Diferencias entre el ENS y NIS2, y en qué orden conviene abordarlos

El ENS y NIS2 se diferencian en tres cosas: a quién obligan, cómo se gradúa esa obligación y cuándo es exigible. El Esquema Nacional de Seguridad (Real Decreto 311/2022) obliga a todo el sector público español y, por arrastre contractual, a las empresas privadas que le prestan servicios o le proveen soluciones. NIS2 (Directiva (UE) 2022/2555) obliga por sector y por tamaño: hay que ser uno de los tipos de entidad de sus anexos I o II y alcanzar el umbral de mediana empresa. Y hay una diferencia de calendario que decide casi siempre el orden de trabajo: el ENS es exigible hoy y se acredita con un documento concreto, mientras que NIS2 es una directiva que en España sigue esperando la ley que la transponga.

Esa mezcla es la que más veo: alguien ha leído que «NIS2 obliga a todas las medianas», otro ha visto la conformidad con el ENS en un pliego, y sale un proyecto con dos cabezas que duplica inventarios y análisis de riesgos. No hace falta.

En corto: el ENS entra por el cliente, NIS2 entra por el sector

Los dos marcos regulan lo mismo (cómo proteges tus sistemas) y te alcanzan por caminos que no se parecen en nada.

El Esquema Nacional de Seguridad te alcanza por con quién trabajas. El artículo 2 del Real Decreto 311/2022 lo aplica a todo el sector público y, en su apartado 3, a las entidades privadas que, en virtud de una relación contractual, presten servicios o provean soluciones al sector público. Da igual tu sector y da igual tu tamaño: si licitas con una administración, entras.

NIS2 te alcanza por qué haces y cuánto mides. El artículo 2 de la Directiva (UE) 2022/2555 se aplica a los tipos de entidad de sus anexos I y II (once sectores de alta criticidad y siete más) que sean medianas empresas o mayores según la Recomendación 2003/361/CE. Y con independencia del tamaño en cinco supuestos tasados, entre ellos ser el único proveedor de un servicio esencial en un Estado miembro; la página de quién es entidad esencial y quién importante los desglosa.

La diferencia que decide el calendario: el ENS es derecho español vigente desde 2022 y NIS2 todavía no está transpuesta. Si caes en los dos, empieza por el ENS, porque es el que hoy te puede costar un contrato. Y si dudas del segundo, puedes comprobar en un minuto si NIS2 te alcanza.

Qué es cada uno, en una frase

El ENS es el Real Decreto 311/2022, de 3 de mayo. Clasifica cada sistema en categoría BÁSICA, MEDIA o ALTA según el impacto que tendría un incidente sobre cinco dimensiones (disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad) y despliega en su anexo II un catálogo de medidas en tres bloques: marco organizativo, marco operacional y medidas de protección. El recorrido completo está en la guía completa del ENS.

NIS2 es la Directiva (UE) 2022/2555, publicada en el DOUE el 27 de diciembre de 2022. Sube el listón de la primera directiva de seguridad de redes y sistemas en tres frentes: las medidas del artículo 21, la notificación del artículo 23 y la gobernanza del artículo 20, que sienta al órgano de dirección delante del problema. Su artículo 41 fijaba el 17 de octubre de 2024 como fecha límite de transposición.

A quién obliga cada marco (los criterios no se parecen en nada)

Aquí está la raíz de la confusión: uno mira quién eres y con quién contratas; el otro mira a qué te dedicas y cuánto mides.

El ENS entra por la naturaleza del sujeto y por el contrato

El artículo 2.1 del real decreto lo aplica a todo el sector público tal como lo define la Ley 40/2015. Y su apartado 3 lo extiende a los sistemas de información de entidades privadas cuando, en virtud de una relación contractual, presten servicios o provean soluciones al sector público para el ejercicio de sus competencias y potestades administrativas. El mismo apartado añade la pieza práctica: los pliegos contemplarán los requisitos necesarios para asegurar la conformidad, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS», y la cautela se extiende a la cadena de suministro del contratista según el análisis de riesgos. Por eso hay empresas que descubren el ENS leyendo una licitación, no el BOE.

NIS2 entra por el sector del anexo y por el tamaño

El artículo 2.1 la aplica a las entidades públicas o privadas de alguno de los tipos de sus anexos I (sectores de alta criticidad) o II (otros sectores críticos) que sean medianas empresas conforme al artículo 2 del anexo de la Recomendación 2003/361/CE, o que superen ese umbral. En cifras de la Recomendación: 250 personas, 50 millones de euros de volumen de negocios anual o 43 millones de balance general.

Hay excepciones que dejan el tamaño fuera de la ecuación. El artículo 2.2 aplica la directiva con independencia del tamaño a telecos, prestadores de servicios de confianza, registros de dominios de primer nivel y proveedores de DNS; también al único proveedor de un servicio esencial en el país, a quien pueda tener repercusiones significativas sobre la seguridad, el orden o la salud públicas o inducir riesgos sistémicos, y a la Administración pública central o regional. La local va por otra vía: el artículo 2.5 deja en manos de cada Estado decidir si la incluye.

Después, el artículo 3 reparte a los sujetos en dos ligas: entidades esenciales (las del anexo I que superan los umbrales de mediana empresa, más una lista de casos que entran por su función) y entidades importantes (el resto de tipos de los anexos I y II). No es una etiqueta decorativa: cambia el régimen de supervisión y el tope de las multas. En dos minutos lo resuelve la herramienta para saber si eres entidad esencial o importante.

ENS vs NIS2: la tabla comparativa

Cuál te toca antes: el calendario decide

En la inmensa mayoría de los casos, el ENS. No porque sea más importante, sino porque es el único de los dos que hoy tiene detrás un requisito con fecha, con documento y con alguien esperándolo al otro lado: el órgano de contratación.

NIS2 va por otro camino, porque una directiva necesita una ley nacional para obligar a las empresas privadas. En España esa ley es la de Coordinación y Gobernanza de la Ciberseguridad, que a 28 de septiembre de 2026 seguía en tramitación y sin publicar en el BOE; mantengo el detalle al día en el rastreador de la transposición, que es donde hay que mirar antes de dar por buena esta frase. Mientras tanto no hay vacío: sigue vigente el marco de la primera directiva, transpuesto por el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que alcanza a operadores de servicios esenciales y proveedores de servicios digitales.

De ahí sale un orden de trabajo sencillo:

1. Mira tus contratos. Si vendes al sector público, comprueba si el pliego pide Declaración o Certificación de Conformidad con el ENS. Eso tiene fecha de entrega y no admite espera.
2. Haz el test de NIS2. Sector del anexo, tamaño y excepciones del artículo 2.2.
3. Si caes en los dos, empieza por el ENS. Su catálogo es más prescriptivo, así que lo hecho para el ENS cubre buena parte de lo que pedirá NIS2, y no al revés.
4. Si solo caes en NIS2, no esperes a la ley. Lo que la ley española no puede rebajar es el contenido mínimo del artículo 21: ese trabajo es el mismo hoy y el día que se publique.

Para dejarlo por escrito en dos minutos, esta es la ficha que uso al abrir un proyecto:

Por qué NIS2 sigue sin ley española, y qué significa eso para ti

El plazo de transposición terminó el 17 de octubre de 2024. España no lo cumplió, y el procedimiento ha llegado hasta el final: la Comisión Europea envió cartas de emplazamiento el 28 de noviembre de 2024, dictámenes motivados el 7 de mayo de 2025 y, el 8 de julio de 2026, anunció que lleva a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber notificado las medidas de transposición. Las remisiones incluyen una petición al Tribunal de sanciones financieras: una cantidad a tanto alzado y multas diarias hasta que se notifique la transposición completa. El estado exacto de la ley española se actualiza en su propia página.

Para ti eso significa tres cosas concretas. La primera: hoy no hay en España autoridad que te pueda multar con las cifras del artículo 34, y quien te diga lo contrario no ha mirado el BOE. La segunda: lo que sí hay es el Real Decreto-ley 12/2018 y su desarrollo, el Real Decreto 43/2021, con multas un orden de magnitud menores. Y la tercera, que es la que de verdad decide: tus clientes no están esperando a la ley. La exigencia contractual ya está circulando, y llega antes que el BOE.

Lo que se solapa (y se paga una sola vez)

NIS2 y el ENS comparten casi todo el contenido técnico, aunque no el objeto que acreditan. Los diez elementos mínimos del artículo 21.2 de NIS2 no son un catálogo exótico: puestos al lado del anexo II del ENS, la coincidencia es casi total:

• Políticas de seguridad y análisis de riesgos (a). Marco organizativo del ENS, que además obliga a que la política exista también en el proveedor privado.
• Gestión de incidentes (b) y continuidad, copias de seguridad y gestión de crisis (c). Marco operacional del ENS, con las copias en las medidas de protección.
• Cadena de suministro (d). El ENS lleva la exigencia al contratista y a sus proveedores; NIS2 obliga a valorar las vulnerabilidades de cada proveedor directo.
• Adquisición, desarrollo y mantenimiento seguros (e). En el ENS, el ciclo de vida del artículo 36 más el marco operacional.
• Evaluación de la eficacia de las medidas (f). Aquí el ENS va por delante: obliga a auditoría ordinaria al menos cada dos años.
• Ciberhigiene y formación (g), criptografía (h), recursos humanos, control de accesos y gestión de activos (i) y autenticación multifactor (j). Todo tiene medida propia en el anexo II.

Es decir: el inventario de activos, el análisis de riesgos, la política de seguridad, el plan de continuidad y el procedimiento de incidentes se hacen una vez y sirven para los dos marcos. Con el RGPD pasa algo parecido, y lo explico en ENS y RGPD: cómo encajan.

El trabajo se aprovecha en los dos sentidos, y hay un punto donde el solapamiento es literal. El artículo 2, apartado 3, del Real Decreto 311/2022 cierra diciendo que la exigencia de conformidad «se extenderá también a la cadena de suministro de dichos contratistas, en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos». Es el mismo mecanismo que la letra d) del artículo 21.2 de NIS2, cuatro años antes y en español.

Lo que no se aprovecha es el objeto que se acredita. La conformidad con el ENS se declara o se certifica sobre un sistema de información concreto y con una categoría (BÁSICA, MEDIA o ALTA) que sale del impacto sobre la disponibilidad, la autenticidad, la integridad, la confidencialidad y la trazabilidad. La categoría BÁSICA se declara por autoevaluación; las categorías MEDIA y ALTA exigen auditoría de certificación. Si no sabes por dónde empiezas, el autodiagnóstico del ENS lo sitúa.

NIS2 no certifica nada: obliga a la entidad entera y deja la certificación como una facultad que cada Estado puede ejercer o no, según su artículo 24. Si lo que estás decidiendo es por dónde acreditar, la comparación de si te conviene la ISO 27001 o el ENS resuelve esa parte.

¿Existe una guía del Esquema Nacional de Seguridad pensada específicamente para NIS2?

Está prevista, pero hoy no está publicada. El Centro Criptológico Nacional (CCN) llegó a publicar el 29 de abril de 2024 una primera versión de la guía CCN-STIC 892, «Perfil de Cumplimiento Específico para organizaciones en el ámbito de aplicación de la Directiva NIS2» (el llamado PCE-NIS2): un perfil que recorta y adapta el catálogo del Anexo II del ENS para que las entidades afectadas por NIS2 puedan apoyarse en él sin interpretar el real decreto entero desde cero. El propio CCN la retiró del portal, con efecto inmediato, el 28 de marzo de 2025, porque entretanto la Comisión Europea había aprobado el Reglamento de Ejecución (UE) 2024/2690, de 17 de octubre de 2024, y la primera versión de la guía no lo cubría.

Según el último comunicado oficial encontrado —fechado ese 28 de marzo de 2025; no he localizado ninguno posterior a 26 de septiembre de 2026—, el CCN, la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales y la Oficina de Coordinación de Ciberseguridad están preparando una nueva versión que cubra a la vez el Reglamento 2024/2690 y el propio ENS, pero la condicionan a que antes se publique la ley española que transponga NIS2, y esa ley, como cuento más arriba, sigue sin BOE.

Los certificados del ENS que ya se auditaron con el perfil retirado conservan su validez si van acompañados de su Declaración de Aplicabilidad; lo que no se puede hacer hoy es empezar un proyecto nuevo apoyándose en un documento que el propio CCN dice que ya no aplica. Repaso la cronología completa, con sus fuentes primarias, en el PCE-NIS2 y en qué punto está la guía CCN-STIC 892, y el concepto general de perfil de cumplimiento específico —base legal, ventajas, otros perfiles ya publicados como el de universidades— en qué son los perfiles de cumplimiento específicos del ENS.

Lo que no se solapa y hay que trabajar aparte

Los plazos y el destinatario de la notificación

El ENS reparte la obligación en dos artículos y conviene no quedarse solo con el primero. El artículo 33.2 pone en las entidades del sector público el deber de notificar al CCN los incidentes de impacto significativo, con el detalle en su Instrucción Técnica de Seguridad. Y el artículo 33.7 obliga directamente a las organizaciones del sector privado que prestan servicios a entidades públicas a notificar los incidentes que les afecten al INCIBE-CERT, que lo pone inmediatamente en conocimiento del CCN-CERT. Al proveedor privado la obligación le viene del propio real decreto, no solo del contrato: lo que cambia es el destinatario.

NIS2 fija un reloj de tres tiempos: 24 horas, 72 y un informe final un mes después de esa notificación. Quien cumpla los dos necesita un procedimiento único con el reloj más exigente y los dos destinatarios escritos. El detalle completo de ese reloj, con las excepciones y los errores más comunes al montarlo, está en notificar incidentes NIS2: 24 h, 72 h y un mes.

La responsabilidad de quien manda

El artículo 20 de NIS2 obliga al órgano de dirección a aprobar las medidas, supervisar su aplicación y responder por el incumplimiento, además de formarse. El ENS reparte responsabilidades entre las figuras de seguridad, información y servicio, pero no crea ese régimen personal. Los deberes exactos que asume ese órgano de dirección, y qué le puede pasar si los incumple, los detallamos en la responsabilidad personal del órgano de dirección en NIS2.

Cuánto cuesta incumplir cada uno

Aquí los dos marcos dejan de parecerse del todo, y la diferencia sorprende a casi todo el mundo.

El Esquema Nacional de Seguridad no tiene régimen sancionador propio. La palabra «multa» no aparece ni una sola vez en el texto consolidado del Real Decreto 311/2022, y las dos únicas apariciones de «sanción» e «infracción» están dentro del título de una ley orgánica de protección de datos que el real decreto cita de pasada. Lo que se pierde por incumplir el ENS no es una multa: es el contrato, porque los pliegos exigen la declaración o la certificación de conformidad, y sin ella no se licita.

NIS2 sí lo tiene, y es de otro orden. El artículo 34 de la Directiva obliga a los Estados a sancionar el incumplimiento de los artículos 21 o 23, y solo de esos dos, con multas administrativas de un máximo de, al menos, 10.000.000 de euros o el 2 % del volumen de negocios anual mundial del grupo para las entidades esenciales, y de 7.000.000 de euros o el 1,4 % para las importantes, optándose en ambos casos por la de mayor cuantía.

Pero eso todavía no rige en España. Mientras no haya transposición, lo aplicable es el Real Decreto-ley 12/2018, que desarrolla la directiva anterior. Su artículo 37 sanciona las infracciones muy graves con multa de 500.001 a 1.000.000 de euros, las graves con multa de 100.001 a 500.000 euros y las leves con amonestación o multa hasta 100.000 euros.

Una precisión sobre las cifras de NIS2 que se lee mal en casi todas partes. El artículo 34 no dice «hasta diez millones»: dice «de un máximo de, al menos, 10 000 000 EUR». Es el suelo por debajo del cual un Estado no puede quedarse al fijar su techo. Cuando España transponga, su tope no podrá ser inferior a esa cifra, y podría ser mayor.

Hay una segunda diferencia que a un consejo de administración le importa más que la primera. El artículo 20 de la Directiva obliga a que los órganos de dirección aprueben las medidas del artículo 21, supervisen su puesta en práctica y respondan por el incumplimiento, y a que sus miembros asistan a formación. El Real Decreto 311/2022 no traslada esa responsabilidad a los administradores en esos términos.

El objeto que se acredita

La conformidad con el ENS se declara o se certifica por sistema de información, con un alcance escrito. NIS2 no prevé un certificado de conformidad de la entidad equivalente a ese distintivo: lo que hay es registro ante la autoridad y supervisión. Sí contempla certificación, pero de otra cosa: su artículo 24 permite a los Estados exigir el uso de productos, servicios y procesos de TIC certificados con arreglo a esquemas europeos.

Tres perfiles y una decisión

Pyme tecnológica de 30 personas que licita con ayuntamientos

Le toca el ENS por el artículo 2.3, casi siempre en categoría BÁSICA o MEDIA. Por tamaño no entra en NIS2, pero le llegará como cláusula contractual: sus clientes obligados tienen que apretar su cadena de suministro. Y el artículo 33.7 le obliga a notificar sus incidentes al INCIBE-CERT aunque nadie se lo haya puesto en el contrato.

Consejería autonómica

ENS sin discusión, y además puede encajar en el artículo 2.2.f.ii de NIS2 como Administración regional, pero solo si, tras una evaluación basada en el riesgo, presta servicios cuya perturbación tendría un impacto significativo; no es automático por el mero hecho de ser autonómica. Un ayuntamiento está en otra casilla: la Administración local solo entra si la ley española decide incluirla, según el artículo 2.5.

Industria de 400 personas en un sector del anexo I que no vende a la Administración

NIS2 sí; ENS no, salvo que concurra a una licitación. Su prioridad es el artículo 21 y el gobierno del artículo 20, no el distintivo de conformidad.

Si tu caso no es ninguno de los tres, el mapa completo de los cuatro marcos está en normativa de ciberseguridad en España. Y como esta comparativa vive a caballo de dos verticales, los dos tienen su puerta: el detalle del Esquema Nacional de Seguridad, en cumplimiento del ENS; cómo acompaño estos proyectos, en servicios de ciberseguridad y cumplimiento.

Con el mismo enfoque, para NIS2 está la consultoría de cumplimiento NIS2.

Preguntas frecuentes

¿Si tengo la certificación del ENS ya cumplo NIS2?

No automáticamente, aunque llevas mucho camino andado: el catálogo del anexo II cubre en la práctica los diez elementos mínimos del artículo 21.2, incluida la cadena de suministro de la letra d), que el artículo 2.3 del Real Decreto 311/2022 ya extiende a los proveedores del contratista. Lo que no cubre es la gobernanza del artículo 20 —que obliga a los órganos de dirección a aprobar las medidas, supervisarlas y responder por su incumplimiento, y a formarse—, el reloj de notificación del artículo 23 y el registro ante la autoridad. Ninguna certificación del ENS sustituye por sí sola al cumplimiento de NIS2, ni existe reconocimiento formal entre ambos marcos.

¿NIS2 obliga a todas las pymes?

No. El criterio del artículo 2.1 es doble: estar en uno de los tipos de entidad de los anexos I o II y alcanzar el tamaño de mediana empresa. Quien queda por debajo se libra, salvo que caiga en algún supuesto del artículo 2.2. Aun así, muchas acabarán aplicando medidas de NIS2 sin estar obligadas, porque se las exigirá por contrato un cliente que sí lo está.

¿Qué pasa si mi empresa entra en los dos marcos?

Conviene montar un solo proyecto con dos salidas: un inventario, un análisis de riesgos, una política de seguridad y un procedimiento de incidentes que satisfaga el plazo más corto. Después se separan las ramas: la auditoría y el expediente de conformidad con el ENS por un lado; el acuerdo del órgano de administración y el registro que pedirá la ley española, por otro.

¿Puedo esperar a que se publique la ley española de NIS2?

Puedes esperar a registrarte, porque el registro necesita autoridad y procedimiento. Esperar a implantar las medidas, no: el artículo 21 es el suelo que la ley tendrá que recoger, y la exigencia puede llegarte antes por contrato que por ley. Y el retraso ya tiene consecuencias: el 8 de julio de 2026 la Comisión Europea anunció que lleva a España ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición, con petición de una cantidad a tanto alzado y multas diarias. Mientras tanto rige el Real Decreto-ley 12/2018, cuyo artículo 37 sanciona las infracciones muy graves con multa de 500.001 a 1.000.000 de euros y las graves con multa de 100.001 a 500.000 euros.

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad; en particular artículos 2, 31, 33, 36, 38 y 40 y anexos I y II. Texto consolidado, BOE-A-2022-7191.
• Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (NIS2), DOUE L 333 de 27 de diciembre de 2022; en particular artículos 2, 3, 20, 21, 23, 34 y 41 y anexos I y II. Texto en EUR-Lex.
• Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas, anexo, título I, artículo 2.
• Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información. Consolidado, BOE-A-2018-12257.
• Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018. Consolidado, BOE-A-2021-1192.