Diferencias entre el ENS y NIS2, y en qué orden conviene abordarlos
El ENS y NIS2 se diferencian en tres cosas: a quién obligan, cómo se gradúa esa obligación y cuándo es exigible. El Esquema Nacional de Seguridad (Real Decreto 311/2022) obliga a todo el sector público español y, por arrastre contractual, a las empresas privadas que le prestan servicios o le proveen soluciones. NIS2 (Directiva (UE) 2022/2555) obliga por sector y por tamaño: hay que ser uno de los tipos de entidad de sus anexos I o II y alcanzar el umbral de mediana empresa. Y hay una diferencia de calendario que decide casi siempre el orden de trabajo: el ENS es exigible hoy y se acredita con un documento concreto, mientras que NIS2 es una directiva que en España sigue esperando la ley que la transponga.
Esa mezcla es la que más veo: alguien ha leído que «NIS2 obliga a todas las medianas», otro ha visto la conformidad con el ENS en un pliego, y sale un proyecto con dos cabezas que duplica inventarios y análisis de riesgos. No hace falta.
Qué es cada uno, en una frase
El ENS es el Real Decreto 311/2022, de 3 de mayo. Clasifica cada sistema en categoría BÁSICA, MEDIA o ALTA según el impacto que tendría un incidente sobre cinco dimensiones (disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad) y despliega en su anexo II un catálogo de medidas en tres bloques: marco organizativo, marco operacional y medidas de protección. El recorrido completo está en la guía completa del ENS.
NIS2 es la Directiva (UE) 2022/2555, publicada en el DOUE el 27 de diciembre de 2022. Sube el listón de la primera directiva de seguridad de redes y sistemas en tres frentes: las medidas del artículo 21, la notificación del artículo 23 y la gobernanza del artículo 20, que sienta al órgano de dirección delante del problema. Su artículo 41 fijaba el 17 de octubre de 2024 como fecha límite de transposición.
A quién obliga cada marco (los criterios no se parecen en nada)
Aquí está la raíz de la confusión: uno mira quién eres y con quién contratas; el otro mira a qué te dedicas y cuánto mides.
El ENS entra por la naturaleza del sujeto y por el contrato
El artículo 2.1 del real decreto lo aplica a todo el sector público tal como lo define la Ley 40/2015. Y su apartado 3 lo extiende a los sistemas de información de entidades privadas cuando, en virtud de una relación contractual, presten servicios o provean soluciones al sector público para el ejercicio de sus competencias y potestades administrativas. El mismo apartado añade la pieza práctica: los pliegos contemplarán los requisitos necesarios para asegurar la conformidad, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS», y la cautela se extiende a la cadena de suministro del contratista según el análisis de riesgos. Por eso hay empresas que descubren el ENS leyendo una licitación, no el BOE.
NIS2 entra por el sector del anexo y por el tamaño
El artículo 2.1 la aplica a las entidades públicas o privadas de alguno de los tipos de sus anexos I (sectores de alta criticidad) o II (otros sectores críticos) que sean medianas empresas conforme al artículo 2 del anexo de la Recomendación 2003/361/CE, o que superen ese umbral. En cifras de la Recomendación: 250 personas, 50 millones de euros de volumen de negocios anual o 43 millones de balance general.
Hay excepciones que dejan el tamaño fuera de la ecuación. El artículo 2.2 aplica la directiva con independencia del tamaño a telecos, prestadores de servicios de confianza, registros de dominios de primer nivel y proveedores de DNS; también al único proveedor de un servicio esencial en el país, a quien pueda tener repercusiones significativas sobre la seguridad, el orden o la salud públicas o inducir riesgos sistémicos, y a la Administración pública central o regional. La local va por otra vía: el artículo 2.5 deja en manos de cada Estado decidir si la incluye.
Después, el artículo 3 reparte a los sujetos en dos ligas: entidades esenciales (las del anexo I que superan los umbrales de mediana empresa, más una lista de casos que entran por su función) y entidades importantes (el resto de tipos de los anexos I y II). No es una etiqueta decorativa: cambia el régimen de supervisión y el tope de las multas. En dos minutos lo resuelve la herramienta para saber si eres entidad esencial o importante.
La tabla comparativa
| ENS | NIS2 | |
|---|---|---|
| Norma | Real Decreto 311/2022 | Directiva (UE) 2022/2555 |
| Quién entra | Sector público y, por contrato, sus proveedores (art. 2) | Tipos de entidad de los anexos I y II con tamaño de mediana empresa, más los casos del art. 2.2 |
| Cómo se gradúa | Categoría BÁSICA, MEDIA o ALTA del sistema (art. 40 y anexo I) | Entidad esencial o importante (art. 3) |
| Qué exige | Catálogo del anexo II: marco organizativo, operacional y medidas de protección | Diez elementos mínimos del art. 21.2 |
| Cómo se acredita | Declaración de Conformidad (BÁSICA, por autoevaluación) o Certificación (MEDIA y ALTA, con auditoría), art. 38 | No hay certificado equivalente: registro ante la autoridad y supervisión |
| Auditoría | Ordinaria al menos cada dos años (art. 31.1) | Inspecciones y auditorías a instancia de la autoridad competente |
| Incidentes | Dos vías en el mismo real decreto: el sector público notifica al CCN los de impacto significativo (art. 33.2) y el proveedor privado del sector público notifica al INCIBE-CERT (art. 33.7), que traslada de inmediato al CCN-CERT | Alerta temprana en 24 h, notificación en 72 h e informe final un mes después de esa notificación (art. 23.4) |
| La dirección | El real decreto no establece un régimen de responsabilidad personal | El órgano de dirección aprueba, supervisa y responde, y debe formarse (art. 20) |
| Multas | El real decreto no incorpora régimen sancionador propio | Techo mínimo que cada Estado debe garantizar: al menos 10 M€ o el 2 % del volumen de negocios mundial en esenciales, la de mayor cuantía; al menos 7 M€ o el 1,4 % en importantes, también la mayor (arts. 34.4 y 34.5) |
| Exigible hoy en España | Sí | Pendiente de la ley de transposición |
Cuál te toca antes: el calendario decide
En la inmensa mayoría de los casos, el ENS. No porque sea más importante, sino porque es el único de los dos que hoy tiene detrás un requisito con fecha, con documento y con alguien esperándolo al otro lado: el órgano de contratación.
NIS2 va por otro camino, porque una directiva necesita una ley nacional para obligar a las empresas privadas. En España esa ley es la de Coordinación y Gobernanza de la Ciberseguridad, que el 31 de julio de 2026 seguía en tramitación y sin publicar en el BOE; mantengo el detalle al día en el rastreador de la transposición, que es donde hay que mirar antes de dar por buena esta frase. Mientras tanto no hay vacío: sigue vigente el marco de la primera directiva, transpuesto por el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que alcanza a operadores de servicios esenciales y proveedores de servicios digitales.
De ahí sale un orden de trabajo sencillo:
- Mira tus contratos. Si vendes al sector público, comprueba si el pliego pide Declaración o Certificación de Conformidad con el ENS. Eso tiene fecha de entrega y no admite espera.
- Haz el test de NIS2. Sector del anexo, tamaño y excepciones del artículo 2.2.
- Si caes en los dos, empieza por el ENS. Su catálogo es más prescriptivo, así que lo hecho para el ENS cubre buena parte de lo que pedirá NIS2, y no al revés.
- Si solo caes en NIS2, no esperes a la ley. Lo que la ley española no puede rebajar es el contenido mínimo del artículo 21: ese trabajo es el mismo hoy y el día que se publique.
Para dejarlo por escrito en dos minutos, esta es la ficha que uso al abrir un proyecto:
| Pregunta | Tu respuesta |
|---|---|
| ¿Vendes al sector público para el ejercicio de potestades administrativas? | [SÍ / NO] · contratos: [LISTA] |
| Si es que sí, ¿qué pide el pliego y para cuándo? | [DECLARACIÓN / CERTIFICACIÓN] · [FECHA] |
| ¿Tu actividad está en el anexo I o II de NIS2? | [ANEXO Y TIPO DE ENTIDAD] |
| Tamaño: personas, volumen de negocio y balance | [Nº] · [€] · [€] |
| ¿Encajas en alguna excepción del art. 2.2? | [CUÁL] |
| Conclusión | [SOLO ENS / SOLO NIS2 / LOS DOS / NINGUNO] |
Lo que se solapa (y se paga una sola vez)
Los diez elementos mínimos del artículo 21.2 de NIS2 no son un catálogo exótico. Puestos al lado del anexo II del ENS, la coincidencia es casi total:
- Políticas de seguridad y análisis de riesgos (a). Marco organizativo del ENS, que además obliga a que la política exista también en el proveedor privado.
- Gestión de incidentes (b) y continuidad, copias de seguridad y gestión de crisis (c). Marco operacional del ENS, con las copias en las medidas de protección.
- Cadena de suministro (d). El ENS lleva la exigencia al contratista y a sus proveedores; NIS2 obliga a valorar las vulnerabilidades de cada proveedor directo.
- Adquisición, desarrollo y mantenimiento seguros (e). En el ENS, el ciclo de vida del artículo 36 más el marco operacional.
- Evaluación de la eficacia de las medidas (f). Aquí el ENS va por delante: obliga a auditoría ordinaria al menos cada dos años.
- Ciberhigiene y formación (g), criptografía (h), recursos humanos, control de accesos y gestión de activos (i) y autenticación multifactor (j). Todo tiene medida propia en el anexo II.
Es decir: el inventario de activos, el análisis de riesgos, la política de seguridad, el plan de continuidad y el procedimiento de incidentes se hacen una vez y sirven para los dos marcos. Con el RGPD pasa algo parecido, y lo explico en ENS y RGPD: cómo encajan.
Lo que no se solapa y hay que trabajar aparte
Los plazos y el destinatario de la notificación
El ENS reparte la obligación en dos artículos y conviene no quedarse solo con el primero. El artículo 33.2 pone en las entidades del sector público el deber de notificar al CCN los incidentes de impacto significativo, con el detalle en su Instrucción Técnica de Seguridad. Y el artículo 33.7 obliga directamente a las organizaciones del sector privado que prestan servicios a entidades públicas a notificar los incidentes que les afecten al INCIBE-CERT, que lo pone inmediatamente en conocimiento del CCN-CERT. Al proveedor privado la obligación le viene del propio real decreto, no solo del contrato: lo que cambia es el destinatario.
NIS2 fija un reloj de tres tiempos: 24 horas, 72 y un informe final un mes después de esa notificación. Quien cumpla los dos necesita un procedimiento único con el reloj más exigente y los dos destinatarios escritos. El detalle completo de ese reloj, con las excepciones y los errores más comunes al montarlo, está en notificar incidentes NIS2: 24 h, 72 h y un mes.
La responsabilidad de quien manda
El artículo 20 de NIS2 obliga al órgano de dirección a aprobar las medidas, supervisar su aplicación y responder por el incumplimiento, además de formarse. El ENS reparte responsabilidades entre las figuras de seguridad, información y servicio, pero no crea ese régimen personal. Los deberes exactos que asume ese órgano de dirección, y qué le puede pasar si los incumple, los detallamos en la responsabilidad personal del órgano de dirección en NIS2.
El régimen sancionador
El ENS no lleva multas propias: el incumplimiento se paga quedándote fuera de la licitación. NIS2 sí, y con una mecánica que se cita mal a menudo: los artículos 34.4 y 34.5 no fijan un tope, fijan un suelo del tope. Obligan a los Estados a garantizar multas «de un máximo de, al menos» 10 millones o el 2 % en las esenciales y 7 millones o el 1,4 % en las importantes, «optándose por la de mayor cuantía». La ley nacional puede subir esas cifras, y entre importe y porcentaje no se elige: manda el mayor.
El objeto que se acredita
La conformidad con el ENS se declara o se certifica por sistema de información, con un alcance escrito. NIS2 no prevé un certificado de conformidad de la entidad equivalente a ese distintivo: lo que hay es registro ante la autoridad y supervisión. Sí contempla certificación, pero de otra cosa: su artículo 24 permite a los Estados exigir el uso de productos, servicios y procesos de TIC certificados con arreglo a esquemas europeos.
Tres perfiles y una decisión
Pyme tecnológica de 30 personas que licita con ayuntamientos
Le toca el ENS por el artículo 2.3, casi siempre en categoría BÁSICA o MEDIA. Por tamaño no entra en NIS2, pero le llegará como cláusula contractual: sus clientes obligados tienen que apretar su cadena de suministro. Y el artículo 33.7 le obliga a notificar sus incidentes al INCIBE-CERT aunque nadie se lo haya puesto en el contrato.
Consejería autonómica
ENS sin discusión, y además encaja en el artículo 2.2.f de NIS2 como Administración regional. Un ayuntamiento está en otra casilla: la Administración local solo entra si la ley española decide incluirla, según el artículo 2.5.
Industria de 400 personas en un sector del anexo I que no vende a la Administración
NIS2 sí; ENS no, salvo que concurra a una licitación. Su prioridad es el artículo 21 y el gobierno del artículo 20, no el distintivo de conformidad.
Si tu caso no es ninguno de los tres, el mapa completo de los cuatro marcos está en normativa de ciberseguridad en España. Y como esta comparativa vive a caballo de dos verticales, los dos tienen su puerta: el detalle del Esquema Nacional de Seguridad, en cumplimiento del ENS; cómo acompaño estos proyectos, en servicios de ciberseguridad y cumplimiento.
Preguntas frecuentes
¿Si tengo la certificación del ENS ya cumplo NIS2?
No automáticamente, aunque llevas mucho camino andado: el catálogo del anexo II cubre en la práctica los diez elementos mínimos del artículo 21.2. Lo que no cubre es la gobernanza del artículo 20, el reloj de notificación y el registro ante la autoridad. Ninguna certificación del ENS sustituye por sí sola al cumplimiento de NIS2, ni existe reconocimiento formal entre ambos marcos.
¿NIS2 obliga a todas las pymes?
No. El criterio del artículo 2.1 es doble: estar en uno de los tipos de entidad de los anexos I o II y alcanzar el tamaño de mediana empresa. Quien queda por debajo se libra, salvo que caiga en algún supuesto del artículo 2.2. Aun así, muchas acabarán aplicando medidas de NIS2 sin estar obligadas, porque se las exigirá por contrato un cliente que sí lo está.
¿Qué pasa si mi empresa entra en los dos marcos?
Conviene montar un solo proyecto con dos salidas: un inventario, un análisis de riesgos, una política de seguridad y un procedimiento de incidentes que satisfaga el plazo más corto. Después se separan las ramas: la auditoría y el expediente de conformidad con el ENS por un lado; el acuerdo del órgano de administración y el registro que pedirá la ley española, por otro.
¿Puedo esperar a que se publique la ley española de NIS2?
Puedes esperar a registrarte, porque el registro necesita autoridad y procedimiento. Esperar a implantar las medidas, no: el artículo 21 es el suelo que la ley tendrá que recoger, y la exigencia puede llegarte antes por contrato que por ley.
Fuentes
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad; en particular artículos 2, 31, 33, 36, 38 y 40 y anexos I y II. Texto consolidado, BOE-A-2022-7191.
- Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (NIS2), DOUE L 333 de 27 de diciembre de 2022; en particular artículos 2, 3, 20, 21, 23, 34 y 41 y anexos I y II. Texto en EUR-Lex.
- Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas, anexo, título I, artículo 2.
- Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información. Consolidado, BOE-A-2018-12257.
- Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018. Consolidado, BOE-A-2021-1192.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.