ENS y NIS2: si cumples uno, ¿cuánto llevas del otro?
ENS y NIS2 parten de la misma lógica de gestión del riesgo. Por eso, si ya cumples el esquema español, llevas recorrida buena parte de la directiva europea. Sin embargo, aún te faltan los plazos de notificación, las obligaciones de la dirección y un control de proveedores más amplio.
En 30 segundos: los diez ámbitos del artículo 21.2 de la directiva tienen reflejo en el Anexo II del Real Decreto 311/2022. Así que partes con ventaja. Aun así, la norma europea exige notificar en 24 y 72 horas, implica a la dirección y extiende el control de proveedores. Además, España sigue sin ley de transposición, y el anteproyecto usa el esquema para acreditar las medidas.
Qué comparten el ENS y la NIS2
Los dos marcos piden lo mismo en esencia. Tienes que conocer lo que proteges, analizar los riesgos, aplicar medidas proporcionadas y comprobar que funcionan. El esquema lo concreta en el Real Decreto 311/2022, con un marco organizativo, un marco operacional y medidas de protección. Por su parte, la Directiva (UE) 2022/2555 fija diez ámbitos mínimos en su artículo 21.2.
Además, ambos comparten la idea de proporcionalidad. El ENS gradúa las medidas por categoría del sistema: BÁSICA, MEDIA o ALTA. En cambio, la NIS2 distingue entre entidades esenciales e importantes según su tamaño y sector. En los dos casos, la política de seguridad, el análisis de riesgos, la gestión de incidentes y la continuidad forman el núcleo.
Tabla de correspondencias entre ENS y NIS2
La tabla relaciona cada letra del artículo 21.2 con las medidas del Anexo II. Es una guía de trabajo, no una equivalencia oficial. De hecho, el Centro Criptológico Nacional publicó su propio mapeo en el anexo I de la guía CCN-STIC 892.
| Letra | Ámbito del artículo 21.2 | Medidas del Anexo II | Matiz |
|---|---|---|---|
| a) | Análisis de riesgos y políticas de seguridad | org.1, org.2, op.pl.1 | Cobertura alta |
| b) | Gestión de incidentes | op.exp.7, op.exp.9 | Faltan los plazos de notificación |
| c) | Continuidad, copias, recuperación y gestión de crisis | op.cont.1 a op.cont.4, mp.info.6 | La gestión de crisis pide un plan propio |
| d) | Seguridad de la cadena de suministro | op.ext.1, op.ext.2, op.ext.3 | op.ext.3 solo aplica en categoría ALTA |
| e) | Adquisición, desarrollo, mantenimiento y vulnerabilidades | op.pl.3, op.exp.4, op.exp.5, mp.sw.1, mp.sw.2 | Añade la divulgación de vulnerabilidades |
| f) | Evaluación de la eficacia | op.mon.2 y auditoría del artículo 31 | Cobertura alta |
| g) | Ciberhigiene y formación | mp.per.3, mp.per.4 | La formación de la dirección va aparte |
| h) | Criptografía y cifrado | mp.si.2, mp.com.2, op.exp.10 | Cobertura alta |
| i) | Recursos humanos, control de acceso y activos | mp.per.1, mp.per.2, op.acc.1 a op.acc.4, op.exp.1 | Revisa la baja de cuentas |
| j) | Autenticación multifactor y comunicaciones seguras | op.acc.5, op.acc.6, mp.com.3 | Comprueba las comunicaciones de emergencia |
En la práctica, la reutilización funciona bien. Tu Declaración de Aplicabilidad del ENS puede servir de base para el documento equivalente de la NIS2 que prevé el anteproyecto. Si necesitas repasar cada fase, consulta cómo adecuar tus sistemas al esquema paso a paso.
Lo que el esquema español no cubre
Aunque el núcleo coincide, quedan tres huecos entre ENS y NIS2 que conviene cerrar pronto. Ninguno te obliga a rehacer el sistema de gestión. Eso sí, todos requieren procedimientos y evidencias nuevas.
Notificación en 24 horas, 72 horas y un mes
El artículo 33 del real decreto obliga al sector público a notificar al CCN los incidentes con impacto significativo. Sus proveedores privados lo hacen ante INCIBE-CERT, que avisa al CCN-CERT. Sin embargo, no hay plazos en horas. En cambio, el artículo 23 de la directiva exige una alerta temprana en 24 horas. Después llegan la notificación a las 72 horas y un informe final en un mes. Por eso, tu procedimiento necesita un reloj y umbrales claros de «incidente significativo». Si hay datos personales afectados, también tendrás que notificar la brecha a la AEPD en 72 horas.
Responsabilidad de la dirección
El esquema pide que la política de seguridad la apruebe el órgano superior o, en un proveedor privado, su máximo órgano ejecutivo. No obstante, no regula la responsabilidad personal de los directivos. La directiva va más allá en su artículo 20. Los órganos de dirección aprueban las medidas, supervisan su aplicación y reciben formación periódica. Además, pueden responder por los incumplimientos, y el anteproyecto español recoge lo mismo en su artículo 14. Lo explicamos en qué responsabilidad asumen los directivos.
Cadena de suministro y alcance
La medida op.ext.3 del Anexo II solo resulta exigible en categoría ALTA. Por el contrario, la directiva pide a todas las entidades obligadas gestionar la seguridad con sus proveedores directos. También deben valorar sus vulnerabilidades y sus prácticas de desarrollo seguro. Además, cambia el perímetro. El ENS cubre los sistemas que prestan servicio a la Administración, mientras que la NIS2 abarca todas las redes y sistemas de la entidad. Por último, la norma europea trae sanciones propias. Para las entidades esenciales, las multas llegan a 10 millones de euros o al 2 % del volumen de negocio mundial.
El papel del ENS en la transposición española de la NIS2
El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. Este texto da al ENS un papel central en la aplicación de la NIS2. Su artículo 15 toma como base las medidas del esquema y las normas técnicas internacionales equivalentes. Además, fija tres reglas:
- Para las entidades sujetas al real decreto, un perfil de cumplimiento específico del esquema acreditará las medidas de gestión de riesgos.
- Quien no esté obligado podrá someterse a ese perfil de forma voluntaria.
- Cada entidad esencial tendrá que certificarse, mientras que las importantes podrán optar por una autoevaluación.
Ese perfil ya existe. El CCN publicó la guía CCN-STIC 892 en abril de 2024, con un mapeo entre ENS y NIS2 en su anexo I. Por tanto, certificarte contra ese perfil es hoy la vía más directa para llegar preparado. Eso sí, recuerda que el anteproyecto aún puede cambiar.
Situación en España a octubre de 2026
A 14 de octubre de 2026, España sigue sin ley de transposición. El plazo terminó el 17 de octubre de 2024. En julio de 2026, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por ese retraso. Después, el Real Decreto 806/2026 (BOE del 6 de octubre) disolvió las Cortes y convocó elecciones para el 29 de noviembre. Por tanto, la ley no se aprobará en 2026. Lo contamos en la transposición pendiente y el procedimiento ante el TJUE.
Mientras tanto, sigue vigente el Real Decreto-ley 12/2018, que transpuso la primera directiva NIS. El esquema, por su parte, sigue siendo obligatorio para el sector público y sus proveedores. Así que la recomendación no cambia: aprovecha lo que ya tienes y prepara solo la diferencia.
Cómo trabajar ENS y NIS2 sin duplicar esfuerzo
Muchos proveedores tecnológicos de la Administración tienen que cumplir a la vez ENS y NIS2. En ese caso, no montes dos proyectos. En su lugar, sigue estos pasos:
- Confirma primero si eres entidad esencial o importante y qué sistemas entran en cada alcance.
- Revisa tu Declaración de Aplicabilidad con la tabla anterior y marca los huecos.
- Añade al procedimiento de incidentes los plazos de 24 horas, 72 horas y un mes.
- Documenta la aprobación y la formación de la dirección con actas.
- Amplía la evaluación de proveedores directos, aunque tu sistema no sea de categoría ALTA.
Así, un mismo control y una misma evidencia sirven para el ENS y para la NIS2. Es la idea del mapa de controles para cumplir varias normativas sin repetir trabajo.
Preguntas frecuentes
¿Cumplir el ENS me exime de la NIS2?
No. Son marcos distintos que se solapan. Si la directiva te aplica, también debes cubrir sus obligaciones de notificación, gobierno y cadena de suministro.
¿Cuánto trabajo puedo reutilizar?
La mayor parte de las medidas técnicas y organizativas, porque los diez ámbitos del artículo 21.2 tienen reflejo en el Anexo II. El esfuerzo nuevo está en plazos, actas y alcance. No existe una cifra oficial de cobertura, así que desconfía de los porcentajes genéricos.
¿Qué es la guía CCN-STIC 892?
Es el perfil de cumplimiento específico que el CCN publicó en abril de 2024 para organizaciones afectadas por la directiva. Selecciona las medidas del esquema que responden a sus requisitos.
¿Dónde notifico un incidente si me aplican ENS y NIS2?
Hoy, un proveedor privado notifica a INCIBE-CERT y una entidad pública, al CCN-CERT. Cuando se apruebe la ley, los canales y los plazos podrán cambiar. Por eso, revisa tu procedimiento en cuanto se publique en el BOE.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC aplica la idea de un control para varias normas. Cada medida del Anexo II queda vinculada a su letra del artículo 21.2 y a sus evidencias, servicio por servicio. Además, el reloj regulatorio te avisa de cada plazo de notificación. La gestión de incidentes guía cada informe y el registro de terceros documenta a tus proveedores directos. Consulta la ficha del ENS en Atalaya GRC o solicita una demo.
