Verificación en dos pasos (2FA) y cumplimiento normativo
La verificación en dos pasos (2FA) ya es un requisito explícito en NIS2, el ENS, DORA y la PSD2. Además, es de lo primero que revisa un auditor de ISO 27001. Esta guía resume qué exige cada norma, qué métodos resisten el phishing y por dónde empezar.
En 30 segundos: NIS2 pide autenticación multifactor «cuando proceda» (artículo 21.2.j). El Reglamento de Ejecución (UE) 2024/2690 la concreta para los proveedores digitales. Además, el ENS exige doble factor desde zonas no controladas, ISO 27001 la cubre con el control A.8.5 y DORA pide autenticación fuerte en accesos remotos y privilegiados. La PSD2, en cambio, la impone a tus clientes cuando pagan. Empieza por el acceso remoto y las cuentas de administración.
Qué es la verificación en dos pasos y por qué la piden las normas
La verificación en dos pasos combina dos factores de tipos distintos. Por ejemplo, algo que sabes (una contraseña), algo que tienes (el móvil o una llave) o algo que eres (tu huella). Así, una contraseña robada ya no basta para entrar. Los textos legales hablan de «autenticación multifactor» (MFA), que admite dos o más factores.
De hecho, el robo de credenciales es una vía de entrada habitual del ransomware y del fraude por suplantación. Por eso el legislador europeo ha convertido la verificación en dos pasos en un control mínimo. Y por eso los auditores piden pruebas de que está activa, no solo una política que la mencione.
NIS2 y el Reglamento de Ejecución (UE) 2024/2690
El artículo 21.2.j de la Directiva NIS2 incluye entre las medidas mínimas «el uso de soluciones de autenticación multifactorial o de autenticación continua», «cuando proceda». Sin embargo, esa coletilla no es una puerta de salida. Al contrario, te obliga a justificar dónde la aplicas y dónde no. Además, el artículo 20 hace responsable a la dirección de aprobar estas medidas.
Qué concreta el Reglamento de Ejecución
El Reglamento de Ejecución (UE) 2024/2690 está en vigor desde el 7 de noviembre de 2024. En concreto, afecta a proveedores de DNS, nube, centros de datos, servicios gestionados, buscadores, redes sociales y servicios de confianza. Su anexo, en el punto 11.7, pide autenticación multifactor o continua según la clasificación del activo. También exige que la robustez del método sea proporcional a esa clasificación.
Si no estás en esos sectores, el reglamento no te obliga directamente. Aun así, es la mejor pista de lo que se considera «adecuado». De hecho, ENISA lo desarrolla en su guía técnica de implementación de NIS2.
Verificación en dos pasos para cuentas privilegiadas
El mismo anexo va más allá con los administradores. En concreto, su punto 11.3.2 pide autenticación fuerte, como la multifactor, para las cuentas privilegiadas y de administración. Por tanto, es el primer sitio donde un auditor buscará la verificación en dos pasos.
En España, la NIS2 sigue sin transponer y rige el Real Decreto-ley 12/2018. Sin embargo, conviene adelantarse, como explicamos en la situación de la transposición de NIS2 en España.
ENS, ISO 27001 y DORA: la verificación en dos pasos control a control
Si ya trabajas con el ENS, ISO 27001 o DORA, este requisito encaja en controles que ya conoces. A continuación, la tabla resume dónde aparece en cada norma.
| Norma | Dónde lo exige | Qué pide |
|---|---|---|
| NIS2 | Artículo 21.2.j | Autenticación multifactor o continua, cuando proceda |
| Reglamento (UE) 2024/2690 | Anexo, puntos 11.3.2 y 11.7 | MFA según la clasificación del activo y en cuentas privilegiadas |
| ENS (RD 311/2022) | op.acc.5 y op.acc.6 | Doble factor desde zonas no controladas y refuerzos según el nivel |
| ISO/IEC 27001:2022 | Anexo A, control A.8.5 | Autenticación segura acorde con la política de acceso |
| DORA (Reglamento Delegado 2024/1774) | Artículo 21 | Autenticación fuerte en accesos remotos, privilegiados y a funciones críticas |
| PSD2 | Artículo 97 | Autenticación reforzada del cliente en pagos y accesos a la cuenta |
ENS. El Anexo II del Real Decreto 311/2022 regula la autenticación en op.acc.5 (usuarios externos) y op.acc.6 (usuarios de la organización). En op.acc.6, la contraseña sola solo vale desde zonas controladas. En cambio, para entrar desde Internet, el refuerzo R8 exige doble factor. Las guías CCN-STIC 804 y 808 concretan los refuerzos de cada nivel, como resumimos en cómo adecuarte al Esquema Nacional de Seguridad.
ISO 27001 y DORA
En ISO 27001, el control A.8.5 (autenticación segura) se apoya en A.5.17, sobre información de autenticación, y en A.8.2, sobre accesos privilegiados. Aunque ningún control dice «2FA» de forma literal, un auditor esperará verla en el acceso remoto, el correo y la administración. Los repasamos en los cambios del Anexo A de ISO 27001:2022.
En DORA, el artículo 21 del Reglamento Delegado (UE) 2024/1774 exige autenticación fuerte en el acceso remoto, los accesos privilegiados y los activos que soportan funciones críticas o son públicos. Afecta a bancos, aseguradoras y entidades de pago, como contamos en nuestra guía de DORA explicado.
PSD2: autenticación reforzada en los pagos
La PSD2 (Directiva (UE) 2015/2366) fue la primera norma europea que impuso el doble factor a gran escala. Su artículo 97 exige autenticación reforzada cuando el cliente accede a su cuenta en línea o inicia un pago electrónico. Esa autenticación combina dos elementos independientes de conocimiento, posesión o inherencia. Además, las normas técnicas del Reglamento Delegado (UE) 2018/389 se aplican desde el 14 de septiembre de 2019.
Ojo con la diferencia: la PSD2 protege a tus clientes cuando pagan, mientras que NIS2, DORA y el ENS miran a tu plantilla. Por tanto, una fintech necesita las dos cosas. Y aunque la PSD3 y el nuevo reglamento de servicios de pago la sustituirán, mantienen la autenticación reforzada.
Métodos de verificación en dos pasos resistentes al phishing
No todos los segundos factores protegen igual. Por ejemplo, los ataques de intermediario roban la sesión aunque el usuario teclee un código válido. Por eso conviene elegir el método según el riesgo.
| Método | Resistencia al phishing | Comentario |
|---|---|---|
| Llaves de seguridad FIDO2 | Alta | Vinculan la credencial al dominio real; ideales para administradores |
| Passkeys | Alta | Credenciales FIDO en el móvil o el ordenador |
| Certificado en tarjeta o DNIe | Alta | Habitual en el sector público |
| App con notificación y número | Media | Mejor que el «aceptar» simple, que causa fatiga de avisos |
| Código TOTP en una app | Media-baja | Un phishing en tiempo real puede capturarlo |
| SMS o llamada | Baja | Vulnerable al duplicado de SIM; úsalo como respaldo |
En concreto, las llaves FIDO2 y las passkeys solo responden ante el dominio legítimo. Así, aunque alguien pique en un enlace falso, la credencial no le sirve al atacante. En cambio, un código de seis dígitos se reenvía en segundos. Aun así, cualquier verificación en dos pasos, incluso con TOTP, es mucho mejor que una contraseña sola.
Por dónde empezar: un plan en cinco fases
- Inventaria los accesos: correo, VPN, escritorio remoto, nube, ERP y paneles de administración.
- Prioriza por riesgo: primero las cuentas privilegiadas y el acceso remoto; después, el correo.
- Elige el método: FIDO2 o passkeys para administradores y una app con número para el resto.
- Cierra las puertas traseras: desactiva protocolos heredados sin MFA y revisa las cuentas de servicio.
- Documenta y mide: registra excepciones justificadas, cobertura por sistema y revisiones.
Además, prepara un procedimiento de recuperación seguro para cuando alguien pierda el móvil. Ahí fallan muchas implantaciones de verificación en dos pasos, porque un soporte que restablece accesos por teléfono lo anula todo. Por último, guarda la cobertura y las excepciones como evidencias automáticas para tus auditorías.
Qué evidencias piden los auditores
Tener la verificación en dos pasos activada no basta. En una auditoría casi nunca te preguntan si la tienes: te piden que demuestres que se aplica en todas las cuentas que importan y que justifiques cada excepción. Estas son las evidencias que lo sostienen.
1. Inventario de cuentas privilegiadas cruzado con la aplicación real. Parte de la lista de cuentas con privilegios: administradores del dominio y de la nube, consolas de infraestructura, acceso remoto y cuentas de aplicaciones críticas. Crúzala con lo que exige de verdad tu proveedor de identidad. Que un usuario haya registrado un segundo factor no significa que se le exija. Lo que cuenta es la política que lo obliga, y si una cuenta queda fuera de ella, es una brecha de cobertura.
2. La política exportada y fechada. Guarda la configuración que impone el segundo factor (por ejemplo, las reglas de acceso condicional) con su fecha y a quién se aplica. Repite la exportación después de cada cambio, para que se vea la evolución.
3. Registros de inicio de sesión. Conserva los registros que muestran que los accesos privilegiados pasaron por el segundo factor. No hace falta revisarlos todos: basta una muestra periódica, sobre todo de las cuentas de administración y del acceso remoto, guardada con la fecha en que se revisó.
4. Registro de excepciones. Cada cuenta que no puede usar el segundo factor necesita una justificación, un responsable, controles compensatorios y una fecha de revisión. Hay dos casos típicos:
- Cuentas de servicio: no inician sesión de forma interactiva. Se protegen limitando desde dónde pueden conectarse, con credenciales guardadas en un gestor de secretos y rotándolas.
- Cuentas de emergencia (break-glass): suelen ser dos y se reservan para cuando falla el proveedor de identidad. Mejor con una llave física FIDO2 guardada en custodia que con una contraseña larga en un sobre. Cada uso genera una alerta, se revisa después y se prueban periódicamente para comprobar que funcionan.
5. Métrica de cobertura y revisión periódica. Calcula qué porcentaje de las cuentas privilegiadas tiene el segundo factor exigido y cuántas excepciones siguen abiertas, y revísalo con la periodicidad que marque tu análisis de riesgos. Ese dato, con su fecha, es lo que mejor responde a la pregunta del auditor.
Preguntas frecuentes
¿Es obligatoria la verificación en dos pasos con NIS2?
NIS2 la exige «cuando proceda», en función del riesgo. En la práctica, cuesta justificar la falta de verificación en dos pasos en el acceso remoto o en las cuentas de administración. Por eso cuenta con que el supervisor la pida ahí.
¿Sirve el SMS como segundo factor?
Sirve como mínimo, porque es mejor que nada. Sin embargo, el SMS es vulnerable al duplicado fraudulento de la SIM y al phishing en tiempo real. Úsalo como respaldo y deja FIDO2 o passkeys para los accesos críticos.
¿Qué diferencia hay entre 2FA y MFA?
La 2FA usa dos factores; la MFA, dos o más. Las normas hablan de MFA, pero una verificación en dos pasos bien hecha la cumple. Eso sí, los factores deben ser de categorías distintas: dos contraseñas no son dos factores.
¿Hay que activar la verificación en dos pasos a toda la plantilla?
Lo recomendable es que sí, empezando por los accesos de más riesgo. El ENS la pide desde zonas no controladas, mientras que ISO 27001 y NIS2 exigen proporcionalidad. Por eso cada excepción debe estar justificada y revisada.
¿Las passkeys cuentan como doble factor?
Sí, si se desbloquean con biometría o PIN en un dispositivo que controlas. Así combinan algo que tienes con algo que eres o sabes. Además, resisten el phishing.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC con la verificación en dos pasos
Atalaya GRC te dice qué normas te aplican, servicio por servicio, y recoge lo que cada una pide sobre autenticación: el art. 21.2.j de NIS2, las medidas op.acc.5 y op.acc.6 del ENS y el control A.5.17 de ISO 27001. Guardas las evidencias en cada obligación y en cada medida del ENS, registras las excepciones con su justificación y su fecha de revisión, y el reloj regulatorio te avisa de cada revisión pendiente. Consulta nuestra ficha sobre NIS2 o pide una demo.
