No, un certificado NIS2 no existe. No hay ninguna entidad — ningún organismo de certificación, ninguna autoridad supervisora, ninguna asociación sectorial — que emita una marca de calidad o certificado con el que una empresa pueda demostrar que está "certificada en NIS2". Quien ofrece o vende un certificado de este tipo, vende algo que de hecho no existe dentro del sistema de la Directiva.
No es un matiz menor. NIS2 es una Directiva que los Estados miembros transponen en legislación nacional, con una obligación de diligencia: medidas técnicas y organizativas apropiadas para gestionar los riesgos para los sistemas de redes e información. Las autoridades supervisoras verifican si una organización cumple con esa obligación de diligencia, no si hay un certificado colgado en la pared. Por lo tanto, no hay examen, no hay marca de calidad y no hay sello que la propia ley prescriba o reconozca.
Por qué la pregunta sigue siendo recurrente
La confusión es comprensible. Con otra regulación, piense en determinadas normas de calidad en la construcción o seguridad alimentaria, sí existe un procedimiento de certificación con un inspector independiente y un certificado válido. Los proveedores que quieren sacar provecho comercial de la incertidumbre en torno a NIS2 juegan con eso: sugieren que existe un procedimiento comparable, con una auditoría, un informe y un documento elegante al final. Suena tranquilizador, especialmente para un director o gerente de oficina que acaba de enterarse de que algo "viene en camino" y busca rápidamente una lista de verificación.
El problema es que ese certificado, por convincente que parezca, no tiene estatus jurídico bajo la Directiva o su transposición nacional. Una autoridad supervisora no pregunta por un certificado; observa las medidas en sí, cómo están documentadas y quién es responsable de ellas.
Lo que sí existe: normas reconocidas, no un sello NIS2
Existen normas internacionalmente reconocidas para la seguridad de la información, con un procedimiento de certificación a través de un organismo acreditado. Tal certificado demuestra que se ha establecido un sistema de gestión de la seguridad de la información y que se somete a pruebas periódicas. Eso es valioso y puede facilitar parte de la conversación con una autoridad supervisora o un cliente, porque proporciona estructura y prueba. Pero es un sistema diferente, con su propio alcance y su propio auditor, y no cubre automáticamente cada medida que la obligación de diligencia espera. Quien desee comprender exactamente esa diferencia, encontrará la comparación en la descripción general de temas por situación.
Lo que una autoridad supervisora o cliente espera realmente
En lugar de un certificado, la obligación de diligencia requiere demostrabilidad: ¿puede la organización mostrar qué medidas se han tomado, quién es responsable de ellas y qué prueba las acompaña? Eso es menos una marca de calidad y más un registro vivo — un dossier que evoluciona con la organización, con un estado y un responsable por cada medida. Para quien aún no sabe si esto es relevante para su propia organización, el primer paso suele ser simple: ver el sector, tamaño y papel en la cadena de suministro. Eso se puede hacer de forma gratuita y sin cuenta a través de unas pocas preguntas que dan inmediatamente una indicación.
También hacia clientes que envían un cuestionario de seguridad, un certificado no es el camino más corto. Los clientes suelen querer ver respuestas concretas: qué medidas hay, cómo están asignadas, qué sucede en caso de incidente. Un certificado puede ayudar en eso, pero no sustituye la prueba subyacente.
Si un proveedor ofrece un "certificado NIS2"
Si se ofrece un proceso de certificación específicamente bajo el nombre NIS2, es aconsejable examinar críticamente quién lo emite y según qué norma. Solicite información sobre la acreditación, el alcance exacto y qué cubre y qué no cubre el certificado. Una auditoría, una prueba de penetración o una certificación contra una norma reconocida es trabajo de especialistas — esto es marcadamente diferente de la preparación de políticas, dossiers y cuestionarios. Cómo se ve esa preparación y de dónde proceden las fuentes utilizadas se explica en la página sobre cómo se ha estructurado la información.
Para su situación particular, y para la cuestión de si un certificado ofrecido se ajusta a lo que la ley en su país solicita exactamente, un abogado o la autoridad competente de supervisión sigue siendo el interlocutor adecuado. Si duda sobre si un certificado, una norma o un cuestionario es relevante para su organización, entonces el resumen de preguntas frecuentes a menudo ya proporciona una respuesta inicial.
¿Desea saber dónde se encuentra exactamente su organización, sin argumentos de venta sobre certificados que no existen? Realice la verificación NIS2 gratuita o explore la base de conocimientos — ambas son accesibles sin cuenta.