Supervisión y sanciones: la relación con ISO 27001

La Directiva diferencia el trato a las dos categorías. Las entidades esenciales están sujetas a un régimen completo de supervisión previa y posterior (inspecciones, auditorías periódicas y específicas, auditorías extraordinarias tras un incidente significativo, análisis de seguridad). Las entidades importantes se supervisan solo con un régimen ligero, posterior: la autoridad actúa cuando recibe pruebas, indicios o información de un posible incumplimiento y no tiene una obligación general de vigilarlas.

Esa diferencia es de supervisión, no de obligaciones: las dos categorías deben cumplir las mismas medidas del artículo 21 y las mismas notificaciones del artículo 23.

El artículo 34 dice que por incumplir las medidas del artículo 21 o las obligaciones de notificación del artículo 23, las entidades esenciales se exponen a multas de un máximo de al menos 10 millones de euros o de al menos el 2 % de la facturación mundial anual del ejercicio anterior de la empresa a la que pertenecen, la cifra que sea mayor. Para las importantes son al menos 7 millones de euros o el 1,4 %. «Al menos» significa que es el mínimo que el Estado debe prever: la ley nacional puede fijar uno más alto.

Consulta SELECT * FROM entidad y SELECT * FROM regimen_sancionador.

Un certificado dice qué sistemas y qué servicios cubre su alcance. Un sistema fuera del alcance no está tocado por la certificación, aunque la empresa lo exhiba como logro de toda la organización. Para NIS2 lo que importa son los sistemas que sostienen los servicios de la entidad esencial.

Consulta SELECT * FROM alcance_del_certificado.

Un sistema de gestión de seguridad como el de ISO 27001 cubre buena parte de las diez medidas, pero no coincide con ellas una a una. NIS2 no menciona esa norma en el artículo 21 ni exige certificarse con ella: hay que contrastar medida por medida si algún documento del sistema las trata. Una letra sin documento es una brecha que el certificado no revela.

Consulta SELECT * FROM sgsi_y_medidas.

El certificado es una buena base: ya existen un sistema de gestión, una evaluación de riesgos, una revisión por la dirección y un programa de auditoría interna. Pero NIS2 se evalúa sobre sus propios requisitos: las diez medidas, la responsabilidad de la dirección y las notificaciones en plazo, que un certificado no demuestra por sí mismo.