En resumen
La ISO 27001 es el camino más sólido y eficiente para adaptarte a la NIS2: un método probado y una prueba verificable por un tercero independiente.
La ISO 27001:2022 cubre gran parte del núcleo técnico del artículo 24 del Decreto Legislativo 138/2024: riesgos, incidentes, continuidad, accesos, vulnerabilidades, criptografía.
Un solo sistema en lugar de dos: menos trabajo duplicado, evidencias listas para una verificación de la ACN y valor comercial ante clientes, licitaciones y cadena de suministro.
En Italia el certificado no da presunción de conformidad: quedan seis pasos bien delimitados (plataforma de la ACN, notificación al CSIRT Italia, administradores, proveedores relevantes, requisitos ACN, perímetro) que se integran en el mismo SGSI.
Para muchas entidades incluidas en la lista en 2025, el plazo de 18 meses para las medidas básicas vence a finales de octubre de 2026: a partir de ahí la ACN pasa a la supervisión.
ISO 27001 y NIS2 van en la misma dirección: si tienes que adaptarte a la NIS2, la certificación ISO 27001 es el camino más sólido y eficiente para conseguirlo. Te da un método ya probado (sistema de gestión, evaluación de riesgos, auditorías, mejora continua) que cubre la gran mayoría de las medidas de gestión de riesgos que exige el Decreto Legislativo 138/2024 (el decreto italiano de la NIS2), y una prueba verificable por un tercero independiente que puedes mostrar a clientes, proveedores y autoridades.
El momento importa. Hoy, 31 de octubre de 2026, para la mayoría de las entidades incluidas en la lista NIS italiana en 2025 vencen los 18 meses concedidos para aplicar las medidas de seguridad básicas, y la Agencia Nacional de Ciberseguridad italiana (ACN) entra en la fase en la que verifica, en lugar de acompañar. Quien tiene un sistema de gestión certificado llega a esta fase con el análisis de riesgos, las políticas, la gestión de incidentes, la continuidad de negocio y el control de accesos ya en marcha.
En Italia el certificado no equivale por sí solo al cumplimiento: quedan algunas obligaciones específicas, como el registro en la plataforma de la ACN, la notificación de incidentes al CSIRT Italia y las responsabilidades de los órganos de administración. Sin embargo, son pocas y bien delimitadas, y se resuelven dentro del mismo sistema de gestión. En esta guía encontrarás por qué la ISO 27001 es la estrategia adecuada, qué cubre ya, una tabla comparativa y un plan operativo para completar el recorrido.
¿Es la ISO 27001 el camino adecuado para adaptarse a la NIS2?
Sí: la ISO 27001 es la forma más estructurada de llegar al cumplimiento de la NIS2. Cubre la gran mayoría del núcleo técnico y organizativo de las medidas de gestión de riesgos del artículo 24 del Decreto Legislativo 138/2024, te da un método para mantenerlas en el tiempo y genera las evidencias que la ACN pide en una verificación. Solo hay que aclarar un punto: en Italia el certificado no constituye una presunción de conformidad, porque el cumplimiento se mide con los requisitos de los anexos técnicos de la ACN. El último paso es, por tanto, un mapeo requisito por requisito, un trabajo que quien gestiona un SGSI ya sabe hacer.
Qué añade la NIS2 a un sistema certificado
Un certificado ISO 27001 acredita que un sistema de gestión cumple los requisitos de la norma dentro de un alcance determinado. Las medidas de la ACN son obligaciones legales con un contenido propio: para las entidades importantes, el Anexo 1 prevé 37 medidas desglosadas en 87 requisitos; para las entidades esenciales, el Anexo 2 prevé 43, con 116 requisitos. Muchos de estos requisitos tienen una contrapartida directa en los controles ISO, y si tienes un SGSI ya has aplicado la mayoría: se trata de vincularlos al requisito ACN correspondiente.
Hay además una diferencia de lógica que conviene gestionar. La ISO 27001 deja a la organización la elección de los controles mediante la evaluación de riesgos y la Declaración de Aplicabilidad: un control puede excluirse si está justificado. Las medidas básicas de la ACN, en cambio, son un nivel mínimo que la entidad NIS debe garantizar. Basta con revisar las exclusiones de la SoA a la luz de los requisitos ACN: es una comprobación que se hace una vez, dentro del sistema que ya tienes.
Qué hacen otros países europeos
La NIS2 es una directiva, y cada Estado miembro la ha transpuesto con sus propias decisiones. Algunos países han previsto mecanismos que dan valor directo a la certificación: en Bélgica, según las FAQ del Centre for Cybersecurity Belgium, una certificación ISO/IEC 27001 puede dar presunción de conformidad con la NIS2, si el alcance y la Declaración de Aplicabilidad se consideran adecuados. En Italia no existe una previsión similar. El legislador y la ACN han optado por un modelo basado en medidas definidas a nivel nacional, construidas sobre el Marco nacional italiano de ciberseguridad y protección de datos, con códigos de referencia propios (por ejemplo, GV.RR-02 para la organización de la seguridad).
El modelo italiano confirma, de todos modos, el valor de la certificación. Un sistema de gestión que funciona bien produce exactamente lo que la ACN pide en una verificación: políticas aprobadas, evaluaciones de riesgos, registros, auditorías internas, acciones correctivas. El certificado es una prueba sólida de madurez, a la que se suma un mapeo explícito requisito por requisito. Si quieres repasar la estructura de la norma, sus cláusulas y controles, lo encontrarás todo en nuestra guía completa de la ISO 27001.
Por qué la ISO 27001 es la estrategia adecuada para la NIS2
Elegir la ISO 27001 como base para la NIS2 no es solo una cuestión de cobertura técnica. Es una elección de método que simplifica el trabajo hoy y en los años siguientes, cuando la NIS2 se convierte en un ciclo de obligaciones anuales. Estos son los argumentos concretos.
Un solo sistema en lugar de dos
La NIS2 exige políticas, análisis de riesgos, gestión de incidentes, continuidad de negocio, control de proveedores y evaluación de la eficacia de las medidas. Son las mismas piezas de un SGSI. Construir el cumplimiento de la NIS2 sobre un sistema ISO 27001 significa tener una sola base documental, un solo registro de riesgos, un solo programa de auditoría interna y una sola revisión por la dirección que cubren ambos marcos.
El ahorro es de tiempo y de trabajo duplicado. Cada política se actualiza una sola vez, cada evidencia sirve dos veces y los requisitos ACN entran en la Declaración de Aplicabilidad como una ampliación, no como un expediente paralelo que mantener a mano. Quien aborda la NIS2 con un proyecto separado acaba gestionando dos estructuras que alinear con cada cambio.
Evidencias listas para una verificación de la ACN
En una verificación cuenta el grado de aplicación de las obligaciones, no solo la adopción de documentos: las medidas deben demostrarse en la práctica. Es exactamente la lógica de la ISO 27001, que se apoya en registros, indicadores, auditorías internas y acciones correctivas. Un SGSI certificado genera cada año evidencias ya organizadas: actas de revisión, informes de auditoría, registros de incidentes, pruebas de restauración.
El ciclo de certificación añade una verificación independiente realizada por un tercero, con auditorías de seguimiento anuales y recertificación cada tres años. No sustituye la verificación de la ACN, pero acostumbra a la empresa a responder a un auditor con documentos, fechas y responsables. Cuando llega un requerimiento de documentación, ya sabes dónde encontrar lo que hace falta.
Valor comercial: licitaciones, clientes y cadena de suministro
La ISO 27001 es una norma reconocida a nivel internacional, y eso tiene un peso que va más allá de la NIS2. En las licitaciones y en la relación con grandes clientes, la certificación figura a menudo entre los requisitos exigidos o valorados, y es una prueba verificable por terceros, no una autodeclaración.
También cuenta el efecto sobre la cadena de suministro. Las entidades NIS deben evaluar la seguridad de sus proveedores directos y, desde 2026, enumerar los relevantes en la actualización anual a la ACN. Por eso piden a sus proveedores garantías alineadas con los requisitos de la NIS2, incluso cuando el proveedor no es una entidad NIS. Un certificado ISO 27001 es la forma más directa de responder a estas peticiones y seguir siendo un proveedor cualificado.
Gobernanza y responsabilidad de la dirección ya planteadas
La NIS2 exige a los órganos de administración aprobar las medidas, supervisar su aplicación y formarse. La ISO 27001 prepara el terreno: la cláusula 5.1 exige liderazgo y compromiso de la dirección, la 5.3 la asignación de funciones y responsabilidades, la 9.3 una revisión periódica por la dirección. Si estás certificado, ya tienes un flujo de información hacia la dirección sobre riesgos, incidentes y objetivos de seguridad.
El paso adicional es formal: vincular la revisión por la dirección con el órgano de administración en sentido societario, con un acuerdo que apruebe las medidas y las acreditaciones de la formación. Se parte de algo que ya existe. Para una empresa certificada, la gobernanza NIS2 es una adaptación, no un nuevo comienzo.
El marco NIS2 en Italia a finales de 2026: decreto, determinaciones y plazos
La NIS2 en Italia se apoya en tres niveles: la Directiva (UE) 2022/2555, el Decreto Legislativo 138/2024 que la transpone y las determinaciones de desarrollo de la ACN. Para entender qué cubre la ISO 27001, primero hay que saber qué obligaciones están vigentes hoy y con qué plazos.
El Decreto Legislativo 138/2024 y el papel de la ACN
El Decreto Legislativo 138/2024 identifica las entidades esenciales e importantes según el sector y el tamaño, con algunas excepciones en las que la inclusión depende de la función que desempeñan. La ACN es la autoridad nacional competente y el punto de contacto único; el CSIRT Italia, creado dentro de la Agencia, recibe las notificaciones de incidentes. Los artículos clave para la comparación con la ISO 27001 son cuatro. El artículo 23 se refiere a los órganos de administración y dirección. El artículo 24 enumera las medidas de gestión de riesgos, siguiendo el artículo 21 de la directiva. El artículo 25 regula la notificación de los incidentes significativos. El artículo 38 fija las sanciones.
El decreto remite a la ACN la definición de las modalidades y especificaciones básicas para cumplir. Aquí es donde se juega la partida operativa: la ley dice qué hacer, las determinaciones dicen cómo y con qué nivel de detalle.
Las determinaciones de la ACN en vigor
La referencia para las medidas básicas ya no es la determinación n.º 164179 del 14 de abril de 2025. Ha sido actualizada y sustituida por la determinación n.º 379907 del 19 de diciembre de 2025, aplicable desde el 15 de enero de 2026, que reescribe los cuatro anexos técnicos: medidas para las entidades importantes (Anexo 1), medidas para las entidades esenciales (Anexo 2) y criterios de los incidentes significativos (Anexos 3 y 4). La misma determinación incorpora la figura del referente CSIRT en la organización de la seguridad y confirma los plazos de adaptación: 18 meses para las medidas y 9 meses para la notificación, a contar desde la comunicación de inclusión en la lista NIS.
En 2026 se han sumado otras dos determinaciones. La n.º 127434 del 13 de abril de 2026 fija los plazos para las entidades incluidas por primera vez en la lista en 2026: obligación de notificación desde el 1 de enero de 2027 y medidas de seguridad antes del 31 de julio de 2027. La n.º 127437/2026 sustituye las normas sobre la plataforma NIS e introduce dos novedades relevantes: la categorización anual de actividades y servicios y la enumeración de los proveedores relevantes en la actualización anual.
Desde el 31 de octubre de 2026: de la fase de acompañamiento a la supervisión
Para la mayoría de las entidades incluidas en la lista en 2025, el plazo de 18 meses vence a finales de octubre de 2026. La fecha exacta es individual: debes consultarla en tu propia comunicación de inclusión. A partir de ese momento, los requisitos de los anexos se convierten en controles verificables.
Las FAQ de la ACN sobre seguimiento, supervisión y ejecución, publicadas el 11 de agosto de 2026, describen cuatro ámbitos: seguimiento, análisis y apoyo; verificaciones e inspecciones; medidas de ejecución; sanciones. El seguimiento es sistemático y continuo y sirve para conocer el grado de aplicación de las obligaciones. Las verificaciones pueden incluir requerimientos de documentación e inspecciones in situ o a distancia. Para las entidades esenciales, las inspecciones pueden ordenarse también ex ante; para las importantes no: hacen falta elementos, indicios o información que apunten a posibles infracciones.
De ahí se desprende un punto que quien viene del mundo ISO conoce bien: no basta con haber adoptado un procedimiento, hay que demostrar que se aplica. Una política aprobada pero nunca ejecutada es exactamente el tipo de desajuste que una verificación saca a la luz.
Dónde la ISO 27001 ya cubre los requisitos NIS2
La ISO 27001:2022 cubre gran parte del núcleo técnico y organizativo de las medidas NIS2. Las diez áreas del artículo 24 del Decreto Legislativo 138/2024 (de la letra a a la letra l) tienen casi todas una contrapartida en las cláusulas 4-10 y en los 93 controles del Anexo A. Veamos dónde la superposición es más sólida.
Análisis de riesgos, políticas y medición de la eficacia
La NIS2 exige políticas de análisis de riesgos y de seguridad de los sistemas de información, y políticas para evaluar la eficacia de las medidas. Es el núcleo de la ISO 27001. La cláusula 6.1.2 impone un proceso de evaluación de riesgos repetible, la 6.1.3 el tratamiento y la Declaración de Aplicabilidad, y el control A.5.1 las políticas de seguridad de la información.
En cuanto a la eficacia, la cláusula 9.1 exige seguimiento y medición, la 9.2 la auditoría interna, la 9.3 la revisión por la dirección y la 10.2 la gestión de no conformidades y acciones correctivas. Un SGSI maduro ya tiene indicadores, registros y ciclos de mejora: es la base documental que la ACN espera encontrar cuando pide demostrar que las medidas funcionan a lo largo del tiempo. Aun así, conviene comprobar que la evaluación de riesgos cubra los sistemas y servicios relevantes a efectos NIS, y no solo los incluidos en el alcance del certificado.
Gestión de incidentes, continuidad de negocio y copias de seguridad
La letra b) del artículo 24 se refiere a la gestión de incidentes; la letra c) a la continuidad de negocio, las copias de seguridad, la recuperación ante desastres y la gestión de crisis. La ISO 27001:2022 dedica a estos temas un bloque coherente de controles. Del A.5.24 al A.5.28 se cubre todo el ciclo del incidente: planificación, evaluación de los eventos, respuesta, aprendizaje y recopilación de evidencias. El A.5.29 y el A.5.30 tratan la seguridad durante las interrupciones y la preparación de las TIC para la continuidad de negocio. El A.8.13 se refiere a las copias de seguridad, el A.8.14 a la redundancia.
Si has implantado estos controles en serio, ya tienes roles, procedimientos de escalado y criterios de clasificación de eventos. El punto de atención son las pruebas. Los requisitos de la ACN piden que los planes se prueben, y el registro de las pruebas de restauración está entre las evidencias más solicitadas. Sin embargo, incluso empresas certificadas no siempre prueban de verdad el procedimiento de gestión de incidentes o la restauración desde copia de seguridad: a veces existen sobre el papel y no en la operativa.
Controles técnicos: accesos, vulnerabilidades, criptografía, formación
Las letras de la e) a la l) del artículo 24 exigen medidas técnicas y de ciberhigiene que la ISO 27001 cubre de forma amplia. El control de accesos y la gestión de activos corresponden al A.5.9 (inventario), A.5.15-A.5.18 (accesos e identidad) y A.8.2 (accesos privilegiados). La criptografía corresponde al A.8.24. La seguridad en el desarrollo y el mantenimiento corresponde al A.8.25-A.8.29, incluidas las pruebas de seguridad. La gestión de vulnerabilidades técnicas corresponde al A.8.8; los registros y la monitorización al A.8.15 y A.8.16; la protección contra el malware al A.8.7.
En cuanto a la formación y la ciberhigiene básica, la cláusula 7.2 (competencia), la 7.3 (concienciación) y el control A.6.3 cubren al personal. Para verificar la eficacia de los controles técnicos en las aplicaciones expuestas, muchas empresas recurren al test de penetración: en nuestra guía sobre el WAPT explicamos cómo un informe con plan de remediación y retest se convierte en una evidencia válida tanto en la auditoría ISO como para la NIS2. El WAPT no es una obligación explícita, pero es una de las herramientas más concretas para demostrar que la gestión de vulnerabilidades funciona.
Tabla comparativa: ISO 27001:2022 y requisitos NIS2/ACN
La tabla compara las áreas de la NIS2 con las referencias de la ISO 27001:2022 e indica qué queda por hacer. La cobertura es cualitativa: depende de cómo se ha implantado el sistema de gestión y de su alcance, no solo de tener el certificado.
Área NIS2 / ACN | Referencia D. Leg. 138/2024 | Referencias ISO 27001:2022 | Cobertura | Qué queda por hacer |
|---|---|---|---|---|
Análisis de riesgos y políticas de seguridad | Art. 24, letra a) | Cl. 6.1.2, 6.1.3; A.5.1 | Alta | Ampliar el análisis a los sistemas y servicios NIS fuera del alcance; mapear los requisitos ACN en la SoA |
Gestión de incidentes | Art. 24, letra b) | A.5.24-A.5.28; A.6.8 | Alta | Vincular la clasificación interna a los criterios de incidente significativo de los Anexos 3 y 4 de la ACN |
Continuidad de negocio, copias de seguridad, gestión de crisis | Art. 24, letra c) | A.5.29, A.5.30; A.8.13, A.8.14 | Alta, si los planes se prueban | Registrar pruebas de restauración y simulacros con fechas y resultados |
Seguridad de la cadena de suministro | Art. 24, letra d) | A.5.19-A.5.23 | Parcial | Identificar los proveedores relevantes y comunicarlos a la ACN en la actualización anual |
Desarrollo, mantenimiento, gestión de vulnerabilidades | Art. 24, letra e) | A.8.8; A.8.25-A.8.29 | Alta | Formalizar la gestión y divulgación de vulnerabilidades; planificar pruebas periódicas |
Evaluación de la eficacia de las medidas | Art. 24, letra f) | Cl. 9.1, 9.2, 9.3, 10.2 | Alta | Incluir en el programa de auditoría interna los requisitos ACN, no solo los controles ISO |
Ciberhigiene y formación | Art. 24, letra g) | Cl. 7.2, 7.3; A.6.3 | Parcial | Prever la formación específica de los órganos de administración y conservar los certificados |
Criptografía | Art. 24, letra h) | A.8.24 | Alta | Comprobar que las reglas cubran los casos exigidos por los anexos de la ACN |
Recursos humanos, accesos, gestión de activos | Art. 24, letra i) | A.5.9-A.5.18; A.6.1-A.6.5; A.8.2 | Alta | Alinear el inventario de activos con el declarado en la plataforma NIS |
Autenticación multifactor, comunicaciones seguras y de emergencia | Art. 24, letra l) | A.5.14; A.5.17; A.8.5 | Parcial | La ISO no impone el MFA de forma explícita: comprobar que se haya adoptado donde se exige |
Órganos de administración: aprobación, supervisión, responsabilidad | Art. 23 | Cl. 5.1, 5.3, 9.3 | Parcial | Acuerdo formal de aprobación de las medidas; responsabilidades personales; formación obligatoria |
Notificación de incidentes significativos | Art. 25 | A.5.5; A.5.26 | Nula | Procedimiento con plazos de 24 horas, 72 horas y un mes ante el CSIRT Italia; referente CSIRT designado |
Registro, actualización anual, categorización | Art. 7 y determinaciones ACN | Ninguna | Nula | Obligaciones periódicas en la plataforma de la ACN, con declaraciones y plazos propios |
Perímetro de aplicación | Toda la entidad NIS | Cl. 4.3 (alcance elegido por la organización) | Variable | Comparar el alcance del certificado con las actividades y servicios categorizados a efectos NIS |
Los pasos adicionales: qué añadir a la ISO 27001 para la NIS2
Con la ISO 27001 ya has hecho la mayor parte del trabajo. Quedan seis pasos adicionales, ligados a las obligaciones frente a la autoridad, a la responsabilidad personal de los administradores y a los requisitos detallados de las determinaciones de la ACN. No se deben a carencias de tu sistema de gestión: la norma no se redactó para un régimen de supervisión pública. Por eso se integran en el SGSI existente sin trastocarlo.
Registro y actualizaciones anuales en la plataforma de la ACN
Ninguna cláusula ISO prevé obligaciones periódicas frente a una autoridad pública. La NIS2, en cambio, tiene un calendario fijo. Entre el 1 de enero y el 28 de febrero de cada año se realiza el registro o la renovación en el portal de la ACN. Entre el 15 de abril y el 31 de mayo se actualizan los datos, incluidos el punto de contacto y su sustituto. Desde 2026, entre el 1 de mayo y el 30 de junio, se comunica la lista categorizada de actividades y servicios. A partir del registro de 2027, las entidades que ya figuran en la lista y no tienen cambios que declarar no deben volver a presentar la declaración.
Las normas de la plataforma, contenidas hoy en la determinación n.º 314287/2026, aplicable desde el 25 de octubre de 2026, califican el acto del punto de contacto como declaración en virtud del DPR 445/2000 (la norma italiana sobre declaraciones responsables). Transcurridos diez días naturales desde el envío, la declaración pasa a ser definitiva y ya no se puede modificar. El referente CSIRT debe designarse antes del 31 de diciembre del año de inclusión en la lista.
Estas obligaciones no son "seguridad" en sentido estricto, pero omitirlas es un incumplimiento en sí mismo. En un SGSI se pueden integrar fácilmente: basta con incluirlas en el registro de requisitos legales previsto por el control A.5.31 y asignarlas a un responsable con plazos precisos.
Notificación de incidentes al CSIRT Italia: 24 horas, 72 horas, un mes
La ISO 27001 exige gestionar los incidentes y mantener contactos con las autoridades (A.5.5), pero no prevé plazos ni destinatarios obligatorios. El artículo 25 del Decreto Legislativo 138/2024, en cambio, introduce una secuencia precisa para los incidentes significativos. La prenotificación debe enviarse al CSIRT Italia en un plazo de 24 horas desde que se tiene conocimiento del incidente. La notificación, que actualiza la prenotificación con una primera evaluación de gravedad e impacto, debe enviarse en 72 horas. El informe final debe remitirse en el plazo de un mes desde la notificación, y se prevé un informe intermedio a petición.
El nudo operativo es la definición de "incidente significativo". No coincide con la clasificación interna que usan muchas empresas certificadas. Los criterios se fijan en los Anexos 3 y 4 de la determinación n.º 379907/2025. Si ya estás certificado, tienes que reescribir el procedimiento de gestión de incidentes en dos niveles: el interno, que ya existe, y el regulatorio, con umbrales, plazos, roles nominativos y canales de envío. Un simulacro sobre un escenario realista es la forma más rápida de descubrir si las 24 horas son realmente asumibles.
Órganos de administración: aprobación, responsabilidad y formación
La ISO 27001 exige liderazgo y compromiso de la dirección (cláusula 5.1), pero se queda dentro del perímetro del sistema de gestión. El artículo 23 del Decreto Legislativo 138/2024 va más allá. Los órganos de administración y dirección aprueban las modalidades de aplicación de las medidas de gestión de riesgos, supervisan su aplicación y son responsables de las infracciones. Además, están obligados a seguir una formación en ciberseguridad y a promover una formación similar para los empleados.
En la práctica se necesitan tres evidencias que una auditoría ISO no exige de esta forma. La primera es un acuerdo formal, con fecha y acta, que apruebe las medidas. La segunda es un flujo de información periódico sobre riesgos, incidentes y notificaciones hacia el órgano de administración. La tercera es la acreditación de la formación recibida por sus miembros. La revisión por la dirección ISO (cláusula 9.3) es un buen punto de partida, pero hay que hacer explícito el vínculo con el órgano de administración en sentido societario. Además, la responsabilidad no se puede transferir al proveedor de servicios gestionados ni al responsable de TI.
Cadena de suministro y proveedores relevantes
La ISO 27001:2022 trata a los proveedores con cinco controles, del A.5.19 al A.5.23, incluida la nube. Es una buena base, pero la NIS2 pide más. El artículo 24 obliga a considerar las vulnerabilidades específicas de cada proveedor directo, la calidad de los productos y las prácticas de seguridad, incluidos los procedimientos de desarrollo seguro. Muchas empresas certificadas gestionan a los proveedores con cuestionarios genéricos y cláusulas contractuales estándar, sin verificar los requisitos de seguridad de los productos y servicios antes de la compra.
Desde 2026 existe además una nueva obligación de información. Según la obligación introducida por la determinación n.º 127437/2026 y confirmada por la n.º 314287/2026, en la actualización anual deben enumerarse los proveedores relevantes, con denominación, código fiscal, país del domicilio social, códigos CPV y criterio de relevancia. Por tanto, necesitas un registro de proveedores construido con criterios NIS, coherente con lo declarado a la ACN.
Requisitos específicos de las medidas básicas de la ACN
La Declaración de Aplicabilidad ISO se construye sobre los controles del Anexo A, no sobre los requisitos de la ACN. Los anexos de la determinación n.º 379907/2025 contienen requisitos formulados con un nivel de detalle propio, organizados según las funciones del Marco nacional. Algunos coinciden casi al pie de la letra con un control ISO; otros piden elementos que la ISO deja a criterio de la organización.
Los ejemplos típicos son la adopción de la autenticación multifactor, las comunicaciones de emergencia, la formalización de planes y registros específicos y la documentación de pruebas periódicas. Por eso el mapeo debe hacerse requisito por requisito, con una matriz que indique para cada uno el estado (cumplido, parcial, ausente), la evidencia disponible, el responsable y la fecha de la última verificación.
Perímetro: el alcance de la certificación y la entidad NIS
La cláusula 4.3 de la ISO 27001 permite definir el alcance del sistema de gestión. Muchas empresas certifican solo una sede, un servicio, un centro de datos o una línea de producto. Es una decisión legítima a efectos de la certificación, pero la NIS2 no razona por alcance: las obligaciones se refieren a la entidad NIS, con sus actividades y servicios, tal como están categorizados en la plataforma de la ACN.
Si el certificado cubre el servicio en la nube pero no los sistemas administrativos o productivos, hay un agujero de perímetro. Lo mismo ocurre en los grupos empresariales en los que la certificación corresponde a una sola entidad. La primera comprobación es comparar el alcance del certificado con la lista de actividades y servicios declarados.
Sanciones y supervisión: por qué completar el recorrido más allá del certificado
Completar los pasos de la NIS2 sobre el certificado te protege de sanciones económicas importantes y de medidas que afectan directamente a la alta dirección. El artículo 38 del Decreto Legislativo 138/2024 prevé, para las entidades esenciales, sanciones de hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial; para las entidades importantes, de hasta 7 millones de euros o el 1,4 %. En ambos casos se aplica el importe más elevado.
Cómo funciona una verificación de la ACN
Según las FAQ de la ACN, la Agencia sigue un enfoque gradual y basado en el riesgo. Puede pedir informes o autoevaluaciones, verificar la documentación enviada y, si es necesario, ordenar inspecciones. Junto a las sanciones existen las medidas de ejecución: requerimientos y apercibimientos, con plazos razonables, para subsanar las carencias y restablecer la conformidad. Los tipos de infracción son los mismos para todos, pero la cuantía de las sanciones y las medidas accesorias varían entre entidades esenciales, importantes y administraciones públicas.
Para una empresa certificada, una verificación de la ACN tiene mucho en común con una auditoría. Se examinan la coherencia entre documentos y práctica, los registros y la trazabilidad de las decisiones. La diferencia es la vara de medir: la ACN evalúa los anexos técnicos y las obligaciones legales, no la Declaración de Aplicabilidad.
Por qué las evidencias cuentan más que las políticas
El criterio es claro: en una verificación cuenta la aplicación efectiva de las medidas, no solo su adopción. Las evidencias esperadas son las típicas de un SGSI vivo. Se necesitan un inventario de activos y servicios coherente con lo declarado en el portal y el acuerdo del órgano de administración. También se necesitan el procedimiento de notificación con responsables nominativos, el registro de las pruebas de restauración, los certificados de formación de la dirección y la documentación sobre la seguridad de los proveedores.
Si tienes un sistema de gestión certificado, tienes una ventaja clara: ya sabes cómo se construye y se conserva una evidencia. Pero debes organizarla para que responda a las preguntas de la ACN, no solo a las del auditor de certificación.
Plan operativo: de la ISO 27001 al cumplimiento de la NIS2
Pasar de la ISO 27001 al cumplimiento de la NIS2 es un trabajo de integración, no un segundo proyecto desde cero. El objetivo es un único sistema de gestión que satisfaga ambos marcos, con una sola base documental. Esta es la secuencia que te sugerimos.
Fase 1: verificación del perímetro y de los plazos individuales
El primer paso es saber con precisión dónde estás. Recupera la comunicación de inclusión en la lista NIS y calcula tus plazos individuales: 18 meses para las medidas y 9 para la notificación si formas parte de la cohorte de 2025; 31 de julio de 2027 y 1 de enero de 2027 si te incluyeron en 2026. Comprueba si eres entidad esencial o importante, porque cambian el anexo y el número de requisitos.
Después compara el alcance del certificado ISO con la lista categorizada de actividades y servicios comunicada a la ACN. Cada sistema o servicio NIS fuera del alcance ISO debe marcarse como área por cubrir. Esta fase requiere poco tiempo, pero evita el error más caro: trabajar bien sobre el perímetro equivocado.
Fase 2: análisis de brechas requisito por requisito
Toma el anexo ACN aplicable y asocia a cada requisito el control ISO correspondiente, la evidencia existente y el estado. La tabla comparativa de esta guía es un punto de partida, pero la matriz operativa debe bajar al requisito individual. Para cada uno conviene registrar: código del requisito, estado (cumplido, parcial, ausente), evidencia, responsable nominativo, fecha de la última verificación y posibles notas.
El resultado típico para una empresa certificada es un panorama con muchos requisitos ya cumplidos o parciales en el plano técnico, y brechas concentradas en gobernanza, notificación, proveedores y obligaciones frente a la autoridad. Es una buena noticia: son brechas que se cierran con procesos y documentos, rara vez con nuevas inversiones tecnológicas. Si quieres una referencia sobre cómo plantear este trabajo, en la página dedicada al cumplimiento de la Directiva NIS2 describimos cómo lo abordamos con las empresas.
Fase 3: integración en el sistema de gestión
Las brechas deben cerrarse dentro del SGSI, no en un expediente paralelo. En concreto, el trabajo se articula en seis intervenciones:
actualizar el registro de requisitos legales (A.5.31) con el Decreto Legislativo 138/2024 y las determinaciones de la ACN;
ampliar la evaluación de riesgos a los sistemas NIS fuera del alcance;
reescribir el procedimiento de incidentes con el nivel regulatorio de notificación al CSIRT Italia;
actualizar la Declaración de Aplicabilidad con la referencia a los requisitos de la ACN;
revisar la gestión de proveedores con los criterios de relevancia NIS;
llevar a acuerdo del órgano de administración las medidas y el plan de formación.
Integrar evita el doble mantenimiento. Cada vez que cambia una política, cambia una sola vez, y la siguiente auditoría interna verifica a la vez los requisitos ISO y los requisitos ACN.
Fase 4: gobernanza, formación y pruebas
Esta es la fase en la que el sistema se vuelve demostrable. El órgano de administración aprueba las medidas mediante acuerdo, recibe el primer informe periódico sobre riesgos e incidentes y completa la formación prevista, conservando los certificados. Se designan el referente CSIRT y sus sustitutos, si aún no lo están.
Después se prueba. Un simulacro de notificación sobre un escenario realista verifica que las 24 horas son asumibles. Una prueba de restauración desde copia de seguridad, registrada con fecha y resultado, verifica la continuidad. Una prueba de seguridad de las aplicaciones expuestas, como un WAPT, verifica la gestión de vulnerabilidades y genera un plan de remediación trazable.
Fase 5: calendario y mantenimiento continuo
El cumplimiento de la NIS2 no termina con un plazo: es un ciclo anual. El calendario de vencimientos debe incluir el registro y la renovación (1 de enero-28 de febrero), la actualización de datos (15 de abril-31 de mayo), la categorización (1 de mayo-30 de junio), la lista de proveedores relevantes, la formación periódica, las revisiones de las políticas, las pruebas de restauración y los simulacros.
A esto se superpone el ciclo ISO: auditoría interna, revisión por la dirección, auditorías de seguimiento anuales y recertificación cada tres años. Hacer coincidir ambos calendarios, con una auditoría interna que verifique los dos marcos antes de la revisión por la dirección, es la forma más eficiente de mantenerlo todo bajo control. Un calendario de vencimientos único, como el de la plataforma Complaion, evita que una obligación ante la ACN se pierda entre una auditoría y otra. Por último, hay que seguir la evolución de las medidas: las especificaciones actuales son básicas, adoptadas en la fase de primera aplicación, y el artículo 31 del Decreto Legislativo 138/2024 prevé que la ACN fije obligaciones proporcionadas y plazos graduales de aplicación.
Los errores más comunes de las empresas certificadas ISO 27001
El error más común es quedarse en el certificado sin completar los pocos pasos adicionales que exige la NIS2. De él se derivan otros errores recurrentes, que vemos a menudo en los análisis de brechas de empresas ya certificadas y que se evitan con facilidad.
Confundir la Declaración de Aplicabilidad con el cumplimiento ACN
La Declaración de Aplicabilidad enumera los controles ISO aplicados y excluidos, con sus justificaciones. No dice nada sobre los requisitos de la ACN. Un control excluido con una justificación válida a efectos ISO, por ejemplo porque se ha aceptado el riesgo, puede corresponder a un requisito obligatorio para una entidad NIS. El riesgo es presentarse a una verificación con una documentación formalmente impecable, pero construida sobre la referencia equivocada.
La solución es sencilla: añadir a la SoA, o junto a ella, una columna con la referencia al requisito ACN correspondiente. Así cada exclusión se evalúa dos veces, antes de convertirse en un problema.
Tratar la notificación como una variante de la gestión de incidentes
Muchos procedimientos de gestión de incidentes ya prevén un paso de "comunicación a las autoridades". Suele ser una línea genérica, pensada para la autoridad de protección de datos o las fuerzas del orden. La notificación NIS tiene umbrales, plazos, contenidos y canales propios, y el primer plazo es de 24 horas. No basta con añadir el CSIRT Italia a la lista de destinatarios.
Se necesita un procedimiento específico, con criterios de significatividad tomados de los anexos de la ACN, roles nominativos, disponibilidad, plantillas precumplimentadas y al menos un simulacro al año. Sin prueba práctica, el procedimiento se queda en un documento.
Dejar la gobernanza en manos de TI
La cláusula 5 de la ISO 27001 implica a la dirección, pero en muchas pymes el sistema lo gestiona de hecho el responsable de TI o el consultor externo. Con la NIS2 este esquema no se sostiene. Los órganos de administración deben aprobar, supervisar y formarse, y responden personalmente. Un acuerdo ausente o una formación no documentada están entre las carencias más fáciles de detectar en una verificación, y entre las más sencillas de evitar.
Cómo te acompaña Complaion de la ISO 27001 a la NIS2
Con Complaion, la ISO 27001 y la NIS2 se convierten en un único itinerario: un solo sistema de gestión, un solo plan de trabajo, una sola base de evidencias para la certificación y para el cumplimiento de las medidas de la ACN.
Te acompañamos con un Lead Auditor dedicado y una plataforma digital. El Lead Auditor implanta o revisa tu SGSI con un alcance coherente con el perímetro NIS, realiza el análisis de brechas frente a los anexos de la ACN y te guía en los pasos adicionales, desde el procedimiento de notificación hasta el acuerdo del órgano de administración. También realiza la auditoría interna, sobre los controles ISO 27001 y los requisitos ACN a la vez, antes de la revisión por la dirección y de cada auditoría de seguimiento. La plataforma centraliza la recopilación de evidencias, la gestión documental, el calendario de vencimientos y la preparación de las auditorías, para que los requisitos ISO y NIS2 convivan en un único sistema. Más de 1.000 clientes ya trabajan con nosotros.
Si partes de cero, el itinerario de certificación ISO 27001 se diseña desde el principio para cubrir también la NIS2. Si ya estás certificado, partimos de tu SGSI y lo completamos con los requisitos ACN. Para verificar las aplicaciones expuestas y obtener una evidencia concreta de la gestión de vulnerabilidades, útil tanto para la ISO 27001 como para la NIS2, está nuestro servicio de test de penetración WAPT. Para saber por dónde empezar, reserva una llamada gratuita de 30 minutos con un Lead Auditor.
Preguntas frecuentes sobre ISO 27001 y NIS2
¿Conviene certificarse ISO 27001 si tengo que adaptarme a la NIS2?
Sí, es la estrategia más eficiente. La certificación cubre la gran mayoría de las medidas de gestión de riesgos que exige la NIS2, te da un método para mantenerlas en el tiempo y una verificación independiente que mostrar a clientes, proveedores y autoridades. Con un único sistema de gestión evitas mantener dos estructuras documentales paralelas, y las pocas obligaciones específicas de la NIS2 se añaden al mismo sistema. La certificación también ayuda con los clientes que, como entidades NIS, deben evaluar la seguridad de sus propios proveedores. Conviene diseñarla desde el principio con un alcance coherente con el perímetro NIS.
¿La certificación ISO 27001 es obligatoria para la NIS2?
No, la NIS2 no impone la certificación ISO 27001. El Decreto Legislativo 138/2024 exige adoptar medidas de gestión de riesgos adecuadas y proporcionadas, y las determinaciones de la ACN fijan las medidas básicas. La ISO 27001 es una de las formas más eficaces de estructurar y demostrar estas medidas, porque cubre gran parte de su núcleo técnico. Sigue siendo una decisión voluntaria, pero es la que te lleva a la NIS2 con menos trabajo duplicado.
Si estoy certificado ISO 27001, ¿cumplo automáticamente con la NIS2?
No de forma automática, pero llegas con pocos pasos adicionales. En Italia no existe una presunción de conformidad vinculada a la certificación ISO 27001: la ACN evalúa la aplicación de los requisitos contenidos en los anexos de la determinación n.º 379907/2025. Aun así, el certificado cubre la mayor parte del trabajo y es una prueba sólida de madurez. Para completar el cumplimiento, integras en el SGSI un mapeo requisito por requisito y las obligaciones específicas de la NIS2.
¿Qué tengo que añadir a la ISO 27001 para cumplir con la NIS2?
Seis pasos bien delimitados, todos integrables en el SGSI. Están el registro y las actualizaciones anuales en la plataforma de la ACN y la notificación de los incidentes significativos al CSIRT Italia en los plazos legales. Se suman las responsabilidades y la formación obligatoria de los órganos de administración y la enumeración de los proveedores relevantes. Quedan, por último, el mapeo frente a los requisitos específicos de las medidas de la ACN y la posible alineación entre el alcance del certificado y la entidad NIS.
¿Cuáles son los plazos de notificación de un incidente significativo?
El artículo 25 del Decreto Legislativo 138/2024 prevé una prenotificación al CSIRT Italia en un plazo de 24 horas desde que se tiene conocimiento del incidente. En 72 horas debe enviarse la notificación, con una primera evaluación de gravedad e impacto. El informe final debe remitirse en el plazo de un mes desde la notificación, y el CSIRT Italia puede pedir un informe intermedio. Los criterios para establecer si un incidente es significativo están en los anexos de la determinación ACN n.º 379907/2025.
¿En qué plazo deben aplicarse las medidas de seguridad básicas?
El plazo es de 18 meses desde la comunicación de inclusión en la lista NIS. Para la mayoría de las entidades incluidas en 2025 vence a finales de octubre de 2026, pero la fecha exacta es individual y debe consultarse en la propia comunicación. Para las entidades incluidas por primera vez en 2026, la determinación n.º 127434/2026 fija el plazo en el 31 de julio de 2027. Para ellas, la obligación de notificación rige desde el 1 de enero de 2027.
¿Los administradores responden personalmente en caso de infracciones de la NIS2?
Sí, el artículo 23 del Decreto Legislativo 138/2024 establece que los órganos de administración y dirección son responsables de las infracciones del decreto. Deben aprobar las modalidades de aplicación de las medidas y supervisar su aplicación. Además, están obligados a seguir una formación en ciberseguridad. La responsabilidad no se transfiere delegando la gestión en el departamento de TI o en un proveedor externo.
¿Qué sanciones se prevén para quien no cumple la NIS2?
El artículo 38 del Decreto Legislativo 138/2024 prevé para las entidades esenciales sanciones de hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial, si este es superior. Para las entidades importantes, el máximo es de 7 millones de euros o el 1,4 % del volumen de negocios anual mundial. La cuantía de las sanciones y las medidas accesorias varían entre entidades esenciales, importantes y administraciones públicas. Detectar una carencia también puede dar lugar a medidas para restablecer la conformidad.
