Cómo cumplir NIS2 a través del ENS: el perfil PCE-NIS2
Si tu organización ya tiene el Esquema Nacional de Seguridad certificado, o está valorando adecuarse a él, hay una pregunta que conviene resolver cuanto antes: ese trabajo, ¿sirve también para NIS2? La respuesta corta es que sí, con matices, y el mecanismo que lo permite tiene nombre propio: el PCE-NIS2 del Centro Criptológico Nacional. Esta guía explica qué dice exactamente la normativa, cómo funciona el mecanismo técnico detrás y qué huecos quedan por cerrar según tu categoría de ENS.
Si todavía no tienes claro el marco general de NIS2 en España, te recomendamos empezar por nuestra guía completa sobre NIS2, que cubre a quién aplica, plazos y sanciones antes de entrar en el detalle técnico que veremos aquí.
Qué dice el Anteproyecto de Ley sobre ENS y NIS2
El punto de partida no es una guía técnica, sino el propio texto legal que transpone NIS2 en España. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad establece que las entidades que cumplen con el Esquema Nacional de Seguridad pueden exhibir su Declaración o Certificado de Conformidad con el ENS para demostrar el cumplimiento de los requisitos de NIS2.
Esto tiene una consecuencia práctica importante para cualquier organización que ya trabaje con el ENS, sea del sector público o un proveedor privado que presta servicios a la administración: el esfuerzo invertido en la adecuación al ENS no queda aislado en su propio marco, sino que el legislador lo reconoce expresamente como vía válida para acreditar NIS2. No es una peculiaridad técnica de una guía del CCN, es una decisión tomada en el vehículo legislativo que incorpora la directiva europea al ordenamiento español.
Dicho esto, conviene ser preciso con el matiz legal: se trata de un anteproyecto, todavía en tramitación parlamentaria. El mecanismo técnico que hace operativa esta previsión, el PCE-NIS2, ya existe y está publicado por el CCN desde 2024, de modo que el criterio técnico es estable aunque el texto legal definitivo no esté cerrado. Si quieres el detalle completo del estado de la transposición, lo cubrimos en el pilar de NIS2 en España.
El PCE-NIS2 (CCN-STIC 892) y la actualización de la guía 890
El mecanismo que conecta el ENS con NIS2 se llama Perfil de Cumplimiento Específico, y el Centro Criptológico Nacional lo ha desarrollado específicamente para organizaciones en el ámbito de aplicación de la Directiva NIS2. Está recogido en la guía CCN-STIC 892, publicada en abril de 2024, bajo el nombre PCE-NIS2.
Lo que hace este documento, en esencia, es un mapeo de equivalencias: toma las diez agrupaciones de medidas de seguridad del artículo 21 de NIS2 y las conecta con las medidas del Anexo II del ENS, estableciendo además una Declaración de Aplicabilidad diferenciada para entidades esenciales y para entidades importantes. Dicho de otro modo, el PCE-NIS2 traduce el lenguaje jurídico de una directiva europea al lenguaje operativo de controles que cualquier equipo de seguridad ya conoce si ha trabajado con el ENS.
Existe además una segunda guía relevante en este mismo terreno: el CCN actualizó en 2025 la guía CCN-STIC 890, ampliando el número de medidas de la Declaración de Aplicabilidad de 35 a 38, precisamente para reforzar aspectos que tanto el ENS como NIS2 exigen, como el bloqueo de puesto de trabajo, el control de acceso a áreas separadas, el almacenamiento de copias de seguridad offline y el uso de autenticación multifactor. Esta guía está pensada sobre todo para organizaciones que necesitan una primera aproximación a la categoría BÁSICA del ENS, pero confirma la misma lógica de fondo: el CCN está alineando de forma activa y continuada el ENS con las exigencias de NIS2, no se trata de un documento aislado que quedó publicado y olvidado.
El flujo de decisión: ENS certificado, PCE y cumplimiento de NIS2
Conviene visualizar el mecanismo como una secuencia de decisiones, porque así es exactamente como lo plantea el propio CCN en su material divulgativo:
- Primera pregunta: ¿tus sistemas de información están certificados en el ENS? Si la respuesta es sí, el siguiente paso es aplicar el PCE que corresponda a tu caso. Completado ese paso, cumples con las medidas de seguridad de NIS2.
- Si la respuesta es no, el paso previo obligado es iniciar la adecuación al ENS, ya sea mediante un PCE específico si tu sector o situación lo permite, o mediante la adecuación estándar en la categoría que te corresponda.
- Un matiz adicional para entidades del sector público institucional: si tu organización depende de una administración pública de referencia, debe verificarse si te corresponde la misma categorización de esa administración o si necesitas adoptar las medidas de seguridad de la categoría propia, bien mediante análisis de riesgos, bien mediante el PCE del sector que corresponda.
Esta secuencia es la que conviene tener en mente antes de contratar cualquier servicio de adecuación: no es que el ENS sustituya a NIS2, es que el ENS certificado, con el perfil correcto aplicado, es la evidencia que la ley reconoce como válida para demostrar cumplimiento.
Qué cambia según tu categoría de ENS
Aquí está el matiz más importante desde el punto de vista práctico, y el que marca la diferencia entre un proyecto sencillo y uno con trabajo adicional real.
Si tu organización tiene el ENS certificado en categoría ALTA, las medidas de seguridad de NIS2 quedan cubiertas de forma directa. Es la situación más favorable, y tiene sentido: la categoría ALTA del ENS ya exige un nivel de control equivalente o superior al que pide NIS2 en la práctica totalidad de sus diez agrupaciones de medidas.
Si tu categoría es MEDIA o BÁSICA, el camino no es automático. Hay que completar, en base a un análisis de riesgos, determinados elementos que NIS2 exige de forma reforzada y que en categorías más bajas del ENS pueden estar dimensionados con menor intensidad. Los dos puntos que con más frecuencia requieren refuerzo son la seguridad de la cadena de suministro, es decir, la gestión y verificación de proveedores y prestadores de servicios, y la continuidad de negocio, en particular la robustez de los planes de recuperación ante incidentes graves.
Esto no significa partir de cero. Significa que el diagnóstico de brechas debe hacerse comparando, control por control, tu Declaración de Aplicabilidad actual del ENS frente a las diez agrupaciones del artículo 21 de NIS2, identificando exactamente dónde tu categoría actual se queda corta y dónde ya cubre de sobra el requisito. Puedes repasar en detalle qué implica cada categoría en nuestra guía sobre categorías del ENS: básica, media y alta.
Qué huecos no cubre el ENS por sí solo
Aunque el ENS certificado con el perfil correcto es la base más sólida disponible en España para acreditar NIS2, hay dos bloques de exigencias que pertenecen en propiedad a NIS2 y que el ENS, por diseño, no cubre de forma nativa.
El primero es la gobernanza específica del artículo 20 de NIS2: la obligación de que el órgano de dirección apruebe expresamente las medidas de gestión de riesgos, supervise su implantación y reciba formación específica en ciberseguridad, con responsabilidad personal en caso de incumplimiento grave. El ENS exige políticas de seguridad aprobadas por la dirección, pero NIS2 va más allá al exigir formación documentada y trazabilidad específica de las decisiones del consejo.
El segundo es el régimen de notificación de incidentes propio de NIS2, con sus tres plazos escalonados de 24 horas, 72 horas y un mes. El ENS tiene su propio régimen de gestión de incidentes a través del CCN-CERT, pero los plazos exactos y el formato de notificación que exige NIS2 requieren un procedimiento interno específico, alineado pero no idéntico al que ya tengas documentado para el ENS.
En ambos casos, la recomendación práctica es la misma: no dar por hecho que la certificación ENS resuelve estos dos puntos por inclusión automática. Conviene auditarlos de forma expresa dentro del proyecto de adecuación a NIS2, aunque el resto del trabajo se apoye en el ENS ya existente.
La ventaja de partir del ENS
Para cualquier organización española que ya tenga experiencia con el Esquema Nacional de Seguridad, sea porque lo tiene certificado o porque forma parte de su cadena de proveedores del sector público, esta vía convierte ese conocimiento acumulado en una ventaja competitiva real frente a construir un programa de NIS2 desde cero. El vocabulario de controles, la metodología de análisis de riesgos y la propia cultura de auditoría del ENS son directamente aprovechables, y el propio marco legal español reconoce ese aprovechamiento en lugar de obligar a duplicar esfuerzos.
Esto es especialmente relevante para el sector público institucional y para sus proveedores, donde el ENS ya es una exigencia conocida, pero también aplica a empresas privadas de sectores críticos que nunca han tenido contacto con el ENS y se plantean, por primera vez, si adoptarlo voluntariamente como vía de entrada a NIS2 en lugar de construir un sistema de gestión paralelo. Puedes revisar cómo funciona esa vía de adopción voluntaria en nuestra guía sobre declaración frente a certificación de conformidad ENS.
Si tu punto de partida no es el ENS sino un sistema de gestión basado en ISO 27001, el análisis de cobertura frente a NIS2 sigue una lógica distinta, que trataremos con detalle en su propio artículo del cluster.
Acompañamos precisamente este tipo de proyectos: diagnosticar tu situación real frente al ENS y NIS2, identificar con precisión qué perfil PCE aplicar y cerrar los huecos específicos de gobernanza y notificación que ningún marco cubre por sí solo. Si quieres saber en qué punto exacto está tu organización, podemos revisarlo juntos en una primera llamada sin compromiso, a través de nuestra consultoría ENS o nuestra consultoría NIS2.
Preguntas frecuentes sobre cómo cumplir NIS2 a través del ENS
No de forma automática. El Anteproyecto de Ley permite usar la Declaración o el Certificado de Conformidad con el ENS como vía de acreditación de NIS2, pero es necesario aplicar el perfil PCE-NIS2 correspondiente. Además, la gobernanza del artículo 20 y la notificación de incidentes de NIS2 requieren atención específica, independientemente de tu categoría de ENS.
Es el Perfil de Cumplimiento Específico desarrollado por el Centro Criptológico Nacional, recogido en la guía CCN-STIC 892, que mapea las diez agrupaciones de medidas del artículo 21 de NIS2 contra las medidas de seguridad del ENS, con una Declaración de Aplicabilidad diferenciada para entidades esenciales e importantes.
Con categoría ALTA, las medidas de NIS2 quedan cubiertas de forma directa. Con categoría MEDIA o BÁSICA, hay que completar en base a un análisis de riesgos ciertos elementos reforzados que NIS2 exige, principalmente en cadena de suministro y continuidad de negocio.
Puede ser una vía muy eficiente, sobre todo si tu organización ya presta servicios al sector público o valora adoptarlo de forma voluntaria. Te permite construir un único programa de seguridad que sirve simultáneamente para el ENS y para NIS2, en lugar de mantener dos sistemas de gestión en paralelo.
No la sustituye, la complementa. El PCE-NIS2 es un perfil que se aplica sobre la base de tu adecuación al ENS, sea cual sea tu categoría, añadiendo el mapeo específico frente a los requisitos de NIS2 y, cuando corresponde, reforzando puntos concretos como la cadena de suministro.