de la información; 5.36 Cumplimiento de las políticas, reglas y normas de seguridad de la información | Cubierto en gran parte. |
| Art. 21(2)(g) Ciberhigiene básica y formación | Capítulos 7.2, 7.3; 6.3 Concienciación, educación y formación; 8.7 Protección contra el malware; 8.8; 8.9 | Formar también al órgano de dirección (art. 20(2)). |
| Art. 21(2)(h) Criptografía y cifrado | 8.24 Uso de la criptografía | Cubierto en gran parte. |
| Art. 21(2)(i) Seguridad de los recursos humanos, control de acceso, gestión de activos | 6.1 a 6.5 (investigación de antecedentes a responsabilidades tras el cese); 5.15 a 5.18 (control de acceso, identidades, información de autenticación, derechos de acceso); 8.2 Derechos de acceso privilegiados; 8.3 Restricción del acceso a la información; 5.9 a 5.11 (inventario, uso aceptable, devolución) | Cubierto en gran parte. |
| Art. 21(2)(j) Autenticación multifactor, comunicaciones seguras, comunicaciones de emergencia seguras | 8.5 Autenticación segura; 5.14 Transferencia de información; 8.20 a 8.22 (seguridad de redes) | Planificar comunicaciones de emergencia seguras. La ISO 27001 no las nombra. |
| Art. 23 Notificación al CSIRT o a la autoridad | 5.24 a 5.26; 6.8; 5.5 Contacto con las autoridades | Añadir la alerta temprana en 24 horas, la notificación en 72 horas y el informe final en un mes. |
Otros dos controles ayudan con NIS2. El 5.7 Inteligencia de amenazas apoya el intercambio de información del art. 29. En el 5.31 Requisitos legales, reglamentarios y contractuales registras la ley nacional NIS2 que te aplica.
Guía de Implementación o Pasos Prácticos
Si ya tienes la certificación ISO 27001, relaciona tus controles actuales con NIS2. Sigue estos pasos:
Compara tu Declaración de Aplicabilidad con la tabla: Comprueba que cada control de la tabla está en el alcance y aplicado. Revisa bien 5.23, 5.30 y 8.24. Muchas veces se excluyen.
Añade la notificación NIS2 a tu proceso de incidentes: Los controles 5.24 a 5.26 dan un proceso, pero no los plazos de NIS2. Añade los pasos de 24 horas, 72 horas y un mes, una prueba de importancia y un contacto designado para la autoridad.
Cierra las brechas indicadas: Redacta un plan de gestión de crisis, un proceso de divulgación de vulnerabilidades y un plan de comunicaciones de emergencia seguras. Añade la formación del órgano de dirección a tu plan de formación.
Deja constancia de la proporcionalidad en tu evaluación de riesgos: NIS2 exige medidas proporcionadas al riesgo, al tamaño de la entidad y al impacto de los incidentes (art. 21(1)). Anota este razonamiento en tu plan de tratamiento de riesgos (capítulo 6.1.3).
Audita los dos marcos juntos: Añade los puntos de NIS2 a tu programa de auditoría interna (capítulo 9.2) y a la revisión por la dirección (capítulo 9.3).
Errores Comunes o Cautividades a Evitar
Suposición de Alineación Total: Suponer que la certificación ISO 27001 satisface automáticamente los requisitos de NIS2 puede conducir a incumplimiento. NIS2 introduce obligaciones específicas que pueden no estar completamente cubiertas por los controles de ISO 27001.
Descuidar la Proporcionalidad: No ajustar las medidas de seguridad según el nivel de riesgo puede resultar en incumplimiento con NIS2. Es fundamental realizar una evaluación de riesgo detallada para asegurar el nivel adecuado de seguridad.
Ignorar los Requisitos de Notificación de Incidentes: Desatender los requisitos específicos de notificación de NIS2 puede resultar en sanciones significativas. Asegúrate de que tu proceso de gestión de incidentes cumpla con los plazos y requisitos de contenido de la directiva.
Falta de Cooperación y Comunicación: Subestimar la importancia de la cooperación e intercambio de información con las autoridades nacionales puede llevar a incumplimiento. Establece canales y protocolos de comunicación claros para facilitar este proceso.
Cómo Matproof Ayuda
La plataforma de gestión de cumplimiento de Matproof simplifica el proceso de alineación de su organización con los requisitos de NIS2 e ISO 27001. Nuestra plataforma proporciona un mapeo integral de los requisitos regulatorios con los controles ISO, asegurando que tus esfuerzos de cumplimiento sean eficientes y efectivos. Con Matproof, puedes seguir el progreso de tu cumplimiento, automatizar la notificación de incidentes y asegurar que tus medidas de seguridad sean proporcionadas al riesgo, ayudando a mantener el cumplimiento con ambos marcos.