NIS2 e UNE-EN ISO 27001: qué cubre el certificado y qué falta para cumplir la KSC

En muchas empresas, el análisis de NIS2 comienza preguntando por la certificación UNE-EN ISO 27001. Es comprensible, pero no es el punto de partida adecuado para la dirección ni para el responsable del proceso. Primero hay que determinar si la organización está sujeta a obligaciones, a qué servicios y activos afectan y quién debe asumir la responsabilidad. Solo entonces puede evaluarse con rigor qué cubre realmente el sistema de gestión de la seguridad de la información existente y qué sigue faltando para cumplir la KSC. En la práctica, aquí se encuentra la diferencia entre un sistema bien estructurado y una costosa ilusión de preparación.

El error más costoso: confundir el certificado con el cumplimiento

El principal error inicial no es carecer de un certificado UNE-EN ISO 27001, sino asumir que disponer de él acredita el cumplimiento de las obligaciones derivadas de NIS2 y de la normativa nacional que desarrolla la KSC. Para la dirección, la pregunta correcta no es «¿tenemos UNE-EN ISO 27001?», sino «¿estamos sujetos a estas obligaciones, en qué condición y respecto de qué servicios, procesos y activos?». Solo después de determinar la condición de la entidad, el alcance de las actividades afectadas y las responsabilidades de la dirección puede valorarse hasta qué punto el sistema existente contribuye al cumplimiento y dónde se limita a ofrecer una apariencia de control.

Esta distinción tiene consecuencias directas para el proyecto y su presupuesto. El certificado acredita que un sistema de gestión cumple los requisitos de la norma dentro de un alcance de certificación concreto, normalmente descrito en el propio certificado y detallado en la Declaración de Aplicabilidad. Sin embargo, no sustituye el análisis de las obligaciones legales, la identificación de los servicios relevantes, la evaluación de las dependencias de proveedores ni la determinación de las actuaciones formales que debe realizar una organización sujeta a la regulación. Por tanto, la dirección debe separar tres dimensiones que suelen confundirse: el sistema de gestión, el cumplimiento regulatorio y la capacidad operativa para actuar bajo la presión de un incidente.

Los proyectos más costosos son los que siguen el orden inverso. La organización comienza preparando documentación y controles para la auditoría de certificación y descubre posteriormente que han quedado fuera del alcance procesos críticos, obligaciones de notificación de incidentes, requisitos aplicables a proveedores, responsabilidades de la dirección o exigencias sectoriales. En ese momento no basta con completar algunos procedimientos: es necesario rediseñar el alcance del sistema, las funciones de decisión y la forma de responder.

Desde una perspectiva operativa, no conviene medir únicamente la existencia del certificado, sino tres aspectos: la correspondencia entre el alcance certificado y los servicios críticos, el resultado de la autoevaluación sobre la sujeción a la KSC y el número de brechas entre los procedimientos y la capacidad real de actuación. Por eso, el primer paso natural no consiste en ampliar la documentación, sino en determinar si la organización entra en el ámbito de las obligaciones y qué actuaciones formales debe realizar. Este orden también queda bien estructurado en el artículo NIS2: autoevaluación e inscripción en el registro de la KSC: ¿qué debe hacer una empresa industrial?, porque es ahí donde se decide si la empresa construye su sistema en torno a obligaciones reales o a una cómoda, pero costosa, ilusión de preparación.

Qué cubre realmente UNE-EN ISO 27001 más allá de las declaraciones

El principal valor práctico de UNE-EN ISO 27001 no reside en disponer del certificado, sino en que un sistema correctamente implantado permite gestionar la seguridad de forma estructurada. Su aportación es especialmente sólida allí donde la organización necesita trabajar por procesos: análisis y tratamiento de riesgos, definición de políticas y controles, asignación de funciones y responsabilidades, identificación de activos de información, respuesta ante incidentes, continuidad del negocio y mecanismos de revisión y mejora. Cuando estos elementos funcionan en la práctica y no únicamente de cara a la auditoría, la empresa dispone de una base sólida para demostrar que la seguridad no es un conjunto de medidas aisladas, sino un sistema gestionado y conectado con las decisiones operativas.

No obstante, la dirección debe evaluar la utilidad del certificado respecto de los servicios, procesos y dependencias con relevancia regulatoria. Un mismo certificado puede corresponder a un sistema maduro que abarca procesos críticos, revisiones periódicas, acciones correctivas y una supervisión efectiva por parte de los responsables de proceso, o a un marco limitado a una parte concreta de la organización. Antes de realizar la autoevaluación frente a NIS2 y la KSC, conviene revisar no solo la Declaración de Aplicabilidad, sino también los procesos incluidos en el análisis de riesgos, los resultados de las auditorías internas, las conclusiones de la revisión por la dirección y si las decisiones sobre riesgos se traducen en presupuesto, contratos, arquitectura de servicios y mecanismos de respuesta.

Esto resulta especialmente visible en las empresas integradas en cadenas de suministro. UNE-EN ISO 27001 suele estructurar los requisitos contractuales, la clasificación de la información, las reglas de acceso, las responsabilidades de los proveedores y la documentación de excepciones. Es una base útil, sobre todo cuando los clientes exigen evidencias del control ejercido sobre terceros. Sin embargo, no resuelve automáticamente todas las expectativas de un sector ni sus criterios específicos. Un dilema similar se aborda en UNE-EN ISO 27001 o TISAX: qué elegir cuando el cliente exige seguridad de la información en la cadena de suministro. En la práctica, el certificado ayuda a ordenar relaciones y responsabilidades, pero no sustituye la identificación de las obligaciones adicionales que deben incorporarse a contratos, procedimientos de escalado y controles sobre servicios externos.

La conclusión es clara: el certificado puede acortar considerablemente el camino hacia una gestión estructurada de la seguridad, pero no constituye por sí solo una prueba de cumplimiento de las obligaciones derivadas de la KSC. La auditoría de certificación evalúa la conformidad del sistema de gestión con los requisitos de la norma dentro de un alcance determinado; no evalúa exactamente lo mismo que una revisión de obligaciones legales y preparación operativa. Por ello, la organización debe comprobar en paralelo si el alcance del sistema abarca los procesos relevantes, si el análisis de riesgos se ha actualizado de acuerdo con los servicios y dependencias reales y si los procedimientos de respuesta, continuidad y control de proveedores funcionan en la práctica.

Dónde no basta el certificado

La primera brecha afecta al propio cumplimiento regulatorio. Un sistema de gestión de la seguridad de la información estructura reglas, responsabilidades y controles, pero no determina por sí mismo si una entidad ha sido correctamente identificada en el contexto de la KSC, quién se responsabiliza de las notificaciones formales, quién mantiene la relación con la autoridad competente ni cómo se escalan las decisiones a la dirección. No se trata de la ausencia de un único documento, sino de un defecto en el diseño de responsabilidades. Si estos elementos no se integran en el modelo operativo real de la empresa, el certificado aporta orden interno, pero todavía no garantiza una gobernanza regulatoria efectiva.

La segunda brecha se refiere al alcance. Muchas organizaciones disponen de una certificación limitada a un centro, una sociedad, una unidad organizativa o una parte de los servicios de apoyo. Sin embargo, la evaluación de preparación frente a la KSC debe partir del mapa real de servicios, procesos críticos, activos y dependencias, no de los límites de la auditoría de certificación. Si un servicio esencial o importante es prestado por varias sociedades del grupo, con la participación de un centro de datos externo, un equipo de mantenimiento compartido o un proceso distribuido de gestión de incidentes, un certificado formalmente correcto puede cubrir solo una parte del conjunto. En ese caso, la decisión de la dirección no se limita a ampliar o no el certificado: debe decidir si desarrolla un único proyecto integrado de cumplimiento o dos líneas coordinadas, una de certificación y otra regulatoria.

La tercera brecha es de carácter probatorio y suele aparecer durante un incidente, un simulacro o una inspección. La organización dispone de procedimientos de respuesta, continuidad del negocio y control de proveedores, pero no puede demostrar que estos mecanismos funcionan operativamente. Faltan el registro de incidentes, la trazabilidad de las decisiones de la dirección, los resultados de los ejercicios, las revisiones posteriores a los eventos, los indicadores de eficacia o las acciones correctivas documentadas. En esas condiciones, el sistema está descrito, pero no demostrado. Es ahí donde aparecen las correcciones más costosas, porque no solo deben modificarse los procedimientos, sino también la forma de informar a la dirección, la frecuencia de las revisiones y la responsabilidad de los propietarios de los procesos. El mismo fenómeno se observa en otros sistemas de gestión, como se explica en IATF 16949: qué requisitos generan verdaderas dificultades en la gestión diaria de la calidad y cómo abordarlos sin una conformidad aparente.

La cuarta brecha afecta a la cadena de suministro y a las dependencias externas. La norma ayuda a estructurar los requisitos aplicables a proveedores, pero el cumplimiento de la KSC puede requerir un análisis más profundo: qué servicios externos sostienen la prestación del servicio crítico, dónde existen puntos únicos de fallo, qué escenarios de interrupción deben contemplarse y qué capacidad existe para sustituir al proveedor, al personal o a una ubicación. En la práctica, no basta con medir la existencia de contratos y evaluaciones de proveedores. También deben evaluarse la correspondencia del alcance certificado con el mapa real de servicios críticos, la integridad de los registros de incidentes y ejercicios y la actualización de las revisiones de proveedores y dependencias. Solo esta visión conjunta permite saber si la organización dispone de un sistema efectivo o únicamente de su representación formal.

El proyecto de cumplimiento debe diseñarse desde los servicios, no desde los documentos

El error más habitual al iniciar el proyecto consiste en revisar primero las políticas, procedimientos y registros de UNE-EN ISO 27001, en lugar de identificar qué servicios deben mantenerse realmente y qué obligaciones regulatorias están vinculadas a ellos. El orden correcto es el inverso: primero se identifican los servicios, procesos, activos y dependencias críticos desde la perspectiva de la continuidad operativa y de las responsabilidades derivadas de la KSC; después se les asignan los requisitos del sistema y las evidencias necesarias. Solo este enfoque permite distinguir entre la documentación necesaria y la que no aporta valor.

Para la dirección, esto implica aprobar la elaboración de un mapa de servicios críticos, dependencias de proveedores y sistemas, junto con un inventario de los procedimientos existentes que puedan aprovecharse sin duplicar controles. Solo a partir de esta información puede determinarse si el sistema actual cubre lo que realmente importa para mantener el servicio y cumplir las obligaciones, o únicamente aquello que históricamente quedó incluido en el alcance de certificación.

El segundo paso afecta al modelo de responsabilidades. Si la seguridad de la información se distribuye entre TI, calidad, cumplimiento, mantenimiento y compras sin una asignación inequívoca de funciones, el proyecto se convierte rápidamente en una suma de iniciativas locales. Debe establecerse quién asume la responsabilidad sobre el riesgo, quién gestiona los incidentes, quién supervisa las relaciones con proveedores, quién adopta las decisiones de dirección y quién conserva las evidencias de cumplimiento. En la práctica, resulta eficaz utilizar una matriz sencilla de funciones y responsabilidades y un único ciclo de revisión por la dirección, en lugar de varias vías de reporte paralelas. En este punto también debe decidirse si se establece un único comité de dirección para cumplimiento y seguridad y si la tecnología operacional se integra en el mismo modelo de riesgos.

Esta lógica es especialmente relevante en organizaciones industriales y con múltiples centros. En ellas, un incidente no se limita a la pérdida de confidencialidad de los datos: puede detener una línea de producción, alterar la planificación, comprometer la trazabilidad de los lotes o impedir la prestación de un servicio. Por ello, la seguridad de la información debe conectarse con la continuidad operativa, el mantenimiento y los entornos de tecnología operacional. Si el sistema de gestión abarca únicamente el entorno de oficina y excluye los sistemas de control, el mantenimiento remoto, las dependencias de integradores o los procedimientos de emergencia en planta, la visión del riesgo estará formalmente ordenada, pero será operativamente incompleta. La misma disciplina de diseño se aplica en otros ámbitos sometidos a una supervisión exigente, incluidos los analizados en ASME, NQA-1 e ISO 19443: tres siglas que todo proveedor del sector nuclear debe conocer.

Solo sobre esta base conviene utilizar el sistema UNE-EN ISO 27001 existente como estructura de partida y realizar un análisis de brechas específico frente a la KSC. Este análisis no tiene por objeto cuestionar el certificado, sino verificar dónde existe cobertura real y dónde son necesarios procedimientos, registros, vías de escalado o evidencias adicionales. El enfoque reduce documentación innecesaria y permite controlar mejor la coherencia de los mecanismos que dos implantaciones separadas y potencialmente incompatibles.

Cómo comprobar la situación real antes de una auditoría o inspección

Antes de una auditoría, una autoevaluación o una inspección, la pregunta no debe ser si la organización «tiene UNE-EN ISO 27001», sino si puede demostrar una capacidad real de actuación y la trazabilidad de sus decisiones. Esta preparación debe evaluarse en cuatro niveles: primero, determinar el alcance y la aplicabilidad de las obligaciones; después, revisar el diseño del sistema de gestión; a continuación, comprobar la eficacia de los procesos; y, finalmente, verificar la integridad de las evidencias. Solo este enfoque permite diferenciar el orden documental de la capacidad operativa.

Las preguntas más útiles no son «¿tenemos un procedimiento?», sino «¿sabemos cuándo activarlo, quién adopta la decisión, cuáles son los umbrales de escalado, cómo lo demostraremos y si hemos ensayado el escenario?». Si la gestión de un incidente depende del conocimiento de una única persona, las relaciones con proveedores carecen de criterios de seguridad asignados y la dirección solo recibe informes generales sin decisiones ni plazos, el sistema puede ajustarse formalmente a su propia descripción, pero seguir sin estar preparado para actuar bajo presión.

Por ello, la revisión de preparación debe abarcar las interfaces entre la dirección, operaciones, TI, mantenimiento y proveedores, ya que es ahí donde suelen aparecer las brechas que no resultan visibles en los procedimientos. En la práctica, el enfoque más eficaz es un análisis de brechas similar a una auditoría operativa. No solo se revisa el contenido de los documentos, sino también el proceso de toma de decisiones, las vías de escalado, los registros de incidentes, los resultados de pruebas y simulacros, y el registro de no conformidades, observaciones y acciones correctivas.

Una prueba útil consiste en plantear un escenario sencillo: se produce un incidente en un proveedor clave o una interrupción en el entorno industrial, y hay que determinar quién clasifica el evento, quién activa la comunicación, quién evalúa el impacto sobre el servicio y qué evidencias quedarán de la decisión. Si las respuestas están dispersas y la organización remite a una «práctica habitual» que nadie puede reconstruir mediante registros, la preparación es aparente, aunque el sistema de gestión se mantenga correctamente.

Si la organización ya realiza auditorías internas UNE-EN ISO 27001, conviene utilizarlas como vehículo para esta verificación, ampliando los criterios de auditoría para incluir las obligaciones regulatorias y las evidencias esperadas desde la perspectiva de la KSC. Las competencias de auditoría resultan muy útiles en este contexto, incluidas las desarrolladas por quienes se preparan para desempeñar funciones de auditor líder o auditor interno. Como referencia puede consultarse Auditor líder UNE-EN ISO 27001: guía completa sobre la certificación y los requisitos de la norma. Sin embargo, debe respetarse el orden correcto: la competencia auditora ayuda a comprobar el sistema, pero no sustituye el análisis de las obligaciones legales y organizativas aplicables a cada empresa.

Decisión de la dirección: el certificado como base, no como coartada

El enfoque más racional consiste en considerar UNE-EN ISO 27001 como el fundamento de la estructura de gestión, no como una prueba autónoma del cumplimiento de todas las obligaciones derivadas de NIS2 y la KSC. El certificado contribuye a ordenar responsabilidades, evaluación de riesgos, gestión de incidentes, auditoría y mejora, pero no exime de determinar qué obligaciones afectan realmente a la organización, cuál es su alcance y qué evidencias serán necesarias para demostrar la eficacia de las actuaciones.

Desde la perspectiva de la dirección, el mayor riesgo no es una carencia documental, sino la ilusión de preparación: creer que, al estar certificado el sistema, la organización también está preparada para las exigencias del marco jurídico nacional. Por tanto, la decisión no debe limitarse a mantener o ampliar la certificación. Primero deben resolverse tres cuestiones de gestión:

• confirmar la condición de la organización y el alcance de sus obligaciones,
• realizar un análisis de brechas entre el sistema actual y los requisitos de la KSC,
• establecer un modelo de supervisión de las actuaciones y de las evidencias de eficacia.

Solo entonces puede decidirse con criterio si la empresa necesita ampliar el alcance de certificación o si basta con aprovechar el sistema UNE-EN ISO 27001 existente y añadir los mecanismos organizativos, legales y operativos que faltan. En la práctica, tres herramientas sencillas facilitan esta decisión: el alcance actualizado de certificación comparado con el mapa de procesos críticos, una relación de brechas con su impacto sobre el riesgo y el cumplimiento, y un plan de acción con responsables, plazos y criterios de cierre.

Si la organización todavía está eligiendo el enfoque, no existe una secuencia universal. Cuando hay una fuerte presión de clientes o requisitos de licitación, construir el sistema con vistas a la certificación puede ser un primer paso justificado, siempre que el análisis de las obligaciones regulatorias se realice en paralelo. En empresas con un riesgo operativo elevado o un modelo de responsabilidades disperso, puede resultar más prudente cerrar primero las brechas regulatorias y ordenar después el alcance de certificación. No se trata de debatir el orden de las formalidades, sino el orden en el que se reduce el riesgo. Desde esta perspectiva, el artículo Certificado ISO: beneficios y proceso de implantación debe interpretarse como parte de una decisión más amplia sobre el modelo de gestión del cumplimiento, no de forma aislada del funcionamiento real de la empresa.

Los mejores resultados se obtienen con un único programa coherente en el que la seguridad de la información, la continuidad del negocio, el control de proveedores y las obligaciones regulatorias se gestionen como componentes del modelo operativo, no como iniciativas separadas de distintos departamentos. En el contexto polaco, precisamente la fragmentación de responsabilidades es uno de los factores que más debilita la capacidad de ejecución y de aportación de evidencias. La conclusión final es sencilla: el certificado ayuda y puede acortar de forma significativa el camino hacia un sistema ordenado, pero el cumplimiento todavía debe diseñarse, implantarse y defenderse mediante evidencias en las condiciones específicas de NIS2 y la KSC.