Cumplir varias normativas sin duplicar: el mapa de controles
Un mapa de controles te permite cumplir varias normativas sin duplicar trabajo. Defines cada control una vez y lo vinculas a todos los requisitos que satisface. Si te aplican ISO 27001, NIS2, DORA, el ENS y el RGPD, gran parte de lo que piden se solapa. Por eso, esta guía explica cómo construirlo, con una tabla de correspondencias reales y las referencias oficiales que conviene usar.
En 30 segundos: las normas de seguridad comparten la mayoría de sus exigencias, como riesgos, incidentes, continuidad, proveedores, accesos y cifrado. En lugar de llevar un proyecto por norma, crea un mapa de controles y anota a qué artículo responde cada uno. Así, una sola evidencia sirve para varias auditorías. Eso sí, una correspondencia no es una equivalencia: cada norma conserva requisitos propios, como los plazos de notificación.
Por qué se duplica el trabajo de cumplimiento
La mayoría de empresas reguladas no responde a una sola norma. Por ejemplo, una entidad de pago está sujeta a DORA y al RGPD. Además, quizá se certifique en ISO 27001 porque se lo piden sus clientes. Del mismo modo, un proveedor de la Administración necesita el ENS y, según su actividad, también NIS2.
Si tratas cada marco como un proyecto aislado, documentas el mismo control tres o cuatro veces. Además, cada versión evoluciona por su lado y surgen contradicciones entre políticas. El coste no está solo en las horas: también en el riesgo de incoherencias ante un auditor.
Qué es un mapa de controles
Un mapa de controles es una tabla viva que relaciona tus controles internos con los requisitos de cada norma. Cada fila es un control propio, por ejemplo «revisión trimestral de accesos». En cambio, cada columna es una norma, con el artículo o la medida que ese control ayuda a cumplir.
La clave está en el sentido de la relación. No partes de cada norma para crear controles, sino de tus controles para demostrar varias normas. Así, recoges la evidencia una vez y la reutilizas en todas. Lo explicamos en la guía de evidencias automáticas para auditorías.
Cómo construir un mapa de controles en seis pasos
- Primero, delimita el alcance: qué normas te aplican y a qué servicios, porque no todas alcanzan a toda la empresa.
- Después, elige un marco ancla. ISO 27001 funciona bien porque su Anexo A reúne 93 controles en cuatro temas.
- Luego, redacta tus controles con verbos y responsables, sin copiar el texto legal.
- A continuación, vincula cada control con los artículos de cada norma e indica si la cobertura es total o parcial.
- Además, señala los requisitos huérfanos: los que solo pide una norma y exigen un control propio.
- Por último, asigna a cada control su evidencia, su frecuencia y su responsable.
El paso de la cobertura parcial es el que más errores evita. Por ejemplo, la gestión de incidentes de ISO 27001 cubre buena parte de NIS2. Sin embargo, no fija los plazos de notificación de su artículo 23. Tampoco cubre los de DORA. Por eso, un buen mapa de controles distingue entre «cubierto» y «cubierto en parte».
Ejemplo de mapa de controles: ISO 27001, NIS2, DORA, ENS y RGPD
Este ejemplo de mapa de controles toma como eje las diez medidas del artículo 21.2 de la directiva NIS2. Las referencias de ISO 27001 son de la versión de 2022 y las del ENS, del Anexo II del Real Decreto 311/2022.
| Capacidad | ISO 27001:2022 | NIS2 (art. 21.2) | DORA | ENS | RGPD |
|---|---|---|---|---|---|
| Políticas y análisis de riesgos | 6.1.2, 6.1.3 y A.5.1 | Letra a) | Arts. 6 y 9.4.a | org.1 y op.pl.1 | Arts. 24 y 32.2 |
| Gestión de incidentes | A.5.24 a A.5.28 | Letra b) y art. 23 | Arts. 17 y 19 | op.exp.7 | Arts. 33 y 34 |
| Continuidad y copias | A.5.29, A.5.30 y A.8.13 | Letra c) | Arts. 11 y 12 | op.cont.2 y mp.info.6 | Art. 32.1.b y c |
| Cadena de suministro | A.5.19 a A.5.22 | Letra d) | Arts. 28 y 30 | op.ext.1 y op.ext.3 | Art. 28 |
| Desarrollo y vulnerabilidades | A.8.8 y A.8.25 | Letra e) | Art. 9.4.e y f | op.exp.4 y mp.sw.1 | Art. 25 |
| Evaluación de la eficacia | 9.1, 9.2 y A.5.35 | Letra f) | Arts. 6.6, 24 y 25 | Auditoría del art. 31 | Art. 32.1.d |
| Ciberhigiene y formación | A.6.3 | Letra g) | Art. 13.6 | mp.per.3 y mp.per.4 | Art. 39.1.b (si hay DPD) |
| Criptografía | A.8.24 | Letra h) | Art. 9.4.d | op.exp.10, mp.com.2 y mp.si.2 | Art. 32.1.a |
| Accesos, personal y activos | A.5.9, A.5.15 y A.5.18 | Letra i) | Art. 9.4.c | op.exp.1 | Art. 32.4 |
| Autenticación multifactor | A.8.5 | Letra j) | Art. 9.4.d | op.acc.5 y op.acc.6 | Art. 32.1 (según riesgo) |
Lee la tabla como un punto de partida, no como una equivalencia legal. Por ejemplo, el RGPD no tiene catálogo de controles: su artículo 32 pide medidas apropiadas al riesgo. DORA, en cambio, detalla mucho más en normas técnicas como el Reglamento Delegado (UE) 2024/1774.
Referencias oficiales para no partir de cero
No hace falta inventar las correspondencias. El 26 de junio de 2025, ENISA publicó su guía técnica de implementación de NIS2. Desarrolla las medidas del Reglamento de Ejecución (UE) 2024/2690 para proveedores digitales, como la nube, los centros de datos o los servicios gestionados. Además, trae ejemplos de evidencias y un mapa de controles en hoja de cálculo. Esa hoja enlaza cada requisito con normas y marcos como ISO/IEC 27001.
Aunque tu empresa quede fuera de ese ámbito, la guía orienta sobre lo que un supervisor considera razonable. Eso sí, ENISA advierte de que no es vinculante y recomienda consultar antes a la autoridad nacional. Si vienes del sector público, revisa también nuestra comparativa entre el ENS y NIS2. Y si ya tienes ISO 27001, lee cómo usarla de atajo para NIS2, RGPD y DORA.
Errores habituales al relacionar normas
- Confundir correspondencia con cumplimiento: una celda marcada no prueba nada sin evidencia.
- Copiar el texto de cada norma como si fuera un control, lo que multiplica las filas.
- Olvidar los requisitos exclusivos, como el registro de información de terceros de DORA.
- Dejar el mapa congelado mientras las normas cambian.
Este último punto pesa en España. NIS2 sigue sin transponer y la Comisión llevó a España ante el TJUE en julio de 2026. Además, el Real Decreto 806/2026 disolvió las Cortes y convocó elecciones para el 29 de noviembre. Por tanto, la ley no llegará en 2026 y sigue vigente el Real Decreto-ley 12/2018. Mientras tanto, tu mapa de controles debe reflejar ambos textos. Tienes más detalle en nuestro análisis del estado de la transposición de NIS2.
Preguntas frecuentes
¿Existe un mapa de controles oficial entre NIS2 e ISO 27001?
Sí, con matices. La guía técnica de ENISA de junio de 2025 incluye una tabla de correspondencias. En concreto, relaciona los requisitos del Reglamento (UE) 2024/2690 con ISO/IEC 27001 y otros marcos. Sin embargo, no es vinculante y está pensada para proveedores digitales.
¿Cubre ISO 27001 todo lo que pide NIS2?
No del todo. ISO 27001 cubre gran parte de las medidas del artículo 21, pero NIS2 añade obligaciones propias. Entre ellas, la notificación de incidentes por fases (artículo 23) y la formación de la dirección (artículo 20). Por eso conviene marcarlas como requisitos sin pareja.
¿Cada cuánto hay que revisar el mapa de controles?
Revísalo al menos una vez al año y, además, cada vez que cambie una norma o tu alcance. DORA, por ejemplo, exige revisar el marco de gestión del riesgo TIC al menos una vez al año (artículo 6.5). Así, el mapa de controles sigue alineado con tus auditorías.
¿Sirve el mismo mapa para el RGPD?
En seguridad, sí: el artículo 32 pide medidas técnicas y organizativas apropiadas, y muchas coinciden con ISO 27001. Sin embargo, el RGPD va más allá de la seguridad. Las bases jurídicas, los derechos de los interesados o el registro de actividades necesitan controles propios.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC trabaja con un mapa de controles común y calcula, servicio por servicio, qué normas cumples y qué te falta. Es decir: un control, varias normas. Defines la evidencia una vez y la reutilizas en ISO 27001, NIS2, DORA, el ENS y el RGPD. Además, el reloj regulatorio te avisa antes de cada plazo. También el registro de terceros y la gestión de incidentes y notificaciones cubren los requisitos sin pareja. Consulta las normativas que cubre la plataforma o solicita una demo.
