Herramienta gratis · sin registro

Traductor de controles entre ISO 27001, ENS, NIS2 e ISO 42001

Busca una referencia o una palabra y mira con qué requisitos de las otras normas la relaciona el catálogo base de Salvik. O di qué norma tienes y cuál te piden.

Buscar una referenciaTengo una norma y me piden otra

Referencia o palabra

Prueba con

26 controles del catálogo base, con 106 vínculos.

GOV-01
Política de seguridad de la información
Gobierno y políticas
Política de seguridad aprobada por la dirección, comunicada a toda la organización y revisada periódicamente.
ISO 27001
A.5.1Políticas de seguridad de la información
5.2Política de seguridad de la información
NIS2
Art.21.2.aPolíticas de análisis de riesgos y seguridad de los sistemas
ENS
org.1Política de seguridad
org.2Normativa de seguridad
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
GOV-02
Roles y responsabilidades de seguridad
Gobierno y políticas
Asignación formal de roles y responsabilidades de seguridad, incluido el compromiso de la dirección.
ISO 27001
A.5.2Roles y responsabilidades de seguridad
5.3Roles, responsabilidades y autoridades
NIS2
Art.20.1Aprobación y supervisión por la dirección
ENS
org.3Procedimientos de seguridad
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
RSK-01
Gestión de riesgos de seguridad
Gestión de riesgos
Metodología de análisis y tratamiento de riesgos aplicada periódicamente, con registro de riesgos mantenido.
ISO 27001
6.1Acciones para tratar riesgos y oportunidades
8.2Apreciación de riesgos de seguridad
8.3Tratamiento de riesgos de seguridad
ISO 42001
6.1Acciones para tratar riesgos y oportunidades
NIS2
Art.21.2.aPolíticas de análisis de riesgos y seguridad de los sistemas
ENS
op.pl.1Análisis de riesgos
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), ISO 42001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
AC-01
Control de acceso y gestión de identidades
Control de acceso
Gestión del ciclo de vida de identidades y derechos de acceso bajo el principio de mínimo privilegio.
ISO 27001
A.5.15Control de acceso
A.5.16Gestión de identidades
A.5.18Derechos de acceso
A.8.3Restricción del acceso a la información
NIS2
Art.21.2.iSeguridad de RR. HH., control de acceso y gestión de activos
ENS
op.acc.2Requisitos de acceso
op.acc.4Proceso de gestión de derechos de acceso
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
AC-02
Autenticación multifactor (MFA)
Control de acceso
MFA obligatorio para accesos a sistemas críticos, VPN y consolas de administración.
ISO 27001
A.8.5Autenticación segura
NIS2
Art.21.2.jAutenticación multifactor y comunicaciones seguras
ENS
op.acc.5Mecanismo de autenticación (usuarios externos)
op.acc.6Mecanismo de autenticación (usuarios de la organización)
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
OPS-01
Protección frente a código malicioso
Operaciones de seguridad
Solución antimalware/EDR desplegada y actualizada en todos los endpoints y servidores.
ISO 27001
A.8.7Protección frente a código malicioso
NIS2
Art.21.2.gHigiene cibernética y formación
ENS
op.exp.6Protección frente a código dañino
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).

Ver los otros 20 controles

OPS-02
Gestión de vulnerabilidades y parches
Operaciones de seguridad
Escaneo periódico de vulnerabilidades y aplicación de parches según criticidad y SLA definidos.
ISO 27001
A.8.8Gestión de vulnerabilidades técnicas
NIS2
Art.21.2.eSeguridad en adquisición, desarrollo y mantenimiento
ENS
op.exp.4Mantenimiento y actualizaciones de seguridad
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
OPS-03
Registro y monitorización (logging)
Operaciones de seguridad
Centralización de logs, monitorización de seguridad y detección de actividad anómala.
ISO 27001
A.8.15Registro de actividad (logging)
A.8.16Actividades de monitorización
ENS
op.exp.8Registro de la actividad
op.mon.1Detección de intrusión
En el catálogo base no se relaciona con ISO 42001 ni con NIS2.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), ENS (BOE).
OPS-04
Gestión de activos
Operaciones de seguridad
Inventario actualizado de activos de información y tecnológicos con responsables asignados.
ISO 27001
A.5.9Inventario de información y activos asociados
NIS2
Art.21.2.iSeguridad de RR. HH., control de acceso y gestión de activos
ENS
op.exp.1Inventario de activos
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
CRY-01
Cifrado y criptografía
Criptografía
Cifrado de datos en tránsito y en reposo, con gestión de claves documentada.
ISO 27001
A.8.24Uso de criptografía
NIS2
Art.21.2.hCriptografía y cifrado
ENS
mp.com.2Protección de la confidencialidad
mp.si.2Criptografía
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
IR-01
Gestión de incidentes de seguridad
Respuesta a incidentes
Plan de respuesta a incidentes con roles, flujos de escalado y notificación a autoridades en plazo.
ISO 27001
A.5.24Planificación de la gestión de incidentes
A.5.26Respuesta a incidentes de seguridad
NIS2
Art.21.2.bGestión de incidentes
Art.23.4.aAlerta temprana (24 h)
Art.23.4.bNotificación de incidente (72 h)
ENS
op.exp.7Gestión de incidentes
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
BC-01
Copias de seguridad y continuidad de negocio
Continuidad
Backups cifrados y probados, plan de continuidad y recuperación ante desastres con RTO/RPO definidos.
ISO 27001
A.8.13Copias de seguridad
A.5.29Seguridad de la información durante la disrupción
A.5.30Preparación TIC para la continuidad de negocio
NIS2
Art.21.2.cContinuidad de negocio y gestión de crisis
ENS
mp.info.6Copias de seguridad (backup)
op.cont.2Plan de continuidad
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
HR-01
Formación y concienciación en seguridad
Personas
Programa anual de concienciación y formación en seguridad para todo el personal.
ISO 27001
A.6.3Concienciación, educación y formación
NIS2
Art.21.2.gHigiene cibernética y formación
ENS
mp.per.3Concienciación
mp.per.4Formación
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
TPR-01
Seguridad de proveedores y cadena de suministro
Terceros
Evaluación de seguridad de proveedores críticos y cláusulas de seguridad en los contratos.
ISO 27001
A.5.19Seguridad en las relaciones con proveedores
A.5.21Gestión de la seguridad en la cadena de suministro TIC
NIS2
Art.21.2.dSeguridad de la cadena de suministro
ENS
op.ext.3Protección de la cadena de suministro
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
AI-01
Política y gobernanza de IA
Gobernanza de IA
Política de uso responsable de IA, roles de gobernanza y registro de sistemas de IA en uso.
ISO 42001
A.2.2Política de IA
5.2Política de IA
A.3.2Roles y responsabilidades de la IA
En el catálogo base no se relaciona con ISO 27001, ni con NIS2 ni con el ENS.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 42001 (ISO).
AI-02
Evaluación de impacto de sistemas de IA
Gobernanza de IA
Proceso de evaluación de impacto (sobre personas y sociedad) para los sistemas de IA antes de su despliegue.
ISO 42001
8.4Evaluación de impacto del sistema de IA
A.5.2Proceso de evaluación de impacto del sistema de IA
A.5.4Impacto en individuos o grupos de individuos
En el catálogo base no se relaciona con ISO 27001, ni con NIS2 ni con el ENS.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 42001 (ISO).
AI-03
Inventario y clasificación de sistemas de IA
Gobernanza de IA
Registro de todos los sistemas/usos de IA con su propósito, responsable, datos y clasificación de riesgo (EU AI Act).
ISO 27001
A.5.9Inventario de información y activos asociados
ISO 42001
A.4.2Documentación de recursos
A.4.3Recursos de datos
ENS
op.exp.1Inventario de activos
En el catálogo base no se relaciona con NIS2.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), ISO 42001 (ISO), ENS (BOE).
AI-04
Calidad y gobernanza de datos para IA
Gobernanza de IA
Controles de calidad, procedencia y preparación de los datos usados por los sistemas de IA.
ISO 27001
A.5.34Privacidad y protección de datos personales (PII)
ISO 42001
A.7.4Calidad de los datos
A.7.5Procedencia de los datos
A.7.6Preparación de los datos
ENS
mp.info.1Datos de carácter personal
En el catálogo base no se relaciona con NIS2.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), ISO 42001 (ISO), ENS (BOE).
AI-05
Supervisión humana y transparencia de la IA
Gobernanza de IA
Mecanismos de supervisión humana y de transparencia (etiquetado e información a usuarios) de los sistemas de IA.
ISO 42001
A.9.2Procesos para el uso responsable de la IA
A.9.4Uso previsto del sistema de IA
A.8.2Documentación e información para usuarios
En el catálogo base no se relaciona con ISO 27001, ni con NIS2 ni con el ENS.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 42001 (ISO).
AI-06
Registro y monitorización de sistemas de IA
Gobernanza de IA
Registro de eventos y monitorización en operación de los sistemas de IA, reutilizando el logging corporativo.
ISO 27001
A.8.15Registro de actividad (logging)
A.8.16Actividades de monitorización
ISO 42001
A.6.2.6Operación y monitorización del sistema de IA
A.6.2.8Registro de eventos (event logs)
ENS
op.exp.8Registro de la actividad
En el catálogo base no se relaciona con NIS2.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), ISO 42001 (ISO), ENS (BOE).
AI-07
Documentación técnica del sistema de IA
Gobernanza de IA
Documentación técnica y de diseño de los sistemas de IA (alineada con el Anexo IV del EU AI Act).
ISO 42001
A.6.2.3Documentación del diseño y desarrollo
A.6.2.7Documentación técnica del sistema de IA
En el catálogo base no se relaciona con ISO 27001, ni con NIS2 ni con el ENS.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 42001 (ISO).
OPS-05
Gestión de cambios
Operaciones de seguridad
Procedimiento formal de control de cambios sobre sistemas en producción.
ISO 27001
A.8.32Gestión de cambios
NIS2
Art.21.2.eSeguridad en adquisición, desarrollo y mantenimiento
ENS
op.exp.5Gestión de cambios
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
NET-01
Seguridad de redes y segmentación
Operaciones de seguridad
Perímetro de red protegido, segmentación y control de los flujos de información.
ISO 27001
A.8.20Seguridad de las redes
A.8.22Segregación de redes
ENS
mp.com.1Perímetro seguro
mp.com.4Separación de flujos de información en la red
En el catálogo base no se relaciona con ISO 42001 ni con NIS2.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), ENS (BOE).
DEV-01
Desarrollo seguro (SDLC)
Desarrollo
Ciclo de vida de desarrollo seguro: requisitos de seguridad, codificación segura y pruebas.
ISO 27001
A.8.25Ciclo de vida de desarrollo seguro
A.8.28Codificación segura
NIS2
Art.21.2.eSeguridad en adquisición, desarrollo y mantenimiento
ENS
mp.sw.1Desarrollo de aplicaciones
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).
PHY-01
Seguridad física de instalaciones
Seguridad física
Perímetros de seguridad física y control de entrada a las áreas con información sensible.
ISO 27001
A.7.1Perímetros de seguridad física
A.7.2Controles de entrada física
ENS
mp.if.1Áreas separadas y con control de acceso
En el catálogo base no se relaciona con ISO 42001 ni con NIS2.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), ENS (BOE).
HR-02
Seguridad en el ciclo de vida del personal
Personas
Investigación de antecedentes en la contratación y gestión segura de altas y bajas.
ISO 27001
A.6.1Investigación de antecedentes
A.6.5Responsabilidades tras el cese o cambio de empleo
NIS2
Art.21.2.iSeguridad de RR. HH., control de acceso y gestión de activos
ENS
mp.per.1Caracterización del puesto de trabajo
En el catálogo base no se relaciona con ISO 42001.
Vínculos del catálogo base de Salvik. Fuente oficial: ISO 27001 (ISO), NIS2 (EUR-Lex), ENS (BOE).

«Relacionado» quiere decir que un mismo control sirve de punto de partida para los dos requisitos, no que por tener uno tengas el otro. El CCN lo avisa para el ENS y la ISO 27001 en su guía CCN-STIC 825: entre las dos no hay una relación aritmética de equivalencia.

De dónde sale cada vínculo

Los vínculos son los del catálogo base de Salvik: 26 controles y 106 vínculos con los requisitos de las cuatro normas. Es el mismo catálogo que se carga al darse de alta y el que enseña la demo, así que lo que ves aquí es lo que encuentras dentro.

Requisitos de cada norma en Salvik y cuántos tienen un control del catálogo base
Norma	En Salvik	Con un control del catálogo base	Fuente oficial
ISO 27001	116 requisitos	36	ISO/IEC 27001:2022 (ISO). Solo se cita la referencia y el título.
ISO 42001	62 requisitos	19	ISO/IEC 42001:2023 (ISO). Solo se cita la referencia y el título.
NIS2	15 requisitos	12	Directiva (UE) 2022/2555 (NIS2), artículos 20, 21 y 23 (EUR-Lex)
ENS	73 medidas	28	Real Decreto 311/2022, del Esquema Nacional de Seguridad, anexo II (BOE)

Lo que el traductor no te dice

Que dos requisitos compartan un control no quiere decir que pidan lo mismo con el mismo detalle. Antes de dar uno por cubierto, revisa tres cosas:

El nivel que te toca. En el ENS, las medidas y sus refuerzos dependen de la categoría del sistema y del nivel de cada dimensión. Lo que basta para una norma puede quedarse corto en otra.
El alcance. La evidencia tiene que hablar del mismo sistema. Un certificado ISO 27001 de otro alcance no sirve tal cual para el ENS ni para los servicios por los que te alcanza NIS2.
Lo que pide solo una norma. Hay piezas que se hacen aparte: en el ENS, la categoría del sistema y su declaración de aplicabilidad firmada; en NIS2, la responsabilidad de la dirección y los plazos de notificación; en la ISO 27001, el sistema de gestión con sus cláusulas.

Guía: cómo reutilizar controles entre ISO 27001, ENS y NIS2

Míralo con datos en la demo

En la demo abierta ves el catálogo base trabajando con datos de ejemplo: qué controles están implantados, con qué evidencias y a qué requisitos de cada norma llegan. Sin registrarte.

Ver la cobertura en la demo Habla 30 minutos con el auditor

Para llevar varias normas a la vez en Salvik hace falta el plan Pro. Ver precios

Preguntas frecuentes

Si tengo la ISO 27001, ¿cumplo el ENS?

No por eso. Que un control se relacione con requisitos de las dos normas quiere decir que puedes partir del mismo trabajo, no que la segunda esté cumplida. El CCN lo dice en su guía CCN-STIC 825: entre el ENS y la ISO 27001 no hay una relación aritmética de equivalencia. Cada norma pide su nivel, su alcance y sus propias piezas, como la categoría del sistema y la declaración de aplicabilidad firmada del ENS.

¿De dónde salen las correspondencias?

Del catálogo base de Salvik: 26 controles, cada uno enlazado a los requisitos con los que se relaciona en cada norma, 106 vínculos en total. Es el mismo catálogo que se carga al darse de alta y el que enseña la demo. No es la tabla oficial del CCN ni la de ENISA.

¿Por qué hay requisitos sin ningún control?

Porque el catálogo base reúne los controles que más se repiten entre normas, no todos. Llega a 36 de los 116 requisitos de ISO 27001, 19 de los 62 requisitos de ISO 42001, 12 de los 15 requisitos de NIS2 y 28 de las 73 medidas del ENS. El resto también hay que trabajarlo, y cada organización añade en Salvik sus propios controles.

¿Por qué no sale el texto de las normas ISO?

Porque el texto de ISO/IEC 27001 e ISO/IEC 42001 tiene derechos de autor. De ellas se cita solo la referencia y el título. Del ENS y de NIS2 se enlaza el texto oficial, en el BOE y en EUR-Lex.

¿Se guarda lo que escribo?

No. La búsqueda se hace en tu navegador y lo que escribes no se envía a ningún servidor. Es gratis y no hace falta registrarse.