Cómo reutilizar controles entre ISO 27001, ENS y NIS2

Por qué se puede reutilizar

Las tres piden, en el fondo, gestionar la seguridad a partir de los riesgos y demostrarlo con evidencias. La ISO/IEC 27001:2022 lo organiza como un sistema de gestión con un anexo de controles. El ENS, en el Real Decreto 311/2022, lo concreta en 73 medidas repartidas en tres grupos, que se aplican según la categoría del sistema. Y la Directiva NIS2, la (UE) 2022/2555, lo resume en diez familias de medidas en su artículo 21.2, de la letra a a la j.

Por eso un control como las copias de seguridad no hay que inventarlo tres veces. Se define una vez, se enlaza a cada requisito que cubre y se demuestra con la misma prueba de restauración.

Las tablas oficiales

Para el ENS y la ISO 27001, el Centro Criptológico Nacional publica la guía CCN-STIC 825, «Esquema Nacional de Seguridad. Certificaciones 27001», con las medidas del ENS compatibles con la ISO/IEC 27001:2022. El CCN la actualizó en julio de 2023 para la versión de 2022 de la norma y aclara que esa compatibilidad no es «una relación aritmética de equivalencia», sino un análisis general de los contenidos de ambas. Sirve en los dos sentidos, para quien viene del ENS y para quien viene de la ISO 27001.

En junio de 2026 el CCN la volvió a actualizar, junto con las guías 802, 808 y 809, para recoger el informe IC-01-19 del CoCENS sobre auditorías anuales y extraordinarias. En la 825 queda recogido que la auditoría interna anual no es obligatoria.

Para NIS2, ENISA publicó en junio de 2025 una guía técnica para aplicar el Reglamento de Ejecución (UE) 2024/2690, con consejos prácticos, ejemplos de evidencias y correspondencias de los requisitos de seguridad. Está pensada para los proveedores digitales que cubre ese reglamento, como los de nube, centros de datos o servicios gestionados.

Yo usaría las dos como punto de partida. Son aproximaciones generales que cada organización tiene que adaptar a su caso, y en una auditoría lo que se revisa es tu sistema, con tus evidencias.

Seis controles que cubren las tres normas

Así están enlazados en Salvik seis controles del catálogo base:

Fíjate en que la correspondencia casi nunca es de uno a uno. La gestión de riesgos de la ISO 27001 está en las cláusulas del sistema de gestión y no en el anexo A, mientras que en el ENS es una medida del marco operacional. Las copias de seguridad se reparten entre dos medidas del ENS. Y en NIS2, la gestión de incidentes arrastra además los plazos del artículo 23: alerta temprana en las primeras 24 horas, notificación en 72 horas e informe final en el mes siguiente.

Qué revisar antes de dar un control por cubierto

Que un control se corresponda en las tres normas no quiere decir que pida lo mismo con el mismo detalle. Yo revisaría tres cosas de cada pareja:

• El nivel que te toca. En el ENS, las medidas y sus refuerzos dependen del nivel de cada dimensión de seguridad y, en algunas, de la categoría del sistema (anexo II). Una copia de seguridad que basta para la ISO 27001 puede quedarse corta en un sistema de categoría ALTA.
• El alcance. La evidencia tiene que hablar del mismo sistema. Si tu certificado ISO 27001 cubre otro alcance que el sistema del ENS o que los servicios por los que te alcanza NIS2, no sirve tal cual.
• Lo que la norma pide por escrito. Algunas piezas solo existen en una de ellas, como los plazos de notificación de NIS2 o la firma del responsable de la seguridad en la declaración de aplicabilidad del ENS.

Lo que no se reutiliza

Hay piezas que cada norma pide a su manera y que hay que hacer aparte:

• En el ENS, la categoría del sistema (anexo I), que sale de valorar la confidencialidad, la integridad, la trazabilidad, la autenticidad y la disponibilidad; su propia declaración de aplicabilidad, firmada por el responsable de la seguridad (artículo 28); y su auditoría al menos cada dos años o, en categoría BÁSICA, la autoevaluación (artículos 31 y 38).
• En NIS2, la responsabilidad de los órganos de dirección, que tienen que aprobar las medidas, supervisarlas y formarse (artículo 20), y la notificación de los incidentes significativos (artículo 23).
• En la ISO 27001, el sistema de gestión tal como lo escribe la norma: el contexto y las partes interesadas (cláusula 4), objetivos medibles (6.2), la revisión por la dirección (9.3) y las no conformidades con sus acciones correctivas (10.2). Y si quieres el certificado, la auditoría de una entidad acreditada.

Cómo organizarlo

1. Empieza por lo que más pesa en tu caso. Si trabajas para la Administración, la categoría del sistema del ENS; si te afecta NIS2, el alcance de los servicios que caen dentro.
2. Ten un solo inventario de controles, cada uno con los requisitos que cubre en cada norma. Las tablas del CCN y de ENISA te dan la primera versión.
3. Guarda cada evidencia una vez y enlázala a todo lo que demuestra. Lo que más tiempo hace perder en una auditoría es tener la misma prueba en dos carpetas y que cada una cuente una versión distinta.
4. Saca de ese inventario lo que cada norma pide por escrito, como las declaraciones de aplicabilidad de la ISO 27001 y del ENS, para que no se contradigan.
5. Cuadra el calendario: las auditorías de seguimiento de la ISO 27001 son anuales y la del ENS, como mínimo cada dos años.

Dónde encaja Salvik

Salvik está pensado para trabajar así. Cada control del catálogo base viene ya enlazado a sus requisitos de la ISO 27001, el ENS, NIS2 y la ISO 42001, y cada evidencia se sube una vez y cuenta para todo lo que demuestra. Para llevar varias normas a la vez hace falta el plan Pro, que trae las cuatro; el plan Base es para una sola.

Puedes verlo con datos de ejemplo en la demo sin registrarte, o leer qué cubre Salvik para la ISO 27001, el ENS y NIS2.