Un certificado ISO 27001 ayuda de manera demostrable con la obligación de diligencia debida de la NIS2, pero no la cubre completamente. La norma describe cómo una organización aborda la seguridad de la información de manera estructurada a través de un sistema de gestión; la Directiva NIS2 (en particular el artículo 21) describe qué medidas concretas debe tomar una entidad esencial o importante, y el artículo 23 obliga a notificar incidentes a la autoridad competente. Este último aspecto no lo regula ninguna norma ISO, por muy bueno que sea el certificado en otros aspectos.
La diferencia no está en la calidad sino en el propósito. ISO 27001 es una norma voluntaria que una organización puede certificar para demostrar que tiene la seguridad de la información en orden. NIS2 es legislación con una obligación de diligencia debida, una obligación de registro y una obligación de notificación, que se ha transpuesto en cada país — en los Países Bajos en la Ley de Ciberseguridad. Por lo tanto, una empresa puede estar certificada en ISO 27001 y aun así tener que dar pasos adicionales para cumplir con las obligaciones legales, e inversamente, una empresa puede trabajar en el cumplimiento de la obligación de diligencia debida sin querer nunca un certificado.
Dónde se solapan
ISO 27001 trabaja con una evaluación de riesgos y una lista de medidas de control (el denominado Anexo A) que se asemejan mucho a las diez medidas que la obligación de diligencia debida de la NIS2 menciona: control de acceso, cifrado, copias de seguridad, evaluación de proveedores, manejo de incidentes y más aparecen en ambas. Una organización que mantiene seriamente su sistema ISO ya tiene pruebas y propietarios para muchas de esas medidas. Esto ahorra trabajo considerable en la construcción de un expediente para la obligación de diligencia debida, y es precisamente por qué los compradores que envían un cuestionario de seguridad a menudo ven un certificado ISO 27001 como una señal fuerte.
Sin embargo, el alcance es algo diferente. ISO 27001 permite que una organización determine por sí misma el alcance del sistema de gestión — por ejemplo, solo el departamento de TI o solo una sucursal. La obligación de diligencia debida de la NIS2 se aplica a toda la entidad que cae bajo la ley, tal como la ha delimitado el legislador y el sector. Un certificado con alcance limitado no dice automáticamente nada sobre el resto de la organización. Quien quiera comprobar cómo esa delimitación funciona en su propio sector, lo encontrará de manera más clara buscando los temas por situación que en la norma misma.
Lo que ISO 27001 no regula
Dos obligaciones de la ley no tienen equivalente en la norma. La primera es la obligación de registro: las entidades esenciales e importantes deben registrarse ante la autoridad competente nacional, con datos sobre la organización y sus personas de contacto. ISO 27001 no dice nada al respecto — es una norma de certificación, no una ventanilla legal.
La segunda es la obligación de notificación en caso de incidente. El artículo 23 de la Directiva describe un proceso gradual de notificación a la autoridad competente, con una señal inicial poco después del descubrimiento y pasos posteriores. ISO 27001 sí requiere un proceso de manejo de incidentes, pero ese proceso está dirigido internamente: describe cómo una organización aborda un incidente por sí misma, no a quién y cuándo debe notificarlo externamente. Quien quiera ver esta diferencia con claridad puede leer la estructura de esos plazos en el artículo anterior sobre la obligación de notificación en este sitio.
La manera en que se evalúan los proveedores también difiere en peso. ISO 27001 presta atención a las relaciones con proveedores como parte de la evaluación de riesgos más amplia. La obligación de diligencia debida de la NIS2 convierte la evaluación de la cadena en una parte explícita del artículo 21, lo que explica por qué las organizaciones obligadas enfatizan este tema tan claramente con sus proveedores de pequeñas y medianas empresas a través de cuestionarios y requisitos contractuales.
Lo que esto significa en la práctica
Para una organización que ya está certificada en ISO 27001, esto suele significar que la mayor parte de la evidencia ya existe, pero debe reorganizarse de otra manera: por cada medida de gestión de riesgos un estado, una prueba y un responsable, además de los textos para registro y notificación que la norma no prescribe. Para una organización sin certificado, significa que no necesariamente tiene que iniciar un proceso de ISO para cumplir con las obligaciones de gestión de riesgos — la ley exige las medidas, no el certificado en sí.
Cómo esto se aplica exactamente a una organización específica depende del sector, el tamaño y el papel en la cadena de suministro, y en última instancia lo determina la autoridad reguladora competente o un abogado, no este artículo. Obtendrá una primera indicación respondiendo a un pequeño cuestionario para ver dónde se encuentra, y quien quiera saber cómo se estructura la información en este sitio y de dónde proceden las fuentes, lo puede leer en la página sobre cómo secria.eu recopila la información.
¿Tiene una pregunta concreta sobre su propia situación después de leer esto, por ejemplo sobre lo que un certificado prueba y no prueba ante un cliente? Consulte las respuestas a preguntas frecuentes, o inicie la verificación gratuita para ver qué paso siguiente se adapta a su organización.