Si llevas un tiempo siguiendo el panorama regulatorio en ciberseguridad, seguro que te suenan las siglas NIS2 y ENS. Lo que ya no está tan claro para la mayoría es qué las distingue y si hay que cumplir con una, con la otra, o con las dos a la vez.
La confusión tiene sentido: ambas normativas comparten el mismo objetivo (mejorar la seguridad de los sistemas de información), pero parten de enfoques distintos, afectan a organizaciones diferentes y no siempre exigen lo mismo.
En este artículo explicamos qué es cada normativa y en qué se diferencian realmente, para que puedas saber con claridad qué marco regulatorio aplica a tu organización.
¿Qué es la directiva NIS2?
La directiva NIS2 es la normativa europea que refuerza los requisitos de ciberseguridad para empresas y organizaciones que operan en sectores críticos o esenciales. Aprobada en 2022 y en vigor desde octubre de 2024, su objetivo es elevar el nivel de protección frente a ciberataques en toda la Unión Europea.
Respecto a su predecesora, NIS2 amplía considerablemente el número de sectores y organizaciones que quedan bajo su ámbito de aplicación. Si la directiva original se centraba en siete sectores, NIS2 eleva esa cifra a más de quince, incorporando ámbitos como la gestión de residuos, la fabricación de productos críticos o los servicios postales. Esta expansión hace que muchas empresas que hasta ahora no estaban obligadas a cumplir ningún marco de ciberseguridad europeo se encuentren, por primera vez, dentro del radar regulatorio.
Otro de los aspectos que más sorprende a las empresas al acercarse a NIS2 es su alcance. La directiva no solo afecta a las organizaciones directamente incluidas en los sectores regulados, sino también a sus proveedores y socios tecnológicos, lo que extiende la responsabilidad mucho más allá de lo que muchos esperaban.
📌 Amplia información sobre a quién afecta la directiva NIS2.
Puntos clave NIS2
- Afecta a más de 15 sectores críticos y esenciales en toda la Unión Europea.
- Distingue entre entidades esenciales e importantes, con obligaciones distintas para cada una.
- Obliga a notificar incidentes de seguridad en un plazo máximo de 72 horas.
- Extiende la responsabilidad a proveedores y socios tecnológicos de las organizaciones afectadas.
- Hace responsable a la dirección de forma directa en materia de ciberseguridad.
- Las sanciones pueden alcanzar los 10 millones de euros o el 2% de la facturación global anual.
¿Qué es el Esquema Nacional de seguridad (ENS) ?
El Esquema Nacional de Seguridad (ENS) es el marco normativo que regula cómo deben protegerse los sistemas de información en el sector público español. No solo aplica a las administraciones públicas, sino también a cualquier empresa privada que preste servicios o trabaje con organismos públicos.
A diferencia de NIS2, el ENS no se limita a fijar objetivos generales de seguridad, sino que detalla exactamente qué controles hay que implantar y cómo. Para hacerlo de forma proporcional, clasifica los sistemas en tres categorías según su criticidad (básica, media y alta) y exige medidas distintas en cada caso.
Para las empresas proveedoras del sector público, cumplir con el ENS no es opcional. Es un requisito para poder trabajar con la administración y, en la mayoría de los casos, implica someterse a auditorías periódicas que acrediten ese cumplimiento.
Puntos clave ENS
- Es obligatorio para todas las administraciones públicas españolas y sus proveedores tecnológicos.
- Clasifica los sistemas en tres categorías según su criticidad: básica, media y alta.
- Define con detalle qué controles técnicos y organizativos hay que implantar en cada categoría.
- Los sistemas de categoría media y alta requieren una certificación oficial emitida por una entidad acreditada.
- El cumplimiento se verifica mediante auditorías periódicas supervisadas por el CCN.
- Es un requisito habitual en licitaciones y contratos públicos en España.
Diferencias entre NIS2 y ENS
Aunque NIS2 y ENS comparten un mismo objetivo (mejorar la ciberseguridad de las organizaciones), lo hacen desde enfoques muy distintos. Una es una directiva de alcance europeo orientada a la gestión de riesgos, la otra es un marco nacional con requisitos concretos y medibles. Vamos a analizar las principales diferencias:
| Criterio | NIS2 | ENS |
| Ámbito | Unión Europea | España |
| Tipo de norma | Directiva europea | Marco normativo nacional |
| Fecha de aplicación | Aprobada en 2022 (fecha límite de transposición: octubre de 2024) | En vigor desde 2010 (revisada 2022) |
| Empresas afectadas | Sectores críticos y esenciales, además de sus proveedores | Administraciones públicas y empresas que trabajan con ellas |
| Clasificación de sistemas | Entidades esenciales e importantes | Tres categorías: básica, media y alta |
| Nivel de detalle | General, orientado a objetivos | Muy específico, con medidas concretas |
| Enfoque | Gestión de riesgos y resiliencia | Cumplimiento de controles y medidas de seguridad |
| Obligaciones clave | Notificación de incidentes, gestión de riesgos, seguridad en la cadena de suministro | Implementación de medidas técnicas y organizativas según categoría |
| Plazos de notificación | Alerta temprana en 24h, notificación completa en 72h | Plazos estrictos según criticidad (definidos por la ITS de Notificación del CCN-CERT) |
| Certificación | No exige certificación formal | Certificación oficial obligatoria para sistemas de categoría media y alta |
| Supervisión | Autoridades nacionales de cada país | CCN y auditorías periódicas |
| Sanciones | Hasta 10M€ (o 2%) para esenciales, y hasta 7M€ (o 1,4%) para importantes | Dependientes del marco legal español |
| Relación con otras normativas | Se complementa con DORA, CER y el RGPD | Convive con el RGPD y las guías del CCN-CERT |
¿Qué debo cumplir: ENS o NIS2?
La respuesta depende de tu actividad, de tus clientes y del tipo de servicios que prestas. Y en muchos casos, la respuesta no es una u otra, sino las dos.
Si trabajas con la administración pública en España o prestas servicios tecnológicos a organismos públicos, lo más probable es que debas cumplir con el ENS. Es un requisito habitual en licitaciones y contratos públicos, y cada vez más empresas privadas se encuentran con que necesitan la certificación ENS para poder operar en ese entorno.
Si tu empresa pertenece a un sector crítico o esencial dentro de la Unión Europea, o si eres proveedor de este tipo de organizaciones, entonces NIS2 te aplica. Esto incluye sectores como energía, transporte, salud, servicios digitales o infraestructuras digitales, entre otros.
Lo relevante es que no son normativas excluyentes. Una empresa puede estar obligada a cumplir NIS2 por su sector y, al mismo tiempo, necesitar adaptarse al ENS por su relación con la administración. De hecho, este escenario es más habitual de lo que parece, especialmente en empresas tecnológicas que trabajan con clientes públicos y privados a la vez.
