DeflankCertificación NIS2: qué existe de verdad y cómo demostrar el cumplimiento
Actualizado el 11 de octubre de 2026
«Certificación NIS2» es una de las búsquedas más repetidas sobre la directiva, y una de las que más confusión genera. Proveedores de consultoría y de formación ofrecen «certificarse en NIS2», y muchas empresas dan por hecho que existe un sello oficial que, una vez obtenido, acredita el cumplimiento.
No existe. La Directiva (UE) 2022/2555 no crea ningún certificado de «empresa NIS2». Lo que sí existe es un conjunto de mecanismos para demostrar el cumplimiento —algunos previstos en la propia directiva, otros procedentes de normas y esquemas que ya conoces— que conviene entender bien antes de gastar dinero.
Este artículo explica qué dice exactamente la directiva sobre certificación, qué papel tienen el ENS, la ISO/IEC 27001 y los esquemas europeos, y cómo se acredita el cumplimiento ante un supervisor. Para el marco general, consulta nuestra guía de NIS2.
Lo que dice la directiva: el artículo 24
El artículo 24 se titula «Utilización de esquemas europeos de certificación de la ciberseguridad» y establece tres cosas:
- Los Estados miembros podrán exigir a las entidades esenciales e importantes que utilicen productos, servicios y procesos de TIC certificados con arreglo a un esquema europeo de certificación de la ciberseguridad adoptado en virtud del Reglamento (UE) 2019/881 (el Cybersecurity Act), y lo hacen a los efectos de demostrar la conformidad con determinados requisitos del artículo 21. También promoverán el uso de servicios de confianza cualificados.
- La Comisión podrá adoptar actos delegados que obliguen a determinadas categorías de entidades a usar productos, servicios o procesos certificados, o a obtener una certificación, cuando se detecten niveles insuficientes de ciberseguridad, previa evaluación de impacto.
- Si no existe un esquema adecuado, la Comisión puede pedir a ENISA que prepare uno.
Fíjate en el matiz: la certificación prevista recae sobre productos, servicios y procesos TIC concretos, no sobre la empresa en su conjunto. Es un mecanismo de prueba para requisitos específicos, no un sello general.
Los esquemas europeos que existen
El primer esquema adoptado al amparo del Cybersecurity Act es el EUCC, basado en Criterios Comunes, para la certificación de productos TIC. Hay otros en preparación. Si tu autoridad nacional llega a exigir productos certificados para ciertos requisitos, será sobre esta base.
Lo que sí se aplica: el artículo 21 y sus diez medidas
Lo que la directiva exige no es un certificado, sino medidas. El artículo 21.2 enumera las que, como mínimo, deben adoptar las entidades esenciales e importantes, con un enfoque que cubra todos los peligros:
| Medida | |
|---|---|
| a | Políticas de seguridad de los sistemas de información y análisis de riesgos |
| b | Gestión de incidentes |
| c | Continuidad de las actividades: copias de seguridad, recuperación y gestión de crisis |
| d | Seguridad de la cadena de suministro |
| e | Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión de vulnerabilidades |
| f | Políticas y procedimientos para evaluar la eficacia de las medidas |
| g | Ciberhigiene básica y formación |
| h | Criptografía y, en su caso, cifrado |
| i | Seguridad de los recursos humanos, control de acceso y gestión de activos |
| j | Autenticación multifactor o continua y comunicaciones seguras, cuando proceda |
Para las entidades de infraestructura y servicios digitales —nube, centros de datos, DNS, redes de distribución de contenidos, servicios gestionados y de seguridad gestionada, entre otras—, el Reglamento de Ejecución (UE) 2024/2690 concreta estos requisitos técnicos con mucho más detalle.
ISO 27001, ENS y NIS2: qué cubre cada uno
Las dos referencias que más empresas españolas tienen ya son la ISO/IEC 27001 y el Esquema Nacional de Seguridad. Ambas ayudan, ninguna basta por sí sola.
| ISO/IEC 27001 | ENS (RD 311/2022) | NIS2 | |
|---|---|---|---|
| Naturaleza | Norma internacional voluntaria | Norma española obligatoria para el sector público y sus proveedores | Directiva europea obligatoria para las entidades de su ámbito |
| Certificable | Sí | Sí (certificación de conformidad) | No existe un certificado de la directiva |
| Cubre las medidas del art. 21 | En gran parte | En gran parte | — |
| Notificación de incidentes en 24 h / 72 h / 1 mes (art. 23) | No como obligación legal | Tiene su propio régimen | Sí, obligatoria |
| Responsabilidad del órgano de dirección (art. 20) | Liderazgo, sin responsabilidad legal | Funciones y responsabilidades | Aprobación, supervisión, formación y responsabilidad |
| Supervisión pública | No | Sí, en su ámbito | Sí, proactiva o reactiva |
La conclusión práctica: si ya tienes ISO 27001 o ENS, partes con ventaja, pero tienes que cubrir al menos tres huecos propios de NIS2: el procedimiento de notificación en los plazos del artículo 23, el papel formal del órgano de dirección del artículo 20 y la seguridad de la cadena de suministro con el nivel de detalle que exige el artículo 21.
Cómo comprobará la autoridad que cumples
La directiva no se basa en certificados, sino en supervisión. Para las entidades esenciales, el artículo 32 obliga a los Estados a dar a sus autoridades competencias para, como mínimo:
- inspecciones in situ y supervisión a distancia, con controles aleatorios;
- auditorías de seguridad periódicas y específicas por un organismo independiente o por la propia autoridad;
- auditorías ad hoc, sobre todo tras un incidente significativo;
- análisis de seguridad y solicitudes de información, incluidas las políticas de ciberseguridad documentadas.
Para las entidades importantes, la supervisión es reactiva (artículo 33): se activa cuando hay indicios de incumplimiento, típicamente tras un incidente.
En ambos casos, lo que la autoridad pedirá es evidencia: que las medidas existen, que están aprobadas por la dirección y que funcionan. El propio artículo 21 exige procedimientos para evaluar su eficacia (letra f).
España: quién supervisará
España todavía no ha transpuesto NIS2, y con la disolución de las Cortes el 6 de octubre de 2026, la ley no se aprobará antes de 2027; lo explicamos en transposición de NIS2 en España. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad prevé un Centro Nacional de Ciberseguridad y autoridades de control sectoriales en Interior, Defensa y Transformación Digital. Mientras tanto, sigue vigente el Real Decreto-ley 12/2018, que transpuso la primera directiva NIS.
Qué implica según el tamaño de tu empresa
- Mediana empresa en el ámbito de NIS2: antes de pagar por una «certificación NIS2», haz un análisis de brecha contra las diez medidas del artículo 21 y el procedimiento del artículo 23. Si ya tienes ISO 27001, el trabajo es completar, no empezar.
- Proveedor de entidades obligadas (aunque tú no lo estés): tus clientes te pedirán garantías por la vía de la cadena de suministro. Una ISO 27001 o un ENS son hoy la forma más reconocida de darlas.
- Gran empresa o entidad esencial: prepárate para auditorías periódicas independientes. La pregunta no será si tienes un certificado, sino si puedes demostrar que tus controles funcionan.
El reto de fondo: demostrar, no estimar
El artículo 21 pide algo que ningún certificado da por sí solo: evaluar la eficacia de las medidas. Una auditoría revisa muestras y concluye que, probablemente, los controles funcionan: es una estimación. Un supervisor, tras un incidente, pide prueba.
Deflank existe para cerrar esa brecha: con una metodología de verificación propia, convierte los requisitos aplicables del artículo 21 en una prueba demostrable, reproducible y auditable, que complementa tu ISO 27001 o tu ENS en lugar de sustituirlos. La prueba, no la estimación.
Contenido informativo; no constituye asesoramiento jurídico. Fuentes: Directiva (UE) 2022/2555, artículos 20, 21, 23, 24, 32 y 33; Reglamento (UE) 2019/881; Reglamento de Ejecución (UE) 2024/2690; Real Decreto 311/2022 (ENS); Real Decreto-ley 12/2018; anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (Consejo de Ministros, 14 de enero de 2025). Verificado el 11 de octubre de 2026.
Preguntas frecuentes
¿Existe una certificación NIS2 oficial?
No. La Directiva (UE) 2022/2555 no crea ningún certificado de «empresa conforme con NIS2». Lo que prevé su artículo 24 es que los Estados puedan exigir el uso de productos, servicios y procesos TIC certificados con esquemas europeos de ciberseguridad para demostrar determinados requisitos del artículo 21.
Entonces, ¿qué significa cuando alguien ofrece una «certificación NIS2»?
Normalmente, una auditoría o evaluación privada contra los requisitos de la directiva, a veces combinada con ISO/IEC 27001. Puede ser útil como evidencia, pero no es un certificado reconocido por la norma ni sustituye a la supervisión de la autoridad competente.
¿Sirve la ISO 27001 para cumplir NIS2?
Ayuda mucho, porque cubre buena parte de las medidas del artículo 21: análisis de riesgos, gestión de incidentes, continuidad, control de accesos o criptografía. Pero no cubre todo: la notificación de incidentes en 24 y 72 horas, la responsabilidad personal del órgano de dirección o el registro ante la autoridad son obligaciones propias de NIS2.
¿Y el Esquema Nacional de Seguridad?
El ENS (Real Decreto 311/2022) es obligatorio para el sector público español y para los proveedores que le prestan servicios, y tiene un sistema de certificación propio. Es el marco español más cercano a NIS2, pero tampoco es una «certificación NIS2».
¿Qué pedirá la autoridad para comprobar que cumplo?
Para las entidades esenciales, el artículo 32 permite inspecciones in situ, auditorías de seguridad periódicas por un organismo independiente, auditorías ad hoc tras un incidente y solicitudes de información, entre otras. Lo que cuenta es la evidencia documentada de que las medidas existen y funcionan.
¿Hay requisitos técnicos más concretos para algunas empresas?
Sí. El Reglamento de Ejecución (UE) 2024/2690 detalla los requisitos técnicos y metodológicos del artículo 21 para proveedores de infraestructura y servicios digitales, como nube, centros de datos, DNS o servicios gestionados.