ISO 27001: el atajo para cumplir NIS2, RGPD y DORA a la vez
ISO 27001 y NIS2 comparten casi todo el núcleo de gestión del riesgo. Por eso, un sistema de gestión bien implantado es el mejor atajo hacia la directiva, y también te adelanta buena parte del RGPD y de DORA. Ahora bien, no lo cubre todo, y certificarte no equivale a cumplir.
En 30 segundos: la norma ISO/IEC 27001:2022 te da el sistema de gestión, el análisis de riesgos y 93 controles. Esos controles encajan con las medidas de la directiva, con el artículo 32 del RGPD y con el marco de riesgo TIC de DORA. Sin embargo, cada norma añade obligaciones propias: plazos de notificación, derechos de los interesados, registro de proveedores TIC y pruebas TLPT. Además, ENISA publicó en junio de 2025 una tabla que relaciona cada requisito técnico con la norma ISO.
Por qué ISO 27001 sirve de base para NIS2
La norma define cómo montar y mejorar un sistema de gestión de la seguridad de la información (SGSI). Primero analizas los riesgos. Después eliges controles del Anexo A y los justificas en la Declaración de Aplicabilidad. Por último, auditas y revisas el sistema cada año.
Ese ciclo coincide con lo que piden las tres normas. La Directiva (UE) 2022/2555 exige en su artículo 21 medidas con un enfoque de todos los riesgos. El Reglamento (UE) 2022/2554, conocido como DORA, pide un marco de gestión del riesgo TIC documentado y revisado. Por su parte, el RGPD obliga en su artículo 32 a aplicar medidas técnicas y organizativas apropiadas al riesgo.
Además, el artículo 25 de la directiva anima a usar normas europeas e internacionales. Por eso, llevar ISO 27001 y NIS2 dentro de un mismo sistema es la forma más eficiente de trabajar. Si quieres repasar los controles, consulta los 93 controles del Anexo A tras la revisión de 2022.
Tabla de cobertura por norma
La tabla resume qué aporta un SGSI maduro cuando trabajas ISO 27001 y NIS2 junto al RGPD y DORA. La cobertura es orientativa y depende del alcance real de tu sistema.
| Obligación | Qué aporta tu SGSI | Cobertura | Qué añadir |
|---|---|---|---|
| Medidas de gestión de riesgos (directiva, art. 21) | Análisis de riesgos, Anexo A y Declaración de Aplicabilidad | Alta | Comunicaciones de emergencia y alcance completo |
| Notificación de incidentes (directiva, art. 23) | Controles A.5.24 a A.5.28 | Parcial | Plazos de 24 horas, 72 horas y un mes |
| Gobierno de la dirección (directiva, art. 20) | Liderazgo y revisión por la dirección (cláusulas 5 y 9.3) | Parcial | Aprobación formal y formación de los órganos de dirección |
| Seguridad del tratamiento (RGPD, art. 32) | Cifrado, copias, control de acceso y pruebas periódicas | Alta | Riesgo para las personas, no solo para la empresa |
| Brechas de datos (RGPD, arts. 33 y 34) | Gestión de incidentes | Parcial | Aviso a la AEPD en 72 horas y, si procede, a los afectados |
| Derechos, registro de actividades y EIPD (RGPD) | Inventario de activos y clasificación | Baja | Procesos de privacidad o ISO/IEC 27701 |
| Marco de gestión del riesgo TIC (DORA, arts. 5 a 16) | SGSI, continuidad y gestión de cambios | Alta | Requisitos del Reglamento Delegado (UE) 2024/1774 |
| Incidentes graves (DORA, art. 19) | Gestión de incidentes | Parcial | Clasificación e informes en 4 horas, 72 horas y un mes |
| Registro de información de terceros TIC (DORA, art. 28.3) | Controles de proveedores A.5.19 a A.5.22 | Baja | Plantillas del Reglamento de Ejecución (UE) 2024/2956 |
| Pruebas TLPT (DORA, art. 26) | Gestión de vulnerabilidades técnicas (A.8.8) | Baja | Pruebas basadas en amenazas cada tres años, si te designan |
ENISA: el mapeo oficial entre ISO 27001 y NIS2
El 26 de junio de 2025, ENISA publicó su guía técnica de implementación del Reglamento de Ejecución (UE) 2024/2690. Ese reglamento concreta las medidas del artículo 21 para proveedores digitales. Entre ellos están la nube, los centros de datos, los servicios gestionados y de seguridad gestionada, el DNS, los mercados en línea y los prestadores de servicios de confianza.
La guía ofrece consejos prácticos y ejemplos de evidencias. También incluye una tabla de correspondencias con normas como ISO/IEC 27001:2022. Por tanto, si gestionas ISO 27001 y NIS2 a la vez, esa tabla te sirve como mapa de partida. Aunque no es vinculante y se dirige a esas entidades digitales, su lógica vale para cualquier organización.
Lo que tu SGSI no cubre
Hay tres bloques que ningún SGSI resuelve por sí solo.
Plazos de notificación que la norma no fija
La norma pide gestionar incidentes, pero no fija plazos ante las autoridades. En cambio, la directiva exige una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes. DORA va más rápido todavía. Según el Reglamento Delegado (UE) 2025/301, la notificación inicial llega en 4 horas desde que clasificas el incidente como grave. Además, nunca puede pasar de 24 horas desde que lo detectas. Si hay datos personales, también tendrás que notificar la brecha a la AEPD en 72 horas.
RGPD: más allá del artículo 32
Tu SGSI cubre bien la seguridad del tratamiento. Sin embargo, el RGPD exige mucho más: base jurídica, registro de actividades, evaluaciones de impacto, contratos con encargados y atención de derechos. Además, el artículo 32.3 admite como prueba los mecanismos de certificación aprobados según el artículo 42, y un certificado ISO no lo es. Para cubrir la privacidad, muchas organizaciones amplían su sistema con ISO/IEC 27701.
DORA: registro de terceros y TLPT
El artículo 28.3 de DORA obliga a las entidades financieras a llevar un registro de todos sus contratos con proveedores TIC. Debe seguir las plantillas del Reglamento de Ejecución (UE) 2024/2956, y ningún control del Anexo A lo produce tal cual. Te lo explicamos en cómo preparar el registro de información de proveedores TIC. Además, las entidades que designe el supervisor deben hacer pruebas de penetración basadas en amenazas al menos cada tres años. Así lo fijan el artículo 26 y el Reglamento Delegado (UE) 2025/1190. Recuerda también que, para el sector financiero, DORA prevalece sobre la directiva en gestión de riesgos y notificación.
La certificación ISO 27001 no equivale a cumplir NIS2
Un certificado ISO 27001 acredita que tu SGSI cumple la norma dentro de un alcance concreto, pero no prueba que cumplas la NIS2. Primero, el alcance puede dejar fuera servicios que la directiva sí incluye. Además, la Declaración de Aplicabilidad puede excluir controles que el regulador espera ver. Por último, el auditor revisa la conformidad con la norma, no los plazos legales ni las obligaciones de la dirección.
Por eso, trata la certificación como una prueba sólida, no como un salvoconducto. En España, el anteproyecto de transposición pide una certificación de conformidad a las entidades esenciales, aunque la ley sigue sin aprobarse. Lo explicamos en la relación entre el ENS y la directiva.
Cómo combinar ISO 27001 y NIS2 con RGPD y DORA
El enfoque eficiente consiste en definir cada control una vez y vincularlo a todas las normas que lo exigen. Así, una misma evidencia sirve para varias auditorías. Estos son los pasos:
- Parte del análisis de riesgos del SGSI y añade los riesgos para las personas que pide el RGPD.
- Amplía el alcance para que cubra todos los servicios afectados por la directiva.
- Incorpora los plazos de las tres normas a un único reloj de incidentes.
- Convierte tu inventario de proveedores en el registro de información si eres entidad financiera.
- Documenta la aprobación y la formación de la dirección.
Con ese método, ISO 27001 y NIS2 dejan de ser dos proyectos distintos. Además, el RGPD y DORA se suman como capas sobre la misma base.
Preguntas frecuentes
¿ISO 27001 cubre los requisitos de NIS2?
En gran parte. Los diez ámbitos del artículo 21.2 tienen controles relacionados en el Anexo A, así que una implantación madura de ISO 27001 cubre buena parte de la NIS2. Aun así, faltan los plazos de notificación, la responsabilidad de la dirección y, a menudo, el alcance completo.
¿Un SGSI certificado sirve para cumplir DORA?
Te ayuda con el marco de gestión del riesgo TIC, pero DORA añade requisitos propios. Además del registro de información y las pruebas TLPT, exige clasificar los incidentes y notificar los graves en plazos muy cortos.
¿ISO 27001 cubre el artículo 32 del RGPD?
Cubre bien las medidas de seguridad. Sin embargo, el RGPD mide el riesgo para las personas y exige registros, evaluaciones de impacto y gestión de derechos que la norma no trata.
¿Hace falta certificarse en ISO 27001 para cumplir NIS2?
No. La directiva no exige una certificación concreta, aunque permite a los Estados imponer esquemas europeos para ciertos productos o servicios TIC. Aun así, un certificado vigente con la versión de 2022 es una evidencia sólida ante el supervisor.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC gestiona ISO 27001 y NIS2 en el mismo sistema, junto al RGPD y DORA: un control, varias normas. Cada control del Anexo A queda vinculado a los artículos que cubre y a sus evidencias, servicio por servicio. Además, el reloj regulatorio te avisa de cada plazo de notificación. El registro de terceros genera la base del registro de información de DORA. Consulta la ficha de ISO 27001 y 22301 en Atalaya GRC o solicita una demo.
