Si ya tienes el ENS, ¿cuánto te falta para NIS2?

Tenemos un cliente del sector agroalimentario que llegó a nosotros con la ISO 27001 ya certificada y la sensación de tener los deberes hechos. No vende al sector público, así que el ENS no le venía impuesto por contrato: lo abordaba de forma voluntaria porque había oído que era la vía para certificar el cumplimiento de NIS2. Iba camino de la categoría media. Hoy lo estamos subiendo a categoría alta, en buena parte por los requisitos de continuidad que la propia NIS2 ya exige, y de paso preparándolo para algo que todavía no le obliga por ley, pero que llegará: notificar incidentes a la plataforma nacional en cuestión de horas.

Su caso resume bien una pregunta que cada vez me hacen más: si ya tengo el ENS, ¿cuánto me falta para NIS2? La respuesta corta es que bastante menos que quien parte de cero, pero no es la línea de meta que a veces se vende. Te cuento dónde está de verdad el solape y dónde está el trabajo que el ENS no te ahorra.

Por qué tener el ENS te adelanta camino

El Esquema Nacional de Seguridad (Real Decreto 311/2022) y NIS2 persiguen lo mismo desde ángulos distintos: que gestiones tus riesgos de ciberseguridad con método, que apliques medidas técnicas y organizativas proporcionadas, y que la dirección se implique de verdad. No es casualidad. La transposición española de NIS2 apunta al ENS como una de las vías para demostrar cumplimiento, así que quien ya alinea sus controles con un perfil ENS no empieza de cero.

Esto no es una intuición, el CCN lo ha puesto negro sobre blanco. Desarrolló un Perfil de Cumplimiento Específico, la guía CCN-STIC 892 (conocida como PCE-NIS2), que mapea las medidas del ENS contra los requisitos de NIS2 y que está pensado para demostrar el cumplimiento de la directiva a través de la propia certificación de conformidad con el ENS. A través de la guía CCN-STIC 825, ese mapeo se extiende también a la ISO 27001:2022, de modo que con un único trabajo apuntas a tres marcos a la vez.

Conviene ser honesto con los plazos. La versión original de ese perfil se retiró del portal del CCN, y se está preparando una nueva alineada con el Reglamento de Ejecución (UE) 2024/2690, que concreta las medidas técnicas de NIS2, y con la futura ley española. Los certificados del ENS ya emitidos siguen siendo válidos para acreditar la conformidad con el ENS. Dicho de otro modo, la dirección está clara (el ENS como vía hacia NIS2), pero el perfil concreto contra el que certificar está en actualización, así que conviene mirar el portal del CCN antes de fijar el alcance.

El ENS se categoriza por el impacto que tendría un incidente sobre cinco dimensiones (disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad). La categoría la marca la dimensión con el nivel más alto, y de ella dependen las medidas que te aplican. Esa lógica de "mide el riesgo y aplica lo proporcional" es exactamente la que pide NIS2 en su artículo de medidas.

Lo que el ENS ya te resuelve para NIS2

Si tienes el ENS implantado en serio, y no solo documentado para pasar el trámite, buena parte del músculo técnico de NIS2 ya lo tienes hecho:

• Análisis de riesgos documentado y declaración de aplicabilidad.
• Control de accesos, autenticación reforzada, gestión de vulnerabilidades, cifrado y registro de actividad.
• Una política de seguridad aprobada por la dirección y revisada.
• Continuidad, según la categoría.

Eso es mucho terreno cubierto. Por eso cuando alguien viene con el ENS hecho, el proyecto NIS2 deja de ser una montaña y pasa a ser un trabajo de cerrar huecos concretos.

Lo que el ENS no cubre y NIS2 sí

Aquí está el matiz que casi todo el mundo subestima. El ENS te deja a un paso en lo técnico, pero NIS2 añade obligaciones que no salen del esquema con la misma contundencia:

Notificación con reloj. NIS2 te obliga a notificar los incidentes significativos en tres tiempos: alerta temprana en 24 horas, informe en 72 horas e informe final en un mes. El canal es la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes (PNNSC), que gestiona el CCN-CERT junto a INCIBE-CERT y ESPDEF-CERT, y que ya incorpora el registro y la notificación. Para el sector privado, tu CSIRT de referencia es INCIBE-CERT. El ENS te pide gestionar incidentes; NIS2 te pone un cronómetro y un destinatario.

Responsabilidad de la dirección. NIS2 hace al órgano de dirección personalmente responsable, y exige formación específica del consejo. No es una recomendación: en infracciones graves se contempla incluso la inhabilitación temporal de directivos. Eso obliga a dejar actas y evidencias de que la dirección aprueba y supervisa, algo que el ENS no te exige con ese peso.

Cadena de suministro. Tienes que evaluar a tus proveedores críticos y meter cláusulas de ciberseguridad en los contratos. No basta con una declaración firmada: NIS2 espera verificación.

Autoidentificación. La obligación de registrarte como entidad esencial o importante recae en ti. No esperes una carta que te avise. No registrarte puede ser ya una infracción.

Y un apunte para el caso que nos ocupa: el sector alimentario entró en el alcance de NIS2. Que tu actividad esté dentro no es automático (depende del tamaño y de cómo te clasifiquen), pero conviene asumir que aplica y hacer el análisis, porque el coste de prepararse es menor que el de una sanción.

Lo que viene: INCIDENTRON y la notificación europea unificada

Hay un movimiento de fondo que conviene tener en el radar. La notificación de incidentes hoy es un laberinto: cada norma (NIS2, DORA, CER, RGPD, el Cyber Resilience Act) pide su aviso, con sus plazos y su autoridad, y encima cambia de un país a otro. Una misma brecha puede obligarte a comunicar lo mismo de tres formas distintas.

Para ordenar eso, la Comisión Europea está financiando INCIDENTRON, un proyecto europeo en el que participa INCIBE. Su objetivo es un marco común y una plataforma que te diga cuándo un incidente dispara obligaciones de notificación, qué información incluir y ante quién, también cuando el incidente es transfronterizo o afecta a varias entidades. La idea es una lógica de decisión unificada que se conecte con tus sistemas de trabajo (ticketing, SIEM) en vez de añadir otro trámite manual.

No es todavía la ventanilla a la que avisas: está en desarrollo. Pero marca por dónde va Europa, hacia una notificación coordinada en lugar de un aviso suelto por cada norma. Por eso, cuando montamos el procedimiento de un cliente, lo dejamos funcionando con la plataforma nacional de hoy y preparado para encajar con lo que viene.

El caso: de ISO 27001 a ENS alto, anticipando NIS2

Volvamos al cliente agroalimentario. Llegó con la ISO 27001 certificada y con la idea de adecuarse al ENS de categoría media. Le había llegado que el ENS podía usarse como vía para certificar el cumplimiento de NIS2, y por ahí quería empezar. No iba descaminado: es justo lo que plantea el perfil del CCN. Hasta ahí, un proyecto razonable.

El giro vino al modelar la dimensión de disponibilidad. Sus procesos productivos y logísticos no aguantan una parada larga sin consecuencias serias, y al valorar ese impacto la categoría se le iba a alta. Pero hubo además una decisión consciente por nuestra parte. NIS2 ya exige gestión de la continuidad, copias de seguridad y gestión de crisis entre sus medidas mínimas, y para este cliente, por cómo opera, reforzar la continuidad era de lo más importante. Llevarlo a categoría alta cubría las dos cosas de golpe: lo que pide el propio ENS y la continuidad que reclama la directiva. La alta aprieta justo ahí: planes de recuperación probados, tiempos objetivo de recuperación realistas, redundancias y simulacros, no un documento guardado en un cajón.

Podíamos haber hecho el ENS y, más adelante, rehacer medio proyecto para NIS2. No tenía sentido. Como el sector ya entra en el alcance de la directiva, montamos un único programa: el ENS alto como base técnica y, encima, lo que NIS2 añade y el ENS no cubre, el procedimiento de notificación 24/72h (conectado a la plataforma nacional hoy y preparado para la notificación europea que se está construyendo) y la formación de la dirección. Hacerlo ahora, antes de que la ley cierre los plazos, sale más barato y mucho menos atropellado que hacerlo con el reloj en contra.

Mi lectura, después de varios proyectos como este: el ENS te deja muy cerca en lo técnico, pero quien lo vende como "ya casi tienes NIS2" se salta lo difícil. Lo difícil no es la tecnología. Es la maquinaria de notificación contrarreloj, la responsabilidad del consejo y el control de proveedores. Ahí es donde veo tropezar a casi todo el mundo.

Qué hacer esta semana si estás en esta situación

• Confirma si NIS2 te aplica: sector incluido y tamaño (a partir de 50 empleados o 10 millones de euros de facturación, con matices). Y si serías entidad esencial o importante.
• Si ya tienes ENS o ISO 27001, haz un mapeo honesto: qué medidas se solapan y qué te falta de verdad (notificación, dirección y cadena de suministro suelen ser los huecos).
• Revisa o monta tu procedimiento de notificación con los plazos 24h, 72h y un mes, dejando claro quién avisa y por dónde.
• No esperes al BOE. Muchas obligaciones serán exigibles desde la entrada en vigor, sin un colchón largo de adaptación.

Cómo lo vemos en Meta-Data

Si estás en este punto, con el ENS o la ISO 27001 hechos y NIS2 asomando, el error caro es tratarlos como proyectos separados. Nosotros trabajamos los dos como un único sistema: la adecuación al ENS como base y la consultoría NIS2 cerrando lo que falta. Una sola implantación, dos marcos cumplidos.

Si quieres ver primero por dónde andas, puedes consultar nuestra guía de ISO 27001, NIS2 y ENS y empezar a situar tu caso.

Guía práctica · descarga gratuitaISO 27001, NIS2 y ENS: la guía para cumplir sin duplicar el trabajoDescargar la guía (PDF) →