Proveedores de la Administración Pública
ENS en la categoría del sistema (Básica, Media o Alta), con evidencias revisables para pliegos y licitaciones.
Ver adecuación ENS →REQUISITOS Y APLICABILIDAD
Qué norma te afecta y cómo evitar trabajo duplicado.
ISO 27001 aporta reconocimiento internacional; ENS es clave para el sector público español; NIS2 eleva las exigencias europeas de gobierno, continuidad, incidentes y cadena de suministro. Si se diseñan juntos, comparten controles y evidencias.
| Criterio | ISO 27001 | ENS | NIS2 |
|---|---|---|---|
| Qué es | Norma internacional de seguridad de la información y SGSI. | Marco español obligatorio para el sector público y sus proveedores TIC. | Directiva europea para reforzar la ciberseguridad de sectores críticos y cadenas de suministro. |
| A quién aplica | Cualquier empresa que quiera proteger información, vender más confianza o acceder a clientes exigentes. | Administraciones Públicas y empresas privadas que prestan servicios a la AAPP. | Entidades esenciales o importantes y proveedores que puedan quedar afectados por exigencias contractuales. |
| Obligatoriedad | No siempre es obligatoria, pero cada vez más clientes la exigen como requisito. | Sí cuando aplica por RD 311/2022 o por pliegos y contratos públicos. | Depende de sector, tamaño, actividad y transposición nacional; conviene analizar aplicabilidad cuanto antes. |
| Plazo orientativo | El calendario se acuerda tras el diagnóstico y depende del alcance, la madurez, la disponibilidad interna y terceros. | ||
| Combinación | Conviene abordarlas en una misma hoja de ruta: inventario, riesgos, controles, evidencias, incidentes y proveedores se pueden reutilizar. | ||
Por sector
Qué suele aplicar según tu actividad.
Es el punto de partida habitual; el diagnóstico confirma qué te aplica de verdad.
Tecnología, software y servicios gestionados
ISO 27001 para dar confianza a clientes B2B, junto con seguridad cloud, proveedores y pentesting de web y APIs.
Ver consultoría ISO 27001 →Industria y cadena de suministro
NIS2 cuando el sector o un cliente lo exige: proveedores críticos, continuidad y respuesta a incidentes.
Ver adecuación NIS2 →Sanidad, educación y servicios profesionales
RGPD como base: control de accesos, registro de incidentes, seguridad desde el diseño y formación por perfil.
Ver desarrollo seguro →Finanzas y entornos regulados
DORA: riesgo de terceros, continuidad y controles trazables que una auditoría pueda revisar.
Leer sobre DORA →Webs, apps y plataformas
Más allá de la norma: pentesting y revisión de código (OWASP Top 10) para reducir el riesgo real.
Ver pentesting →Siguiente paso
¿No sabes qué norma te aplica?
Revisamos tu sector, tus clientes y tus contratos, y te decimos qué aplica y por dónde empezar.